Включение Enhanced Anti-Spoofing в Windows 10

Кратко: эта инструкция показывает, как включить функцию Enhanced Anti-Spoofing в Windows 10 через реестр и групповую политику. Функция повышает защиту биометрии, но работает только на устройствах с аппаратной поддержкой антиспуфинга.

Что такое Enhanced Anti-Spoofing

Enhanced Anti-Spoofing — это опция, которая заставляет подсистему биометрии Windows активнее проверять подлинность датчиков и входных данных (например, лица или отпечатка). Она уменьшаeт риск обхода биометрии с помощью фотографий, масок или поддельных отпечатков. Ключевой момент: параметр сам по себе ничего не добавляет на устройстве — он включает дополнительные проверки только если аппарат и драйверы поддерживают антиспуфинг.

Важно: включение этой опции не превратит устаревший датчик в современный. Если устройство не поддерживает антиспуфинг, изменение настроек не даст эффекта.

Кому это нужно

• Пользователям с биометрическими датчиками и требованиями к безопасности.
• IT-администраторам, которые хотят централизованно повысить уровень защиты входа.
• Организациям с политиками соответствия, где биометрия должна иметь дополнительные проверки.

Быстрая проверка совместимости

1. Откройте «Параметры» → Учётные записи → Параметры входа → Windows Hello.
2. Если устройство поддерживает биометрию, найдите в описании упоминание о защите от подделки или антиспуфинге.
3. Если сомневаетесь — проверьте документацию производителя устройства или драйверов.

Включение через реестр

1. Нажмите Win + R, введите regedit и нажмите Enter.

2. В редакторе реестра перейдите по ключу:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Biometrics\

3. Щёлкните правой кнопкой по ключу «Biometrics», выберите «Создать» → «Раздел» (Key) и назовите его FacialFeatures.

4. В правой панели щёлкните правой кнопкой, выберите «Создать» → «DWORD (32 бита)» и дайте ему имя EnhancedAntiSpoofing.

5. Дважды щёлкните по параметру и установите значение 1 для включения. Значение 0 — выключено.

Важно: изменения в реестре вступают в силу сразу или после перезагрузки системы. Перед правкой реестра сделайте резервную копию раздела.

Включение через групповую политику (Pro/Enterprise)

1. Нажмите Win + R, введите gpedit.msc и нажмите Enter.

2. Перейдите: Компьютерная конфигурация → Административные шаблоны → Компоненты Windows → Biometrics → Facial features.

3. В правой панели откройте политику «Use enhanced anti-spoofing when available» и установите «Включено», затем нажмите OK.

Примечание: в русскоязычной локализации названия политик могут отличаться, ищите разделы Biometrics и Facial features.

Проверка и откат изменений

• Проверка через реестр: значение HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Biometrics\FacialFeatures\EnhancedAntiSpoofing равно 1.
• Проверка через групповую политику: политика включена для компьютера.

Откат: установите значение обратно в 0 или в Group Policy выберите «Отключено» или «Не настроено». Затем перезагрузите устройство.

Когда включать не нужно или когда это не поможет

• На старых веб-камерах и биометрических датчиках без аппаратного антиспуфинга включение не даст эффекта.
• В средах, где требуется полная совместимость с устаревшими устройствами, включение может привести к отказу входа для неподдерживаемых датчиков.
• Если администрация использует сторонние решения для биометрии, настройка Windows может конфликтовать — сначала проверьте совместимость.

Альтернативные подходы к защите входа

• Двухфакторная аутентификация (2FA) с вторым фактором — существенно снижает риск обхода.
• Аппаратные ключи (FIDO2/WebAuthn) для критичных учетных записей.
• Централизованное управление биометрией через MDM/Endpoint Management для контроля политик на всех устройствах.

Шаблон проверки для администратора

• Устройство поддерживает антиспуфинг (проверено документацией/производителем).
• Параметр реестра создан и равен 1 или политика включена.
• Пользователь успешно проходит биометрическую аутентификацию после перезагрузки.
• Зафиксированы исключения для устройств без поддержки (инвентаризация).

Типичные проблемы и способ их решения

• Проблема: после включения биометрия перестала работать на некоторых ноутбуках.
  Решение: проверьте, поддерживает ли конкретный датчик антиспуфинг. Если нет — отключите параметр на этих устройствах.

• Проблема: политика не применяется.
  Решение: выполните gpupdate /force и перезагрузите устройство. Проверьте применённые политики через rsop.msc или gpresult /h report.html.

• Проблема: не удаётся найти ключ реестра.
  Решение: создайте разделы вручную с точной иерархией папок, соблюдая регистр и имена.

Критерии приёмки

1. На тестовом устройстве с поддержкой антиспуфинга значение реестра равно 1 или политика включена.
2. Биометрическая аутентификация проходит успешно и добавлена дополнительная проверка против подделки (фактический тест — попытка обойти биометрию с помощью простой фотографии не должна срабатывать).
3. На устройствах без поддержки функция не вызывает сбоев в работе пользователя.

1‑строчный глоссарий

• Биометрия — способы аутентификации по уникальным физическим характеристикам.
• Антиспуфинг — набор мер, которые усложняют имитацию биометрических данных.
• GPEDIT — редактор локальных групповых политик Windows.

Резюме

Enhanced Anti-Spoofing — полезная дополнительная опция для повышения безопасности биометрии в Windows 10. Она особенно актуальна в организациях и на устройствах с современными датчиками. Перед массовым развёртыванием оцените совместимость оборудования и подготовьте план отката для несовместимых устройств.

Image Credit: Thurrott