Windows 10/11 的本地账户可否使用 2FA 验证机制？

[bclerdx]

各位，Windows 10/11 的本地账户可否使用 2FA 验证机制？
就是自己设置了本地账户，非 Microsoft 账户的情况下，可否在登录本地账户的时候除了输入登录密码外，还需要额外的 2FA 的随机数字密码？请问，微软上述系统有这个功能？跪谢。

[ShineyWang]

duo 有这个功能
它在策略里面加了限制
登录时需要额外确认

[Nasei]

默认应该是没有这个的，可能需要购买额外软件支持，但是组策略里可以配置多重解锁验证 https://learn.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/multifactor-unlock?tabs=intune

[bclerdx]

@Nasei 那么 Windows 10/11 设置-账户里边的 Windows Hello 人脸、Windows Hello 指纹、Windows Hello PIN 实现的是 2FA 嘛？

[StrangerA]

组策略里似乎可以要求使用加密卡/存放加密数据的 U 盘来做认证的。

2FA 解决的是确认"你是你本人"这个问题，Windows Hello 解决的也是这个问题，但显然并不是 2FA （二次验证）。而你这里要问的 2FA 更像是"基于 OTP 的二次验证"。

[weak]

https://inc.sysu.edu.cn/article/1050

[Nasei]

@bclerdx 不是，毕竟不需要二次认证，我认为他们可以作为 2fa 和 mfa 的某一种认证方式

https://learn.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/#windows-hello-and-two-factor-authentication

[openmm]

有，之前研究过，输密码改为识别 ukey ，并输入 ukey 的密码，微软有提供这么一套东西，有一套框架，就实现自己的 2FA 验证，重写之后编成库，加到系统目录路，注册表再加些对应的东西就能识别出来了

[srsman]

https://github.com/multiOTP/multiOTPCredentialProvider