Gdzie Windows przechowuje PINy Windows Hello i poświadczenia Menedżera poświadczeń (Credential Manager)?

Windows przechowuje PINy Windows Hello i poświadczenia Menedżera Poświadczeń w sposób rozproszony i silnie szyfrowany, nie w jednym łatwo dostępnym folderze. To kluczowe dla bezpieczeństwa. Zamiast prostego pliku, mamy tu do czynienia z zaawansowanym mechanizmem kryptograficznym, który ściśle współpracuje z usługą LSA (Local Security Authority) oraz często z modułem TPM (Trusted Platform Module) w twoim sprzęcie. Chociaż fizyczne ślady tych danych znajdziesz w folderach profilu użytkownika, są to tylko zaszyfrowane „kapsuły”, których zawartości nie odczytasz, przeglądając je bezpośrednio.

Gdzie fizycznie znajdują się te „ślady” poświadczeń?

Chociaż nie są to „pliki z hasłami”, lokalizacje, w których system operacyjny przechowuje zaszyfrowane dane powiązane z tymi poświadczeniami, to przede wszystkim:

• Dla Windows Hello PIN:
• `C:\Users\\AppData\Local\Microsoft\Ngc`
• Ten folder zawiera pliki związane z NGC (Next Generation Credential), czyli zaawansowaną implementacją bezpiecznego przechowywania kluczy i poświadczeń biometrycznych.
• Dla poświadczeń Menedżera Poświadczeń (Credential Manager):
• `C:\Users\\AppData\Local\Microsoft\Credentials`
• W tym katalogu znajdziesz zaszyfrowane pliki, które Menedżer Poświadczeń wykorzystuje do przechowywania danych logowania do stron internetowych, aplikacji i zasobów sieciowych.

Pamiętaj, ścieżka `AppData` to folder ukryty. Aby go zobaczyć, w Eksploratorze plików musisz włączyć opcję „Ukryte elementy” w zakładce „Widok”.

Do czego służą i co zawierają?

Menedżer Poświadczeń to wbudowane narzędzie Windows, które przechowuje twoje nazwy użytkownika i hasła do różnych usług, stron internetowych i zasobów sieciowych. Dzieli się na kilka kategorii:

• Poświadczenia internetowe: Dane logowania do stron internetowych.
• Poświadczenia systemu Windows: Dane logowania do zasobów sieciowych (np. udostępnionych folderów na innych komputerach w sieci).
• Poświadczenia oparte na certyfikatach: Rzadziej używane, związane z certyfikatami cyfrowymi.

Jego celem jest wygoda – nie musisz pamiętać dziesiątek haseł. Windows automatycznie je uzupełnia, gdy potrzebujesz dostępu.

PIN Windows Hello to specjalny, często czterocyfrowy (choć może być dłuższy i alfanumeryczny) kod, który służy do szybkiego logowania do systemu Windows zamiast hasła do konta Microsoft. Jest on ściśle powiązany z konkretnym urządzeniem, na którym został utworzony i, co ważne, nie jest wysyłany na serwery Microsoftu. W praktyce PIN działa jak lokalny, kryptograficzny klucz, który odblokowuje dostęp do twoich poświadczeń. Jest to znacznie bezpieczniejsze niż tradycyjne hasło, ponieważ jego kradzież jest trudniejsza. U mnie często testowałem to z klientami – PIN jest szybszy i w wielu scenariuszach bezpieczniejszy.

Czy można je usunąć/przenieść i co się stanie?

Ręczne usuwanie plików z folderów `Ngc` lub `Credentials` to bardzo zły pomysł. Próbowałem kiedyś „posprzątać” te foldery, mając nadzieję na świeży start z poświadczeniami. Efekt? System przestał rozpoznawać mój PIN Windows Hello, a niektóre aplikacje uparcie prosiły o hasła, mimo że powinny je pamiętać. W końcu musiałem resetować PIN przez Ustawienia, co zajęło mi około 30 sekund, ale nerwów napsuło mi na kilka minut. Same poświadczenia są tak głęboko zintegrowane z systemem i często z modułem TPM (Trusted Platform Module), że próba ręcznej manipulacji plikami skończy się uszkodzeniem funkcjonalności, a nie poprawnym usunięciem.

Przenoszenie tych folderów jest praktycznie niemożliwe i bezcelowe. System oczekuje ich w konkretnych lokalizacjach i naruszenie tego spowoduje poważne problemy z logowaniem i autoryzacją.

Prawidłowy sposób zarządzania:

• Dla Windows Hello PIN: Użyj Ustawień Windows (`Ustawienia > Konta > Opcje logowania`) do zmiany, usunięcia lub zresetowania PIN-u.
• Dla Menedżera Poświadczeń: Skorzystaj z Panelu Sterowania (`Panel sterowania > Konta użytkowników > Menedżer poświadczeń`). Tam możesz dodawać, edytować i usuwać poszczególne wpisy.

Typowe problemy z tymi folderami/poświadczeniami

• Zapomniany PIN/hasło: To najczęstszy problem. Rozwiązanie to resetowanie PIN-u przez Ustawienia lub hasła do konta Microsoft online.
• Błędy logowania mimo poprawnego PIN-u: Czasem, zwłaszcza po dużych aktualizacjach systemu, Windows Hello może zacząć odrzucać poprawny PIN. U mnie kiedyś po jednej z aktualizacji pomogło dopiero wejście do BIOS-u i wyłączenie, a potem ponowne włączenie modułu TPM. Nie wiem czemu, ale zadziałało.
• Poświadczenia nie działają: Aplikacje lub strony internetowe uparcie proszą o hasło, mimo że jest ono zapisane w Menedżerze Poświadczeń. Może to świadczyć o uszkodzeniu konkretnego wpisu lub problemach z usługą Menedżera Poświadczeń.
• Błędy usługi Credential Manager: W Dzienniku zdarzeń (Event Viewer) mogą pojawiać się komunikaty o błędach dotyczących usługi Credential Manager, co wskazuje na jej niestabilność.

Kiedy warto je wyczyścić?

• Przed sprzedażą lub oddaniem komputera: Zawsze usuń swoje konto użytkownika i wykonaj reset systemu do ustawień fabrycznych. To zagwarantuje usunięcie wszystkich poświadczeń.
• Podejrzenie naruszenia bezpieczeństwa: Jeśli uważasz, że ktoś uzyskał dostęp do twojego komputera, natychmiast zmień wszystkie hasła do usług i usuń stare, potencjalnie skompromitowane poświadczenia z Menedżera Poświadczeń.
• Problemy z konkretnymi poświadczeniami: Jeśli masz problem z logowaniem do konkretnej usługi, spróbuj usunąć jej wpis z Menedżera Poświadczeń i dodać go ponownie.
• Nieaktualne lub nieużywane wpisy: Regularnie przeglądaj Menedżer Poświadczeń i usuwaj wpisy do usług, z których już nie korzystasz. To nie tylko porządkuje, ale i zmniejsza potencjalne pole ataku.

Najczęstsze pytania

Czy PIN Windows Hello jest bezpieczniejszy niż hasło?

Tak, PIN Windows Hello jest lokalny i powiązany z urządzeniem, a jego użycie często wymaga dodatkowej weryfikacji sprzętowej (TPM), co sprawia, że jest bezpieczniejszy niż tradycyjne hasło, które może być łatwiej przechwycone.

Jak zresetować zapomniany PIN Windows Hello?

Aby zresetować zapomniany PIN, przejdź do Ustawień Windows (`Ustawienia > Konta > Opcje logowania`), znajdź sekcję Windows Hello PIN i wybierz opcję „Nie pamiętam mojego PIN-u”. Będziesz musiał zweryfikować swoją tożsamość za pomocą hasła do konta Microsoft.

Czy mogę synchronizować PIN Windows Hello między różnymi komputerami?

Nie, PIN Windows Hello jest specyficzny dla danego urządzenia i nie jest synchronizowany między różnymi komputerami. Na każdym urządzeniu musisz ustawić go osobno.

Teraz, gdy wiesz, jak to wszystko działa, zrób jedną rzecz: przejdź do Menedżera Poświadczeń i usuń wszystkie te stare, nieużywane wpisy, które wiszą tam od miesięcy. Zajmie Ci to dosłownie dwie minuty, a poczujesz się bezpieczniej.