Gõ mật khẩu dài mỗi lần mở laptop vừa mất thời gian vừa dễ bị nhìn trộm, nên Microsoft đưa vào Windows tính năng Windows Hello để đăng nhập bằng khuôn mặt, dấu vân tay hoặc mã PIN. Hiểu đơn giản, laptop nhận ra chủ nhân qua đặc điểm cơ thể rồi tự mở khoá, còn dữ liệu nhận dạng nằm lại trên chính thiết bị chứ không gửi lên mạng. Bài viết giải thích cơ chế, ngưỡng nhận nhầm Microsoft yêu cầu, các bước bật trong Windows 11, cách xử lý khi khuôn mặt hoặc vân tay không được nhận và những lưu ý khi gắn camera, đầu đọc vân tay rời.
Windows Hello thay mật khẩu bằng chìa khoá gắn riêng từng laptop
Windows Hello là bộ phương thức đăng nhập có sẵn trong cả hai phiên bản Windows 10 và Windows 11, gồm nhận diện khuôn mặt, nhận dạng vân tay và mã PIN. Trang hướng dẫn của Microsoft mô tả đây là cách đăng nhập mang tính cá nhân và an toàn hơn so với gõ mật khẩu. Về bản chất, khi bạn nhìn vào camera hay mở khoá vân tay bằng một lần chạm, Windows không gửi hình ảnh đó đi đâu mà so khớp ngay trên laptop, khớp thì mới cho phép sử dụng chìa khoá đăng nhập đã lưu sẵn trong thiết bị.
Điểm khác biệt lớn nhất nằm ở mã PIN. Mật khẩu tài khoản Microsoft dùng chung trên nhiều thiết bị và nhiều trang đăng nhập, lộ ở một nơi thì kẻ gian có thể thử ở nơi khác. Theo tài liệu Windows Hello for Business trên Microsoft Learn, PIN của Windows Hello chỉ gắn với một thiết bị, không truyền đi đâu, không lưu trên máy chủ và chỉ được xác minh tại chỗ, nên người khác biết mã PIN cũng không thể đăng nhập tài khoản của bạn từ laptop khác. PIN còn được chip bảo mật TPM bảo vệ, chip này có cơ chế chống dò mã liên tục.
Dữ liệu sinh trắc cũng được giữ cục bộ. Microsoft xác nhận dữ liệu khuôn mặt và vân tay dùng cho tính năng này chỉ lưu trên thiết bị dưới dạng mẫu đã mã hoá, không đồng bộ sang máy khác và không gửi tới máy chủ bên ngoài, nhờ vậy không tồn tại một kho dữ liệu tập trung để tin tặc nhắm vào. Mật khẩu ngắn, dễ đoán vẫn là điểm yếu phổ biến; muốn biết mật khẩu đang dùng chịu được bao lâu trước công cụ dò, bài Cách tự kiểm tra độ mạnh của mật khẩu bằng phương pháp bẻ khóa hướng dẫn cách tự thử.
Microsoft đặt ngưỡng nhận nhầm cho khuôn mặt và vân tay ra sao
Để một camera hay đầu đọc vân tay được Windows Hello chấp nhận, nhà sản xuất phải đáp ứng bộ tiêu chuẩn Microsoft công bố trên trang Windows Hello biometric requirements. Chỉ số được ưu tiên hàng đầu là FAR, tỉ lệ nhận nhầm người lạ thành chủ máy, được Microsoft xem là thước đo then chốt về độ an toàn của thuật toán. Chỉ số thứ hai là FRR, tỉ lệ từ chối nhầm chính chủ, quyết định bạn có phải thử lại nhiều lần hay không.
| Phương thức | FAR tối đa (%) | Tỉ lệ từ chối nhầm tối đa (%) |
|---|---|---|
| Đăng nhập khuôn mặt (camera IR) | 0,001 | 5 |
| Vân tay, cảm biến diện tích lớn | 0,001 | 10 |
| Vân tay, cảm biến diện tích nhỏ | 0,002 | 10 |
| Vân tay, cảm biến dạng vuốt | 0,002 | 10 |
FAR 0,001% tương đương 1 lần nhận nhầm trên 100.000 lần thử. Với vân tay, Microsoft phân loại theo kích thước cảm biến: loại diện tích lớn có ma trận từ 160 x 160 điểm ảnh trở lên ở mật độ 320 dpi, loại nhỏ hơn và loại vuốt được nới ngưỡng FAR lên 0,002%. Mọi đầu đọc đều bắt buộc có biện pháp chống giả mạo, và tỉ lệ từ chối nhầm trong điều kiện thực tế khi bật chống giả mạo phải dưới 10%. Nhờ các ngưỡng này, mở khoá vân tay trên laptop đạt chuẩn hiếm khi nhận nhầm người khác.
Với đăng nhập khuôn mặt, ngưỡng nhận đúng chính chủ phải trên 95% khi chỉ đăng ký một người, tức tỉ lệ từ chối nhầm dưới 5%. Nguyên lý của camera là chụp ở dải hồng ngoại cận, vì ảnh hồng ngoại ổn định dưới nhiều điều kiện ánh sáng và khuôn mặt in trên giấy hay hiện trên màn hình LCD không cho ra ảnh hồng ngoại giống người thật. Do đó webcam chỉ có cảm biến màu không thay được camera IR khi cài đăng nhập khuôn mặt, dù độ phân giải cao tới đâu.
Các bước bật đăng nhập khuôn mặt và vân tay trong Windows 11
Microsoft gom mọi phương thức vào một nơi: mở ứng dụng Settings, chọn Accounts rồi Sign-in options. Mục Ways to sign in liệt kê ba lựa chọn Facial recognition, Fingerprint recognition và PIN, mỗi mục đều gắn nhãn Windows Hello. Hãng lưu ý tính năng nhận diện khuôn mặt cần camera tương thích Hello, còn vân tay cần đầu đọc vân tay, các bước gốc nằm trên trang hướng dẫn Configure Windows Hello của Microsoft.
| Bước | Thao tác trong Settings | Kết quả |
|---|---|---|
| 1 | Accounts > Sign-in options > PIN > Set up | Tạo mã PIN làm phương án dự phòng |
| 2 | Facial recognition > Set up | Quét khuôn mặt bằng camera IR |
| 3 | Fingerprint recognition > Set up | Đăng ký ngón tay đầu tiên để mở khoá vân tay |
| 4 | Fingerprint recognition > Add a finger | Thêm ngón tay dự phòng |
| 5 | Facial recognition > Improve recognition | Bổ sung mẫu khuôn mặt khi đổi kính, để râu |
Bạn nên tạo PIN trước, vì khi khuôn mặt hoặc vân tay không được nhận, Microsoft khuyên đăng nhập bằng PIN hay mật khẩu rồi mới xử lý lỗi. Ở bước quét, ngồi thẳng trước màn hình và nhìn vào camera tới khi thanh tiến trình chạy hết, vì thuật toán chỉ nhận khuôn mặt hướng về thiết bị trong biên độ khoảng 15 độ. Sau khi kích hoạt, từ lần đăng nhập kế tiếp, màn hình khoá cho phép đăng nhập khuôn mặt thay cho mật khẩu, PIN vẫn được duy trì làm phương án dự phòng.
Với mở khoá vân tay, Windows yêu cầu chạm ngón tay nhiều lần để ghi đủ các vùng vân. Microsoft khuyên đăng ký nhiều hơn một ngón và quét ở nhiều góc độ khác nhau, vì khi tay ướt, bị trầy hay đổi tư thế cầm laptop, ngón thứ hai sẽ là phương án dự phòng. Trên laptop đặt đầu đọc ở nút nguồn, bạn có thể đăng ký thêm ngón cái của cả hai tay để thao tác thuận hơn khi đặt laptop trên đùi hoặc trên bàn.
Đăng nhập khuôn mặt thất bại do ánh sáng, kính và phụ kiện
Khi không nhận ra bạn, Windows hiện thông báo Couldn't recognize you. Theo trang hỗ trợ của Microsoft, nguyên nhân phổ biến nhất là ánh sáng: nguồn sáng gắt hoặc quá mạnh chiếu từ một bên khiến camera khó nhận diện. Một số loại trang điểm hiện rõ dưới ánh hồng ngoại, mũ hoặc phụ kiện ôm quanh mặt tạo bóng cũng làm suy giảm đáng kể tỉ lệ nhận đúng. Kính thường không gây lỗi, nhất là khi bạn đã đeo kính lúc cài đặt lần đầu.
Cách xử lý đầu tiên là lau ống kính camera và bảo đảm không có vật che khuất. Sau đó vào Sign-in options, mở mục Facial recognition và chọn Improve recognition để quét thêm một mẫu khuôn mặt. Microsoft giải thích Improve recognition bổ sung mẫu mới bên cạnh mẫu cũ nên tăng khả năng nhận diện, còn Remove rồi cài lại chỉ giữ lần quét gần nhất. Vì vậy khi bắt đầu hoặc thôi đeo kính, hay để râu, cạo râu, bạn nên ưu tiên Improve recognition.
Laptop thuộc công ty hoặc trường học có thể bị quản trị viên kích hoạt chế độ chống giả mạo nâng cao, theo Microsoft chế độ này đặt chuẩn nhận diện cao hơn và hay gây lỗi trong phòng tối. Nếu đã kiểm tra ánh sáng, phụ kiện và quét bổ sung mà đăng nhập khuôn mặt vẫn hiếm khi thành công, camera có thể gặp lỗi phần cứng và bạn nên liên hệ nhà sản xuất laptop. Trong lúc chờ, PIN và mở khoá vân tay vẫn hoạt động bình thường.
Nhập sai nhiều lần thì Windows Hello khoá tạm thời như thế nào
Mã PIN ngắn hơn mật khẩu nhưng khó dò, vì chip TPM có tính năng chống thử mã liên tục. Theo trang câu hỏi thường gặp của Windows Hello for Business trên Microsoft Learn, sau 3 lần nhập sai PIN, Windows yêu cầu gõ cụm thử thách A1B2C3 để được thêm 1 lần thử. Sai tiếp thì phương thức PIN bị vô hiệu tới khi khởi động lại, và nếu vẫn tiếp tục sai, laptop chuyển sang trạng thái khoá với thời gian kéo dài dần theo số lần khởi động lại.
| Mốc khởi động lại khi vẫn nhập sai PIN | Thời gian khoá (phút) |
|---|---|
| Sau lần khởi động lại thứ 1 | 1 |
| Sau lần khởi động lại thứ 4 | 2 |
| Sau lần khởi động lại thứ 5 | 10 |
Sinh trắc học cũng có cơ chế giới hạn riêng. Sau nhiều lần nhận diện thất bại liên tiếp, phương thức khuôn mặt hoặc vân tay có thể tạm thời không khả dụng, và Microsoft lưu ý khởi động lại laptop không khôi phục được ngay. Số lần thất bại cho phép do Windows quy định, chủ laptop lẫn tổ chức quản lý đều chưa thay đổi được. Khi đăng nhập khuôn mặt hay mở khoá vân tay bị khoá tạm, bạn chuyển sang PIN để tiếp tục làm việc.
Microsoft cho biết PIN được sao lưu để khôi phục cùng tài khoản Microsoft, nên khi quên mã bạn có thể đặt lại PIN sau khi xác thực tài khoản. Nếu Windows liên tục đòi tạo PIN mới sau một bản cập nhật bảo mật, hoặc PIN báo lỗi dù nhập đúng, bài 8 cách khắc phục mã PIN Windows 11 không hoạt động tổng hợp các bước sửa từ đơn giản tới phức tạp.
Webcam rời và đầu đọc vân tay USB phải tương thích ESS
Laptop không có sẵn camera IR hay đầu đọc vân tay vẫn có thể đăng nhập khuôn mặt hoặc mở khoá vân tay bằng thiết bị rời. Microsoft cho biết có thể mua camera tương thích Hello hoặc đầu đọc vân tay kết nối qua cổng USB, sau đó cài trong Sign-in options như thiết bị gắn liền. Khi chọn mua, bạn cần sản phẩm ghi rõ hỗ trợ Windows Hello, vì webcam chỉ có cảm biến màu không đáp ứng yêu cầu hồng ngoại cận đã nêu ở trên.
Rào cản lớn nhất là Enhanced Sign-in Security, viết tắt ESS, lớp bảo vệ dùng bảo mật dựa trên ảo hoá VBS và TPM 2.0 để cô lập dữ liệu sinh trắc. Microsoft ghi rõ ESS không hỗ trợ camera rời, và khi ESS bật, mọi cảm biến không tương thích ESS đều bị chặn. Mọi Copilot+ PC bật ESS mặc định. Từ Windows 11 phiên bản 24H2, bạn có thể tắt ESS trong Sign-in options, mục Additional settings, đổi lại dữ liệu sinh trắc không còn được duy trì trong lớp cô lập này.
Khi chọn laptop mới, cách nhanh nhất là đọc bảng cấu hình của hãng. Dòng IR camera hoặc face authentication cho biết laptop hỗ trợ đăng nhập khuôn mặt, còn fingerprint reader kèm vị trí như power button hay touchpad cho biết laptop hỗ trợ mở khoá vân tay. Với vân tay, cụm match on sensor nghĩa là việc so khớp diễn ra ngay trong chip cảm biến, đây cũng là điều kiện Microsoft đặt ra để đầu đọc vân tay chạy được ESS.
Câu hỏi thường gặp về Windows Hello
Laptop không có camera IR có cài được nhận diện khuôn mặt không?
Webcam thường thì không. Microsoft yêu cầu camera tương thích Hello có cảm biến hồng ngoại cận. Bạn có thể mua camera IR rời cắm cổng USB, nhưng nếu laptop đang bật ESS thì camera rời bị chặn cho tới khi tắt chế độ này.
Dữ liệu khuôn mặt có bị gửi lên máy chủ của Microsoft không?
Không. Microsoft cho biết dữ liệu sinh trắc chỉ lưu trên thiết bị dưới dạng mẫu mã hoá, mỗi cảm biến một tệp riêng, không đồng bộ sang thiết bị khác và không gửi tới máy chủ bên ngoài.
Vì sao Windows báo Your fingerprint couldn't be recognized?
Lỗi mở khoá vân tay thường do đầu đọc bẩn, ngón tay ướt hoặc chạm bằng ngón chưa đăng ký. Bạn lau khô cảm biến, cập nhật driver rồi đăng ký lại ngón tay ở nhiều góc độ qua nút Add a finger trong Sign-in options.
Mã PIN ngắn có kém an toàn hơn mật khẩu dài không?
PIN chỉ hoạt động trên đúng một laptop, không lưu trên máy chủ và được TPM chống dò. Khi bật chính sách chặn PIN đơn giản, Windows còn loại các dãy có quy luật như 1111, 1234 hoặc 1357.
