はじめに

Windows Helli for Business で PIN 入力を複数回誤った場合に、どのような動作になるのかが、以下の公開情報に記載されています。

今回は、実際にどのような動きになるのかを検証してみました。

公開情報
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/faq?wt.mc_id=mvp_407731#--------------windows-hello-for-business--------------------------

（上記の公開情報より、抜粋）
承認されていないユーザーが Windows Hello for Business に登録されているデバイスを所有するとどうなりますか?
承認されていないユーザーは生体認証オプションを利用できず、PIN を入力する唯一のオプションがあります。

ユーザーがランダム PIN を入力してデバイスのロックを解除しようとすると、3 回失敗した後、資格情報プロバイダーに次のメッセージが表示されます。

間違った PIN を複数回入力しました。もう一度やり直すには、下の「A1B2C3」と入力します。
チャレンジフレーズ A1B2C3 を入力すると、ユーザーには PIN を入力する機会がもう 1 つ付与されます。
失敗した場合、プロバイダーは無効になり、ユーザーはデバイスを再起動するための唯一のオプションを残します。再起動後、前述のパターンが繰り返されます。

試行が失敗した場合、デバイスはロックアウト状態になり、最初の再起動後 1 分、4 回目の再起動後 2 分、5 回目の再起動から 10 分後に続きます。
各ロックアウトの期間は、それに応じて増加します。
この動作は、TPM 2.0 のハンマリング防止機能の結果です。 TPM のハンマリング防止機能の詳細については、「 TPM 2.0 のハンマリング防止」を参照してください。

前提となる環境

TPM が利用できる Windows クライアント
物理 PC（ハードウェア TPM 2.0 搭載）
または、以下の記事の手順を使って、Hyper-V 上に TPM 2.0 が有効な Windows VM を手配（今回は、VM を使って検証しました）

Windows Hello for Business を構成
以下の記事の手順を使って、上記で手配した OS へ Windows Hello for Business を構成

検証実施前のステータス

検証を開始する前に、tpm.msc と、Get-Tpm 等のコマンドの実行結果を確認します。

コンピューターのトラステッドプラットフォームモジュール (TPM) の管理

OS インストール直後の tpm.msc の画面

公開情報：TPM のトラブルシューティング
https://learn.microsoft.com/ja-jp/windows/security/hardware-security/tpm/initialize-and-configure-ownership-of-the-tpm?wt.mc_id=mvp_407731

TPM コマンド

OS インストール直後のコマンド実行結果
このリファレンスでは、すべての TPM コマンドレットの説明と構文を示します。コマンドレットの先頭の動詞に基づいて、アルファベット順にコマンドレットを一覧表示します。

公開情報

Get-Tpm

Get -Tpmコマンドレットは、TpmObject を取得します。
このオブジェクトには、現在のコンピューター上の Trusted Platform Module (TPM) に関する情報が含まれています。

項目	値
TpmPresent	True	現在のコンピュータにTPMがあるかどうか
TpmReady	True	TPM が Windows Server 2012 標準に準拠しているかどうか。
TpmEnabled	True
TpmActivated	True
TpmOwned	True
RestartPending	False
ManagedAuthLevel	Full	オペレーティングシステムが所有者の承認を管理するレベル。可能な値は、Legacy、Balanced、および Full です。
OwnerAuth		Trusted Platform Module (TPM) の現在の所有者認証値
OwnerClearDisabled	Flase	TPM をリセットできるかどうか。この値が True の場合、所有者認証値を使用してオペレーティングシステムから TPM をリセットすることはできません。この値が False の場合、オペレーティングシステムから TPM をリセットできます。
AutoProvisioning	Enabled	コンピューターが自動プロビジョニングを使用できるかどうか。可能な値は、NotDefined、Enabled、Disabled、および DisabledForNextBoot です。
LockedOut	False	TPM がロックアウトされているかどうか
LockoutHealTime	10 min	TPM のロックを解除できるようになるまでに経過する必要がある時間。
LockoutCount	0	失敗した試行回数
LockoutMax	31	失敗試行の制限
SelfTest	{}	TPM が実行するテストによって返される情報。

公開情報：Get-Tpm
https://learn.microsoft.com/ja-jp/powershell/module/trustedplatformmodule/get-tpm

Get-TpmEndorsementKeyInfo

Get -TpmEndorsementKeyInfoコマンドレットは、Trusted Platform Module (TPM) の承認公開キーと証明書に関する情報を取得します。

項目	値
IsPresent	True	承認公開キーがオペレーティングシステムに認識されているかどうかを表すブール値
PublicKey	System.Security.Cryptography.AsnEncodedData	承認キーの asn.1 エンコードされた公開部分を含むAsnEncodedDataオブジェクト。コマンドレットがハッシュアルゴリズムを使用した場合の公開キーのハッシュ (文字列)。
PublicKeyHash		ハッシュ値
ManufacturerCertificates	{}	製造元の承認キー証明書を含むX509Certificate2Collectionオブジェクト。このオブジェクトには、製造元の証明書とプラットフォーム証明書を含めることができます。エンタープライズ証明書など、オペレーティングシステムに登録されている追加の承認キー証明書のコレクションを含むX509Certificate2Collectionオブジェクト。
AdditionalCertificates	{}

公開情報:Get-TpmEndorsementKeyInfo
https://learn.microsoft.com/ja-jp/powershell/module/trustedplatformmodule/get-tpmendorsementkeyinfo?wt.mc_id=mvp_407731

Get-TpmSupportedFeature

Get -TpmSupportedFeatureコマンドレットは、Trusted Platform Module (TPM) が指定された TPM 機能をサポートしているかどうかを確認します。

公開情報：Get-TpmSupportedFeature
https://learn.microsoft.com/ja-jp/powershell/module/trustedplatformmodule/get-tpmsupportedfeature?wt.mc_id=mvp_407731

検証結果

結果として、公開情報に書かれている説明と、かなりの差異が見受けられました。

	公開情報	検証結果
チャレンジフレーズを求められるまでの回数	3	4
チャレンジフレーズに回答して、そのあとに試行できる回数	1	1
チャレンジフレーズのあと PIN をミスした際にロックアウトが発生するか？	する	しない
ロックアウト発生までの失敗回数	4	31

ロックアウト発生し、再起動後に PIN 入力できるようになるまでの時間

	公開情報	検証結果
1 回目	1分	10分
2 回目	未記載	10分
4 回目	2分
5 回目	10分

検証した結果を、そのままの流れのままを次章に示します。

1回～4回目の PIN 入力ミス

誤った PIN 入力を実施したあと、以下のメッセージが表示された。

上記の画面で OK を押したあと、以下の画面となった。

上記の画面で、パスフレーズを誤ると、以下のメッセージになる。正しいものを入れるしかありません。

正しいパスフレーズを入力すると、PIN の入力画面になります。
ここで、誤った PIN を入力すると、以下の画面になります。

上記の画面で OK を押すと、以下のようになり、再起動するしかなくなります。

同じデバイスへ、別の管理者アカウントで RDP を実施。Get-Tpm を実行した結果は、以下の通り。
以後、Get-Tpm の値は、同様の方法で取得しています。
この時は、LockOutCount 5 になっているが、Lockedout は、False のままになっている。

この時、PIN 入力はできないが、パスワードなら入力できる状態。PIN がどのような状態であっても、パスワードに切り替えることでサインインが可能。

再起動を実施
再起動後に、Get-Tpm を確認すると、Count は 5 のまま

6回～9回目の PIN 入力ミス

誤った PIN 入力を実施したあと、以下のメッセージが表示された。

9回目のミスのあと、以下の画面になった（30秒無効）

この時は、LockOutCount 9 になっているが、Lockedout は、False のままになっている。

30秒経過後、チャレンジフレーズの入力が可能となるため、正しいフレーズを入力

10回目の PIN 入力ミス

この時は、LockOutCount 10 になっているが、Lockedout は、False のままになっている。

再起動
再起動後も LockOutCount は 10回のままだった。

11回～14回目の PIN 入力ミス

11回～14回誤った
誤った PIN 入力を実施したあと、以下のメッセージが表示された。

14回目のミスのあと、以下の画面になった（1分無効）

この時は、LockOutCount 14 になっているが、Lockedout は、False のままになっている。

1分経過後、チャレンジフレーズの入力が可能となるため、正しいフレーズを入力

15回目の PIN 入力ミス

この時は、LockOutCount 15 になっているが、Lockedout は、False のままになっている。

再起動
再起動後も LockOutCount は 15回のまま

16回～19回目の PIN 入力ミス

誤った PIN 入力を実施したあと、以下のメッセージが表示された。

19回目のミスのあと、以下の画面になった（2分無効）

この時は、LockOutCount 19 になっているが、Lockedout は、False のままになっている。

2分経過後、チャレンジフレーズの入力が可能となるため、正しいフレーズを入力

20回目の PIN 入力ミス

この時は、LockOutCount 20 になっているが、Lockedout は、False のままになっている。

再起動
再起動後も LockOutCount は 20回のまま

21回～24回目の PIN 入力ミス

誤った PIN 入力を実施したあと、以下のメッセージが表示された。

24回目のミスのあと、以下の画面になった（5分無効）

この時は、LockOutCount 24 になっているが、Lockedout は、False のままになっている。

25回目のミス

この時は、LockOutCount 25 になっているが、Lockedout は、False のままになっている。

再起動
再起動後も LockOutCount は 25回のまま

26回～29回目の PIN 入力ミス

誤った PIN 入力を実施したあと、以下のメッセージが表示された。

29回目のミスのあと、以下の画面になった（10分無効）

この時は、LockOutCount 29 になっているが、Lockedout は、False のままになっている。

10分経過後、チャレンジフレーズの入力が可能となるため、正しいフレーズを入力

29回目の入力ミス

この時は、LockOutCount 29 になっているが、Lockedout は、False のままになっている。

再起動
再起動後も LockOutCount は 29回のまま

30回～31回目の PIN 入力ミス

誤った PIN 入力を実施したあと、以下のメッセージが表示された。

31回目のミスの後、ついに、ロックアウト発生

LockedOut が True になり、 LockOutCount も 31 になっている。

このとき、tpm.msc の表示は、以下のようになっている

ロックアウト後の動作

10分まつと、以下のように Lockedout が False に変更され、LockOutCount も 30 に減算されている。（なお、このときは待っただけで再起動はしていません）

ここで、正しい PIN を入力すると、サインインできました。
サインイン後の Get-Tpm の結果は、直前と変わらない。

このあと、再起動して Get-Tpm を実行するもカウントの値は変わらないが、時間がたつとカウントが 1 ずつ減っている様子。そして、また PIN を誤るとカウントアップしていき、31 に到達するとロックが発生する。

ここで観察できた内容は、以下の公開情報の説明に近い状態です。
検証では 31 回でロックですが、以下の情報では 32 回になっている点が気になる点ですが・・・

連続４回失敗後、チャレンジフレーズ表示前の待ち時間

Get-TPM の結果では確認ができないのですが、ユーザーごとにロックアウトされた回数がカウントされているような気がします。

これが増えるにしたがって、PIN を 4 回連続でミスした際に、チャレンジフレーズが表示されるまで待たされる時間は、どんどん延長されていくようです。

連続 4 回失敗したあと、チャレンジフレーズ入力前に待たされる時間
→　検証では、ロックアウトの発生とは別にチャレンジフレーズの入力前に待機時間が発生した。公開情報には、このような説明は書かれていない。

	検証結果
連続 4 回失敗 1回目	なし
連続 4 回失敗 2回目	30 秒
連続 4 回失敗 3回目	1 分
連続 4 回失敗 4回目	2 分
連続 4 回失敗 5回目	5 分
連続 4 回失敗 6回目ここでロック発生	10 分
連続 4 回失敗 7回目一旦ロック回復後に再度ミス	30 分
連続 4 回失敗 8回目一旦ロック回復後に再度ミス	1 時間
連続 4 回失敗 9回目一旦ロック回復後に再度ミス	2 時間

以下の富士通さんが公開している情報に近い動きになりました。
https://www.fmworld.net/cs/azbyclub/qanavi/jsp/qacontents.jsp?PID=0311-3099

TPM のリセットを実行してみる

tpm.msc の状態は、TPM は使用する準備ができています。 という表示になっている。
ここで、TPM をクリア を実施します。

以下のメッセージが表示され、再起動が掛かる。

再起動後、以下のメッセージが表示されていた。

Get-Tpm の結果は、OwnerAuth に値が入っている。LockoutCount が 0 に戻っている。
リセットされたようだ。

しかし、リセットしたアカウントの方は、以下のメッセージが出て、PIN の再設定ができない。

パスワードに変更すれば、サインインができる状態。パスワードでサインインします。

サインインしたあと、以下のメッセージが出るため、サインイン を押します。

以下の画面でパスワードを入力します。

MFA を求められるので、スマホ側で認証します。

以下のメッセージが表示されるので、完了を押します。

Get-Tpm の結果を見るも、変化は見られない

サインアウトを実施して、再度サインインを試みます。
サインイン画面では、PINのエラーは消えていますが、PIN を選べなくなっているので、パスワードでサインインするしかありません。

以下のように Hello for Business の初期設定画面が現れます。初回サインイン時と同様な動きです。

MFA を認証したあと

PIN の新規設定が可能になりました。

PIN を設定しました。

Get-Tpm の結果は、OwnerAuth が空欄になりました。

これで、PIN を使ってサインインできるようになりました。

ポリシーで、しきい値を変更すると、どうなるのか？

以下の公開情報で、ポリシーを使って TPM のロックアウトしきい値を変更できるような事が書かれています。
しきい値を変更したら、どうなるのか検証してみました。

注意
なお、先に結論を書きますが、この検証結果は　意図しない結果となり、原因不明です。

公開情報
https://learn.microsoft.com/ja-jp/windows/security/hardware-security/tpm/trusted-platform-module-services-group-policy-settings?wt.mc_id=mvp_407731#standard-user-individual-lockout-threshold

（公開情報より抜粋）

グループポリシーの編集を開く

公開情報で説明されてるポリシーのパスを開いていきます。

目的のポリシー設定をみつけて、開きます。

値を 4 -> 2 に変更してみます。

再起動を実施後に検証しましたが、以前と変わらず、4回失敗したあとに、パスフレーズを求められる動作になっていました。

続いて、しきい値を 7 に変更して再起動して試しても。以前と変わらず、4回失敗したあとに、パスフレーズを求められる動作になっている。

この謎は、解明できず。

まとめ

ポリシーの設定は、意図しない結果となりました。
この原因は、判らないままですが、何かわかったらこの記事に追記していきたいと思います。

既定の TPM ロックアウトの発生トリガーと、その後に待つべき時間や、TPM リセットの影響が調べられたので、これを踏まえて対応ができればと思います。