はじめに

情報システム部門に常駐していた際に、Windows端末のセキュリティ周りに調査をしておりました。
その際にお客様に依頼をされて、WHfB(Windows Hello for Business)のPINリセットについて以下の観点で調査を実施しておりました。

「端末紛失・盗難時にPINリセットは第三者が実施可能なのか？」

この観点で調査した内容についてMicrosoftサポートから聞いた内容を織り混ぜながらアウトプットしていきたいと思います。

PINリセットとは？

PINとは、ADアカウントの代わりにPCへのログインで使用できる暗証番号のようなものになります。

以下の記事でも解説しておりますので、宜しければご参考下さい。

Windows端末のPINリセットのフローは以下になります。

※IntuneにてWHfBを設定する際に、PINの回復を有効にするを有効にするとユーザー自身でPINのリセットが可能

多要素認証のフローは以下になります。(ざっくりです。)

認証方法	内容
Authenticatorアプリ認証	アプリにて「サインインを承認しますか？」というポップアップが表示され、承認すると認証される。
確認コード認証	Authenticatorアプリの確認コードを入力し認証。
SMS認証	スマートフォンのSMSにて認証。
電話認証	スマートフォンの電話にて認証。

以下の2パターンをご紹介します。

Windows端末の紛失・盗難に遭った場合にフォーカスして記載しております。

第三者がスマートフォンにログインできる場合、PINリセットが可能です。
(SMS認証や電話認証を用いればPINリセットが出来てしまう可能性が高いです。)

Windows端末とスマートフォンが両方盗難・紛失に遭った場合に、管理者側で実施する対策は以下になります。
(Microsoftサポートに聞いた内容になります。)

こちらの2つのアクションを管理者が実施する流れになります。

PowerShellにてAzure Active Directoryの管理者としてログイン(Connect-AzureAD)後に以下を実施。

ユーザー無効化

Set-AzureADUser -ObjectId <AzureADユーザーアカウント> -AccountEnabled $false

入力例

Set-AzureADUser -ObjectId johndoe@contoso.com -AccountEnabled $false

AzureAD更新トークンの取り消し

Revoke-AzureADUserAllRefreshToken -ObjectId <AzureADユーザーアカウント>

入力例

Revoke-AzureADUserAllRefreshToken -ObjectId johndoe@contoso.com

ユーザーのデバイスを無効

Get-AzureADUserRegisteredDevice -ObjectId <AzureADユーザーアカウント> | Set-AzureADDevice -AccountEnabled $false

入力例

Get-AzureADUserRegisteredDevice -ObjectId johndoe@contoso.com | Set-AzureADDevice -AccountEnabled $false

MicrosoftアカウントページにてWindows端末を発見後、リモートロックを実施。

Intune上からはWindows端末のリモートロックができない仕様になっております。(2022/04/03時点)

Microsoftサポートの見解では、Windows端末のみ盗難・紛失に遭った場合はPINリセットが不可能になります。

多要素認証を実施するためには、多要素認証の設定を実施しているスマートフォンが必要です。

パターンをまとめます。

パターン	内容
Windows端末+スマートフォンの両方が盗難・紛失に遭った場合	PINリセット可能 ■第三者のPINリセット対策・ユーザーアカウント無効化・端末のリモートロック
Windows端末のみ盗難・紛失に遭った場合	PINリセット不可