Người dùng có thể sử dụng khóa bảo mật phần cứng do công ty Thụy Điển Yubico sản xuất để đăng nhập vào tài khoản Local trên Windows 10 . Công ty gần đây đã phát hành phiên bản ổn định đầu tiên của ứng dụng Yubico Login cho Windows^{(Login for Windows application)} . Trong bài đăng này, chúng tôi sẽ hướng dẫn bạn cách cài đặt và cấu hình YubiKey để sử dụng trên PC chạy Windows 10.

YubiKey là một thiết bị xác thực phần cứng hỗ trợ mật khẩu một lần, mã hóa và xác thực khóa công khai cũng như các giao thức Universal 2nd Factor (U2F) và FIDO2 do FIDO Alliance phát triển . Nó cho phép người dùng đăng nhập an toàn vào tài khoản của họ bằng cách nhập mật khẩu một lần hoặc sử dụng cặp khóa công khai / riêng tư dựa trên FIDO do thiết bị tạo ra. YubiKey cũng cho phép lưu trữ mật khẩu tĩnh để sử dụng tại các trang web không hỗ trợ mật khẩu dùng một lần. Facebook sử dụng YubiKey cho thông tin đăng nhập của nhân viên và Google hỗ trợ nó cho cả nhân viên và người dùng. Một số trình quản lý mật khẩu hỗ trợ YubiKey .Yubico cũng sản xuất Khóa bảo mật^{(Security Key)} , một thiết bị tương tự như YubiKey , nhưng tập trung vào xác thực khóa công khai.

YubiKey cho phép người dùng ký, mã hóa và giải mã tin nhắn mà không để lộ khóa cá nhân ra thế giới bên ngoài. Tính năng này trước đây chỉ có sẵn cho người dùng Mac và Linux .

To configure/set up YubiKey on Windows 10, you’ll need the following:

1. Một phần cứng USB YubiKey.
2. Phần mềm đăng nhập Yubico dành cho Windows.
3. Phần mềm YubiKey Manager.

Tất cả chúng đều có sẵn trên yubico.com trong tab Sản phẩm^(Product) của họ . Ngoài ra, bạn cần lưu ý rằng ứng dụng YubiKey không hỗ trợ các tài khoản Windows cục bộ được quản lý bởi Azure Active Directory ( AAD ) hoặc Active Directory (AD) cũng như Tài khoản Microsoft .

^(YubiKey)Thiết bị xác thực phần cứng YubiKey

Trước khi cài đặt phần mềm Yubico Login cho Windows , hãy ghi lại tên người dùng và mật khẩu Windows của bạn cho tài khoản cục bộ. Người cài đặt phần mềm phải có tên người dùng và mật khẩu Windows cho tài khoản của họ. Không có những thứ này, không có gì có thể được định cấu hình và tài khoản không thể truy cập được. Hành vi mặc định của nhà cung cấp thông tin đăng nhập Windows là ghi nhớ lần đăng nhập cuối cùng của bạn, vì vậy bạn không cần phải nhập tên người dùng.

Vì lý do này, nhiều người có thể không nhớ tên người dùng. Tuy nhiên, sau khi bạn cài đặt công cụ và khởi động lại, nhà cung cấp thông tin xác thực Yubico mới sẽ được tải, để cả quản trị viên và người dùng cuối thực sự phải nhập tên người dùng. Vì những lý do này, không chỉ quản trị viên mà tất cả mọi người có tài khoản được định cấu hình thông qua Yubico Đăng nhập^{(Yubico Login)} cho Windows nên kiểm tra để đảm bảo rằng họ có thể đăng nhập bằng tên người dùng và mật khẩu Windows cho tài khoản cục bộ của họ TRƯỚC KHI quản trị viên cài đặt công cụ và cấu hình kết thúc -tài khoản của người dùng.

Cũng cần lưu ý rằng, sau khi đăng nhập Yubico^{(Yubico Login)} cho Windows đã được định cấu hình, sẽ có:

• Gợi ý không có mật khẩu Windows
• Không có cách nào để đặt lại mật khẩu
• Không Remember Previous User/Login Chức năng đăng nhập trước đó.

Ngoài ra, đăng nhập tự động của Windows không tương thích với ^(Windows)Đăng nhập Yubico^{(Yubico Login)} dành cho Windows . Nếu người dùng có tài khoản được thiết lập để đăng nhập tự động không còn nhớ mật khẩu ban đầu của họ khi cấu hình Đăng nhập Yubico^{(Yubico Login)} cho Windows có hiệu lực, thì tài khoản đó sẽ không thể truy cập được nữa. Giải^(Address) quyết vấn đề này trước bằng cách:

• Yêu cầu người dùng đặt mật khẩu mới trước khi tắt đăng nhập tự động.
• Yêu cầu tất cả người dùng xác minh rằng họ có thể truy cập tài khoản của mình bằng tên người dùng và mật khẩu mới trước khi bạn sử dụng Đăng nhập^(Login) Yubico cho Windows để định cấu hình tài khoản của họ.

Quyền của quản trị viên được yêu cầu để cài đặt phần mềm.

Cài đặt YubiKey

Đầu tiên, xác minh tên người dùng của bạn. Khi bạn đã cài đặt Yubico Login cho Windows và khởi động lại, bạn sẽ cần nhập thông tin này cùng với mật khẩu để đăng nhập. Để thực hiện việc này, hãy mở Command Prompt hoặc PowerShell từ menu Start và chạy lệnh bên dưới

whoami

^(Take)Lưu ý đầu ra đầy đủ, phải ở dạng DESKTOP-1JJQRDF\jdoe, trong đó  jdoe  là tên người dùng.

1. Tải xuống^(Download) phần mềm Yubico Login cho Windows từ đây^(here) .
2. Chạy trình cài đặt bằng cách nhấp đúp vào phần tải xuống.
3. Chấp nhận thỏa thuận cấp phép người dùng cuối.
4. Trong trình hướng dẫn cài đặt, chỉ định vị trí thư mục đích hoặc chấp nhận vị trí mặc định.
5. Khởi động lại máy đã cài đặt phần mềm. Sau khi khởi động lại, nhà cung cấp thông tin xác thực Yubico hiển thị màn hình đăng nhập nhắc nhở về YubiKey .

Vì YubiKey chưa được cấp phép, bạn phải chuyển đổi người dùng và nhập không chỉ mật khẩu cho tài khoản Windows cục bộ của mình mà còn cả tên người dùng của bạn cho tài khoản đó. Nếu cần, bạn có thể phải thay đổi Tài khoản Microsoft thành Tài khoản Cục bộ .

Sau khi bạn đã đăng nhập, hãy tìm kiếm “Cấu hình đăng nhập” với biểu tượng màu xanh lá cây. (Mục thực sự có nhãn Đăng nhập Yubico^{(Yubico Login)} cho Windows chỉ là trình cài đặt, không phải ứng dụng.)

Cấu hình YubiKey

Quyền của quản trị^{(Administrator)} viên được yêu cầu để cấu hình phần mềm.
Chỉ những tài khoản được hỗ trợ mới có thể được định cấu hình cho Đăng nhập Yubico^{(Yubico Login)} cho Windows . Nếu bạn khởi chạy trình hướng dẫn cấu hình và tài khoản bạn đang tìm kiếm không được hiển thị, nó không được hỗ trợ và do đó không có sẵn để cấu hình.

Trong quá trình cấu hình, những điều sau đây sẽ được yêu cầu;

• Khóa chính và khóa dự phòng^{(Primary and Backup Keys)} : Sử dụng một YubiKey khác cho mỗi lần đăng ký. Nếu bạn đang định cấu hình các khóa dự phòng, mỗi người dùng nên có một YubiKey cho chính và một YubiKey cho khóa dự phòng.
• Mã khôi phục^{(Recovery Code)} : Mã khôi phục là cơ chế cuối cùng để xác thực người dùng nếu tất cả YubiKeys đã bị mất. Mã khôi phục^(Recovery) có thể được chỉ định cho người dùng mà bạn chỉ định; tuy nhiên, mã khôi phục chỉ có thể sử dụng được nếu tên người dùng và mật khẩu cho tài khoản cũng có sẵn. Tùy chọn để tạo mã khôi phục được trình bày trong quá trình cấu hình.

Bước 1: Trong menu Start của Windows , chọn Yubico > Login Configuration .

Bước 2: Hộp thoại Kiểm soát Tài khoản Người dùng xuất hiện. ^{(User Account Control)}Nếu bạn đang chạy điều này từ tài khoản không phải Quản trị viên, bạn sẽ được nhắc nhập thông tin đăng nhập quản trị viên cục bộ. Trang Chào mừng giới thiệu trình hướng dẫn cấp phép Cấu hình Đăng nhập Yubico^{(Yubico Login Configuration)} :

Bước 3: Nhấp vào Tiếp theo^(Next) . Trang Mặc định^(Default) của Cấu hình đăng nhập Windows Yubico^{(Yubico Windows Login Configuration)} xuất hiện.

Bước 4: Các mục có thể định cấu hình là:

Vị^(Slots) trí: Chọn vị trí nơi lưu trữ bí mật phản hồi thử thách. Tất cả các YubiKeys chưa được tùy chỉnh đều được tải sẵn thông tin đăng nhập trong vùng 1, vì vậy nếu bạn đang sử dụng Đăng nhập Yubico^{(Yubico Login)} cho Windows để định cấu hình YubiKeys đã được sử dụng để đăng nhập vào các tài khoản khác, đừng ghi đè vùng 1.

Challenge/Response Secret : Mục này cho phép bạn chỉ định cách thức cấu hình bí mật và nơi lưu trữ. Các tùy chọn là:

• Sử dụng bí mật hiện có nếu được định cấu hình - tạo nếu chưa được định cấu hình^{(Use existing secret if configured – generate if not configured)} : Bí mật hiện có của khóa sẽ được sử dụng trong vị trí đã chỉ định. Nếu thiết bị không có bí mật hiện có, quá trình cấp phép sẽ tạo ra một bí mật mới.
• Tạo bí mật mới, ngẫu nhiên, ngay cả khi bí mật hiện đang được định cấu hình^{(Generate new, random secret, even if a secret is currently configured)} : Một bí mật mới sẽ được tạo và lập trình cho vị trí, ghi đè lên bất kỳ bí mật nào đã được định cấu hình trước đó.
• Nhập thủ công bí mật^{(Manually input secret)} :  Đối với người dùng nâng cao^{(For advanced users)} : Trong quá trình cấp phép, ứng dụng sẽ nhắc bạn nhập thủ công bí mật HMAC-SHA1 (20 byte - 40 ký tự được mã hóa hex).

Tạo mã khôi phục^{(Generate Recovery Code)} : Đối với mỗi người dùng được cấp phép, một mã khôi phục mới sẽ được tạo. Mã khôi phục này cho phép người dùng cuối đăng nhập vào hệ thống nếu họ bị mất YubiKey.
Lưu ý: Nếu bạn chọn lưu mã khôi phục trong khi cấp phép cho người dùng khóa thứ hai, thì mọi mã khôi phục trước đó đều trở nên không hợp lệ và chỉ mã khôi phục mới hoạt động.

Tạo thiết bị sao lưu cho mỗi người dùng^{(Create Backup Device for Each User)} : Sử dụng tùy chọn này để yêu cầu quá trình cấp phép đăng ký hai khóa cho mỗi người dùng, một YubiKey chính và một YubiKey dự phòng . Nếu bạn không muốn cung cấp mã khôi phục cho người dùng của mình, bạn nên cung cấp cho mỗi người dùng một YubiKey dự phòng . Để biết thêm thông tin, hãy tham khảo phần Khóa chính^(Primary) và khóa dự phòng^{(Backup Keys)}  ở trên.

Bước 5: Nhấp vào Tiếp theo^(Next) , để chọn (các) người dùng để cung cấp. Trang Chọn tài khoản người dùng^{(Select User Accounts)} (Nếu không có tài khoản người dùng cục bộ nào được Yubico Login cho Windows hỗ trợ , danh sách sẽ trống) xuất hiện.

Bước 6: Chọn tài khoản người dùng sẽ được cấp phép trong quá trình chạy Yubico Login cho Windows hiện tại bằng cách chọn hộp kiểm bên cạnh tên người dùng, sau đó nhấp vào Tiếp theo^(Next) . Trang Định cấu hình người dùng^{(Configuring User)} xuất hiện.

Bước 7: Tên người dùng hiển thị trong trường Định cấu hình người dùng^{(Configuring User)} hiển thị ở trên là người dùng mà YubiKey hiện đang được định cấu hình. Khi mỗi tên người dùng được hiển thị, quy trình sẽ nhắc bạn chèn YubiKey để đăng ký cho người dùng đó.

Bước 8: Trang Chờ thiết bị^{(Wait for Device)} được hiển thị trong khi YubiKey được chèn đang được phát hiện và trước khi nó được đăng ký cho người dùng có tên người dùng trong trường Định cấu hình người dùng^{(Configuring User)} ở đầu trang. Nếu bạn đã chọn Tạo thiết bị sao lưu cho từng người dùng^{(Create Backup Device for Each User)} trong trang Mặc định^(Defaults) , trường Định cấu hình người dùng^{(Configuring User)} cũng sẽ hiển thị YubiKeys nào^(YubiKeys) đang được đăng ký, Chính^(Primary) hoặc Dự phòng^(Backup) .

Bước 9: Nếu bạn đã định cấu hình quy trình cung cấp để sử dụng bí mật được chỉ định theo cách thủ công, trường cho 40 bí mật sáu chữ số sẽ được hiển thị. Nhập bí mật và nhấp vào Tiếp theo^(Next) .

Bước 10: Trang Thiết bị lập trình^{(Programming Device)} hiển thị tiến trình lập trình từng YubiKey . Trang Xác nhận thiết bị^{(Device Confirmation)} hiển thị bên dưới hiển thị thông tin chi tiết của YubiKey được phát hiện bởi quá trình cấp phép, bao gồm số sê-ri thiết bị (nếu có) và trạng thái cấu hình của mỗi vị trí Mật khẩu dùng một lần^{(One-Time Password)} ( OTP ). Nếu có xung đột giữa những gì bạn đã đặt làm mặc định và những gì có thể xảy ra với YubiKey được phát hiện , một biểu tượng cảnh báo sẽ hiển thị. Nếu mọi thứ diễn ra tốt đẹp, một dấu kiểm sẽ được hiển thị. Nếu dòng trạng thái hiển thị biểu tượng lỗi, lỗi được mô tả và hướng dẫn sửa lỗi sẽ hiển thị trên màn hình.

Bước 11: Sau khi hoàn tất lập trình cho một tài khoản người dùng, tài khoản đó sẽ không thể truy cập được nữa nếu không có YubiKey tương ứng . Bạn được nhắc xóa YubiKey vừa được định cấu hình và quá trình cấp phép sẽ tự động tiến hành đến kết hợp tài khoản người dùng / YubiKey tiếp theo .

Bước 12: Sau cùng, YubiKeys cho tài khoản người dùng được chỉ định đã được cấp phép:

• Nếu bạn chọn Tạo mã khôi phục^{(Generate Recovery Code)}  trên trang Mặc định^(Defaults) , thì trang Mã khôi phục^{(Recovery Code)} sẽ hiển thị.
• Nếu  Tạo mã khôi phục^{(Generate Recovery Code)}  không được chọn, quá trình cấp phép sẽ tự động tiếp tục đến tài khoản người dùng tiếp theo.
• Quá trình cấp phép chuyển sang  Hoàn tất^(Finished)  sau khi tài khoản người dùng cuối cùng được hoàn tất.

Mã khôi phục là một chuỗi dài. (Để loại bỏ các vấn đề do người dùng cuối nhầm lẫn chữ số 1 với chữ cái viết thường L và 0 cho chữ^(Base32) O.

Trang Mã khôi phục^{(Recovery Code)} được hiển thị sau khi tất cả các YubiKeys cho tài khoản người dùng được chỉ định đã được định cấu hình.

Bước 13: Trên trang Mã khôi phục^{(Recovery Code)} , tạo và đặt mã khôi phục cho người dùng đã chọn. Khi điều này đã được thực hiện xong, các nút Sao chép^(Copy)  và  Lưu^(Save) ở bên phải của trường mã khôi phục sẽ khả dụng.

Bước 14: Sao chép mã khôi phục và lưu lại chia sẻ với người dùng và giữ lại đề phòng người dùng làm mất.

Lưu ý^(Note) : Đảm bảo lưu mã khôi phục tại thời điểm này trong quá trình. Khi bạn chuyển sang màn hình tiếp theo, bạn không thể lấy mã.

Bước 15: Để chuyển sang tài khoản người dùng tiếp theo từ trang Chọn^{(Select Users)} người dùng , hãy nhấp vào Tiếp theo^(Next) . Khi bạn đã định cấu hình người dùng cuối cùng, quá trình cấp phép sẽ hiển thị trang Đã hoàn tất^(Finished) .

Bước 16: Cung cấp cho mỗi người dùng mã khôi phục của họ. Người dùng cuối nên lưu mã khôi phục của họ vào một vị trí an toàn có thể truy cập được khi họ không thể đăng nhập.

Trải nghiệm người dùng YubiKey

Khi tài khoản người dùng cục bộ đã được định cấu hình để yêu cầu YubiKey , người dùng sẽ được Nhà cung cấp thông tin xác thực Yubico xác^{(Yubico Credential Provider)} thực thay vì Nhà cung cấp thông tin đăng nhập mặc định của Windows . Người dùng được nhắc chèn YubiKey của họ . Sau đó, màn hình Đăng nhập Yubico^{(Yubico Login)} được hiển thị. Người dùng nhập tên người dùng và mật khẩu của họ.

Lưu ý^(Note) : Không cần thiết phải nhấn nút trên phần cứng YubiKey USB để đăng nhập. Trong một số trường hợp, việc nhấn nút này khiến quá trình đăng nhập không thành công.

Khi người dùng cuối đăng nhập, họ phải cắm đúng YubiKey vào cổng USB^(USB) trên hệ thống của họ. Nếu người dùng cuối nhập tên người dùng và mật khẩu của họ mà không chèn YubiKey chính xác , xác thực sẽ không thành công và người dùng sẽ nhận được thông báo lỗi.

Nếu tài khoản của người dùng cuối được định cấu hình cho Đăng nhập Yubico^{(Yubico Login)} cho Windows và nếu mã khôi phục được tạo và người dùng mất (các) YubiKey của họ, họ có thể sử dụng mã khôi phục của mình để xác thực. Người dùng cuối mở khóa máy tính của họ bằng tên người dùng, mã khôi phục và mật khẩu.

Cho đến khi một YubiKey mới được định cấu hình, người dùng cuối phải nhập mã khôi phục mỗi khi họ đăng nhập.

Nếu Yubico Login cho Windows không phát hiện thấy YubiKey đã được chèn, có thể do khóa chưa được bật chế độ OTP hoặc bạn không chèn YubiKey mà thay vào đó là Khóa bảo mật^{(Security Key)} , không tương thích với ứng dụng này. Sử dụng ứng dụng Trình quản lý YubiKey^{(YubiKey Manager)}  để đảm bảo rằng tất cả các YubiKeys được cấp phép đều đã bật giao diện OTP .

Quan trọng^(Important) : Các phương pháp đăng nhập thay thế được Windows hỗ trợ sẽ không bị ảnh hưởng. Do đó, bạn phải hạn chế các phương thức đăng nhập cục bộ và từ xa bổ sung cho các tài khoản người dùng mà bạn đang bảo vệ bằng Đăng nhập Yubico^{(Yubico Login)} cho Windows để đảm bảo bạn không để ngỏ bất kỳ 'cửa sau' nào.

Nếu bạn dùng thử YubiKey, hãy cho chúng tôi biết trải nghiệm của bạn trong phần bình luận bên dưới.^{(If you try out YubiKey, let us know your experience in the comments section below.)}

Configure & use YubiKey Secure Login for Local Account in Windows 10

Users can use hаrdware security keys, manufactured by Swedish company Yubico to log into a Local account on Windows 10. The company recently released the first stable version of the Yubico Login for Windows application. In this post, we will show you how to install and configure YubiKey for use on Windows 10 PCs.

YubiKey is a hardware authentication device that supports one-time passwords, public-key encryption and authentication, and the Universal 2nd Factor (U2F) and FIDO2 protocols developed by the FIDO Alliance. It allows users to securely log in to their accounts by emitting one-time passwords or using a FIDO-based public/private key pair generated by the device. YubiKey also allows for storing static passwords for use at sites that do not support one-time passwords. Facebook uses YubiKey for employee credentials, and Google supports it for both employees and users. Some password managers support YubiKey. Yubico also manufactures the Security Key, a device similar to the YubiKey, but focused on public-key authentication.

YubiKey allows users to sign, encrypt, and decrypt messages without exposing the private keys to the outside world. This feature was previously available only for Mac & Linux users.

To configure/set up YubiKey on Windows 10, you’ll need the following:

1. A YubiKey USB hardware .
2. Yubico Login software for Windows.
3. YubiKey Manager software.

All of them are available on yubico.com under their Products tab. Also, you should note that the YubiKey app does not support local Windows accounts managed by Azure Active Directory (AAD) or Active Directory (AD) as well as Microsoft Accounts.

YubiKey hardware authentication device

Before installing the Yubico Login for Windows software, make a note of your Windows username and password for the local account. The person who installs the software must have the Windows username and password for their account. Without these, nothing can be configured, and the account is inaccessible. The default behavior of the Windows credential provider is to remember your last login, so you do not have to type in the username.

For this reason, many people may not remember the username. However, once you install the tool and reboot, the new Yubico credential provider is loaded, so that both admins and end-users have actually to type in the username. For these reasons, not only the admin but also everybody whose account is to be configured via Yubico Login for Windows should check to ensure that they can log in using the Windows username and password for their local account BEFORE the admin installs the tool and configures end-users’ accounts.

It’s also imperative to note that, once Yubico Login for Windows has been configured, there is:

• No Windows Password Hint
• No way to reset passwords
• No Remember Previous User/Login function.

Additionally, Windows automatic login is not compatible with Yubico Login for Windows. If a user whose account was set up for automatic login no longer remembers their original password when the Yubico Login for Windows configuration takes effect, the account can no longer be accessed. Address this issue preemptively by:

• Having users set new passwords before disabling automatic login.
• Have all users verify they can access their accounts with username and their new password before you use Yubico Login for Windows to configure their accounts.

Administrator permissions are required to install the software.

YubiKey Installation

First, verify your username. Once you have installed Yubico Login for Windows and rebooted, you will need to enter this in addition to your password to log in. To do this, open Command Prompt or PowerShell from the Start menu and run the command below

whoami

Take note of the full output, which should be in the form DESKTOP-1JJQRDF\jdoe, where jdoe is the username.

1. Download the Yubico Login for Windows software from here.
2. Run the installer by double-clicking on the download.
3. Accept the end-user license agreement.
4. In the installation wizard, specify the destination folder location or accept the default location.
5. Restart the machine on which the software has been installed. After the restart, the Yubico credential provider presents the login screen that prompts for the YubiKey.

Because the YubiKey has not yet been provisioned, you must switch user and enter not only the password for your local Windows account, but also your username for that account. If necessary, you may have to change Microsoft Account to Local Account.

After you have logged in, search for “Login Configuration” with the green icon. (The item actually labeled Yubico Login for Windows is just the installer, not the application.)

YubiKey Configuration

Administrator permissions are required to configure the software.
Only accounts that are supported can be configured for Yubico Login for Windows. If you launch the configuration wizard, and the account you are looking for is not displayed, it is not supported and therefore not available for configuration.

During the configuration process, the following will be required;

• Primary and Backup Keys: Use a different YubiKey for each registration. If you are configuring backup keys, each user should have one YubiKey for the primary and a second one for the backup key.
• Recovery Code: A recovery code is a last-resort mechanism to authenticate a user if all YubiKeys have been lost. Recovery codes can be assigned to the users you specify; however, the recovery code is only usable if the username and password for the account are also available. The option to generate a recovery code is presented during the configuration process.

Step 1: In the Windows Start menu, select Yubico > Login Configuration.

Step 2: The User Account Control dialog appears. If you are running this from a non-Administrator account, you will be prompted for local administrator credentials. The Welcome page introduces the Yubico Login Configuration provisioning wizard:

Step 3: Click Next. The Default page of Yubico Windows Login Configuration appears.

Step 4: The configurable items are:

Slots: Select the slot where the challenge-response secret will be stored. All YubiKeys that have not been customized come pre-loaded with a credential in slot 1, so if you are using Yubico Login for Windows to configure YubiKeys that are already being used for logging into other accounts, do not overwrite slot 1.

Challenge/Response Secret: This item enables you to specify how the secret will be configured and where it will be stored. The options are:

• Use existing secret if configured – generate if not configured: The key’s existing secret will be used in the specified slot. If the device has no existing secret, the provisioning process will generate a new secret.
• Generate new, random secret, even if a secret is currently configured: A new secret will be generated and programmed to the slot, overwriting any previously configured secret.
• Manually input secret: For advanced users: During the provisioning process, the application will prompt you to input manually an HMAC-SHA1 secret (20 bytes – 40 characters hex-encoded).

Generate Recovery Code: For each user provisioned, a new recovery code will be generated. This recovery code enables the end-user to log in to the system if they have lost their YubiKey.
Note: If you select to save a recovery code while provisioning a user for a second key, any previous recovery code becomes invalid, and only the new recovery code will work.

Create Backup Device for Each User: Use this option to have the provisioning process register two keys for each user, a primary YubiKey and a backup YubiKey. If you do not want to provide recovery codes to your users, it is good practice to give each user a backup YubiKey. For more information, refer to the Primary and Backup Keys section above.

Step 5: Click Next, to select the user(s) to provision. The Select User Accounts page (If there are no local user accounts supported by Yubico Login for Windows, the list will be empty) appears.

Step 6: Select the user accounts to be provisioned during the current run of the Yubico Login for Windows by selecting the checkbox next to the username, and then click Next. The Configuring User page appears.

Step 7: The username shown in the Configuring User field shown above is the user for whom a YubiKey is currently being configured. As each username is displayed, the process prompts you to insert a YubiKey to register for that user.

Step 8: The Wait for Device page is shown while an inserted YubiKey is being detected and before it is registered for the user whose username is in the Configuring User field at the top of the page. If you have selected Create Backup Device for Each User in the Defaults page, the Configuring User field will also display which of the YubiKeys is being registered, Primary or Backup.

Step 9: If you have configured the provisioning process to use a manually specified secret, the field for the 40 hex-digit secrets is displayed. Enter the secret and click Next.

Step 10: The Programming Device page displays the progress of programming each YubiKey.  The Device Confirmation page shown below displays the details of the YubiKey detected by the provisioning process, including the device serial number (if available) and the configuration status of each One-Time Password (OTP) slot. If there are conflicts between what you have set as defaults and what is possible with the detected YubiKey, a warning symbol is displayed. If everything is good to go, a check mark will be shown. If the status line shows an error icon, the error is described, and instructions for fixing it are displayed on the screen.

Step 11: Once programming is complete for a user account, that account can no longer be accessed without the corresponding YubiKey. You are prompted to remove the YubiKey just configured, and the provisioning process automatically proceeds to the next user account/YubiKey combination.

Step 12: After all, the YubiKeys for the specified user account have been provisioned:

• If the Generate Recovery Code was selected on the Defaults page, the Recovery Code page is displayed.
• If Generate Recovery Code was not selected, the provisioning process would automatically continue to the next user account.
• The provisioning process moves to Finished after the last user account is done.

The recovery code is a long string. (To eliminate problems caused by the end-user mistaking the numeral 1 for lowercase letter L and 0 for the letter O, the recovery code is encoded in Base32, which treats alphanumeric characters that look similar as if they were the same.)

The Recovery Code page is displayed after all the YubiKeys for the specified user account has been configured.

Step 13: On the Recovery Code page, generate and set a recovery code for the selected user. Once this has been done, the Copy and Save buttons to the right of the recovery code field become available.

Step 14: Copy the recovery code and save it from being shared with the user and keep it in case the user loses it.

Note: Be sure to save the recovery code at this point in the process. Once you proceed to the next screen, it is not possible to retrieve the code.

Step 15: To move to the next user account from the Select Users page, click Next. When you have configured the last user, the provisioning process displays the Finished page.

Step 16: Give each user their recovery code. End-users should save their recovery code to a safe location accessible when they cannot log in.

YubiKey User Experience

When the local user account has been configured to require a YubiKey, the user is authenticated by the Yubico Credential Provider instead of the default Windows Credential Provider. The user is prompted to insert their YubiKey. Then the Yubico Login screen is presented. The user enters their username and password.

Note: It is not necessary to press the button on the YubiKey USB hardware to log in. In some instances, pressing the button causes the login to fail.

When the end-user logs in, they must insert the correct YubiKey into a USB port on their system. If the end-user enters their username and password without inserting the correct YubiKey, authentication will fail, and the user will be presented with an error message.

If an end user’s account is configured for Yubico Login for Windows, and if a recovery code was generated, and a user loses their YubiKey(s), they can use their recovery code to authenticate. The end-user unlocks their computer with their username, recovery code, and password.

Until a new YubiKey is configured, the end-user must enter the recovery code each time they log in.

If Yubico Login for Windows does not detect that a YubiKey has been inserted, it is likely due to the key not having OTP mode enabled, or you are not inserting a YubiKey, but instead a Security Key, which is not compatible with this application. Use the YubiKey Manager application to ensure that all the YubiKeys to be provisioned have the OTP interface enabled.

Important: Alternative sign-in methods supported by Windows will not be affected. You must, therefore, restrict additional local and remote login methods for the user accounts you are protecting with Yubico Login for Windows to ensure you have not left open any ‘back doors.’

If you try out YubiKey, let us know your experience in the comments section below.

Related posts

• View Security Questions and Answers cho Local Account trong Windows 10

• Cách cài đặt Windows 11 và Windows 10 trên ổ USB (Windows To Go)

• 3 cách khởi động PC Windows 10 của bạn từ ổ USB flash -

• Switch User Option Mất tích từ Windows 10 login screen

• Reset Local Account password trên Windows 10 sử dụng Installation Media

• Cách đăng ký người dùng khác trong Windows 10

• Đèn ngủ trên Windows 10: Chức năng và cách sử dụng -

• 5 cách để đẩy ra một drive or USB cứng bên ngoài từ Windows 10

• Cách tạo điểm nóng Windows 10: Tất cả những gì bạn cần biết

• Cách bật và tắt trình tiết kiệm pin trong Windows 10

• Cách tạo tài khoản người dùng cục bộ trên Windows 10

• 7 cách điều chỉnh độ sáng màn hình trong Windows 10

• Cách định cấu hình micrô và loa trong Skype dành cho Windows 10

• Kích hoạt hoặc tắt Administrator Account trên Login Screen trong Windows 10

• Cách bật Bluetooth trên Windows 10: 5 cách

• Cách chia sẻ máy in của bạn với mạng, trong Windows 10

• Vân tay Máy quét tốt nhất cho Windows 10

• Cách tìm hiểu Processor Brand and Model trên Windows 10 Laptop

• Chế độ trò chơi trong Windows 10: Kiểm tra hiệu suất trong cuộc sống thực trong các trò chơi hiện đại

• Cách nhận tệp qua Bluetooth và cách tìm chúng trong Windows 10 Mobile