带指纹的开机键，开机后自动进桌面，这是个 feature 还是 bug？

[hazardous]

换了带指纹的笔记本。换之前每天习惯是按开机之后再去接点热水之类的准备活动，现在回来之后就发现自动进桌面了，感觉很不安全。 开始以为是设置问题，但检查了一遍发现没有可疑的地方，为防显示状态和内部状态不一致，每个设置的地方重新开关了一遍，还是不行。后来发现只要换个手指头按开机键就不会进桌面了，那就确定了是指纹模块的原因。 我理解是这样的：开机瞬间，操作系统肯定是没有加载的，指纹识别模块从加电瞬间就一直记忆着我的指纹（或者指纹的特征编码），直到操作系统登录界面索要的时候才把这个结果给它。这个颠覆了我一直以为指纹模块就是外部调接口的时候才会激活的传感器设备，它是能长时间存储你的指纹的。这是否有安全风险？ 或者操作系统的设计者认为，按下开关的人就会一直呆在屏幕前直到开机完成（因为现在开机都很快嘛），就跟直接在锁屏界面按指纹一样，所以故意这么设计的？

[vcn8yjOogEL]

如果它能保证在首次认证后立刻清空指纹数据, 那这个行为本身的旁路攻击窗口应该不大, 设备被他人接触时指纹数据多半已经被清空了

但开机一般不代表认证, 这两个操作我个人认为是不应该合并的

[oott123]

是 feature ，我猜应该是走安全启动 / TPM 那套，应该挺安全的吧

[hazardous]

@vcn8yjOogEL 清空不清空这个没法查证，但是它具有存储功能，这个是否是没有必要的？我只需要它能即时返回给调用者我的指纹特征码就行了。
或者说我的理解一直是错误的，操作系统并没有记录我的指纹，我录入的指纹就是保存在指纹模块里的，操作系统只获得了一个“验证是否通过”的返回值？

[xtreme1]

https://learn.microsoft.com/en-us/windows-hardware/design/device-experiences/windows-hello-enhanced-sign-in-security#enable-enhanced-sign-in-security

[vcn8yjOogEL]

@hazardous #3 没有必要, 应该尽可能避免储存数据

但还是要看具体实现, 到底是什么东西在做认证

一种可能方案是指纹设备不记录数据, 开机时会有专用组件做指纹认证, 认证成功后通知 TPM 释放密钥, 整个流程和操作系统无关, 操作系统只会向 TPM 请求密钥并在需要认证时通知用户(我不清楚这么做能不能让 Windows 自动登录)

但也可能是真的储存了指纹数据, 这样会简单很多

[hazardous]

@xtreme1 多谢！那这个就应该属于文章里的 Wake on Touch (WoT)功能了，而且关机也不是真关机而是“高级待机”，开机其实是“唤醒”，按开机键时操作系统就是在线的，可以立即访问指纹设备，认证是由操作系统在此时完成而不是在登录界面。这么说指纹设备也就不用存储了。
这个“高级待机”虽然一直知道，但只觉得它只是加快开机速度而已，没有想到还有这些关联的功能。

[wzcloud]

开机时换个没录入指纹的手指按

[hazardous]

@xtreme1 但还是希望有个单独开关关闭这一功能，似乎是没有。目前只能换个手指头开机了。

[hazardous]

@wzcloud 目前只能这么做了。
只是这个问题引发了我对指纹设备的工作模式的一些疑虑，上面老哥的链接解释了这个问题，现在问题变成了：“按指纹开机”这一操作导致操作系统的认证时机由登录界面变成开机时了，反常识。

[wzcloud]

@hazardous 更大的可能是，你以为的“关机”实际上只是睡眠，并不是真正的关机。所以才会出现开机通过指纹直接进系统。
你可以在电源选项设置里改成关机。

[FengMubai]

@hazardous #8 BIOS 里面应该有的吧

[momo1pm]

@wzcloud 估计得 bios 修改吧，win11 现在很抽象

[hazardous]

@wzcloud 关机的菜单里是有“睡眠”和“关机”的，我确定每次都是点的“关机”。关于“睡眠”“休眠”“快速启动”这些概念我也都是了解的。我理解错误的是：我以为休眠后按下开机键时，因为系统是彻底断电的，也要经历先加载 bios 再加载操作系统的过程，在操作系统加载之前，指纹模块应该是还不能用的，但是现在他们之间有了更深度的融合导致一加电就能立即启用。

[wm5d8b]

10 年前的 ThinkPad 自带的安全芯片，电池有电就会运行。指纹验证通过后，可以做到自动给主板上电、自动完成开机加电验证、自动完成操作系统用户登录验证