Logowanie biometryczne w Windows pozwala szybko i wygodnie uzyskać dostęp do komputera za pomocą odcisku palca lub rozpoznawania twarzy. W tym artykule przeprowadzę Cię krok po kroku przez konfigurację tej funkcji, wyjaśnię, jak sprawdzić jej zgodność z urządzeniem i zadbać o bezpieczeństwo danych. Dowiesz się także, co zrobić, jeśli logowanie biometryczne nie działa zgodnie z oczekiwaniami.
Aby skonfigurować Windows Hello w Windows 10 lub 11, otwórz Ustawienia skrótem Win + I i wybierz Konta → Opcje logowania. W sekcji „Sposoby logowania” sprawdzisz, które metody obsługuje komputer. Najpierw ustaw PIN: kliknij „PIN (Windows Hello)” → „Dodaj”, potwierdź tożsamość hasłem do konta i wybierz PIN składający się z co najmniej 4 cyfr. W opcjach możesz też dopuścić litery i znaki specjalne. PIN jest zwykle wymagany, zanim włączysz biometrię.
Potem wybierz „Rozpoznawanie twarzy” lub „Odcisk palca” i kliknij „Skonfiguruj”. Do logowania twarzą potrzebujesz kamery na podczerwień zgodnej z Windows Hello — zwykła kamera internetowa RGB nie wystarczy. Rejestrując odcisk, kilka razy przyłóż ten sam palec i za każdym razem lekko zmień jego ułożenie; możesz dodać także inne palce. PIN sprawdzi się jako metoda zapasowa, gdy kamera lub skaner zawiedzie.
Twoje dane biometryczne pozostają bezpiecznie na komputerze
Po konfiguracji zablokuj komputer skrótem Win + L i sprawdź logowanie twarzą lub odciskiem. System przechowuje szablony biometryczne lokalnie, a układ TPM 2.0 chroni klucze logowania; Windows 11 standardowo wymaga tego układu. Na zgodnych urządzeniach możesz też włączyć rozszerzone zabezpieczenia logowania (ESS), które dzięki zabezpieczeniom opartym na wirtualizacji izolują obsługę biometrii. Dostępność ESS zależy od sprzętu, sterowników i oprogramowania układowego.
Jeśli nie widzisz opcji dodania twarzy lub odcisku, sprawdź w Menedżerze urządzeń, czy system wykrywa kamerę IR albo czytnik i czy ma on aktualny sterownik. Gdy komputer nie rozpoznaje palca, oczyść i osusz skórę oraz sensor, usuń zapisany odcisk i zarejestruj go ponownie. W moim przypadku dodanie drugiego palca ułatwiło logowanie, gdy pierwszy był zajęty. Jeśli zapomnisz PIN-u, na ekranie logowania wybierz opcję resetowania, potwierdź tożsamość za pomocą konta i ustaw nowy kod.
Jak skonfigurować logowanie biometryczne w Windows
Skonfiguruj Windows Hello w kilku krokach: sprawdź sprzęt, ustaw PIN, zarejestruj biometrię, a następnie przetestuj logowanie i dostępność dodatkowej ochrony ESS.
- Sprawdź zgodność urządzenia. Windows Hello działa w Windows 10 i 11. Do logowania twarzą potrzebujesz kamery IR zgodnej z Windows Hello — zwykła kamera RGB nie wystarczy — a do logowania odciskiem palca: zgodnego czytnika. PIN nie wymaga czujnika biometrycznego. W Windows 11 sprawdź też, czy aktywny jest TPM 2.0. Funkcja ESS wymaga ponadto zgodnego czujnika, sterowników i oprogramowania układowego oraz zabezpieczeń opartych na wirtualizacji (VBS).
- Ustaw PIN Windows Hello. Otwórz Ustawienia → Konta → Opcje logowania i wybierz PIN (Windows Hello). Potwierdź tożsamość hasłem do konta, a potem utwórz PIN. Windows przypisuje go do tego urządzenia, a TPM chroni klucze i ogranicza próby odgadnięcia. Ustaw PIN również jako metodę zapasową, gdy czujnik będzie niedostępny.
- Zarejestruj twarz lub odcisk palca. W Opcjach logowania wybierz odpowiednią metodę i postępuj zgodnie z instrukcjami kreatora. Przy rozpoznawaniu twarzy patrz w kamerę IR; jeśli system na to pozwala, dodaj drugi wygląd, na przykład w okularach. Przy rejestracji odcisku przykładaj ten sam palec pod różnymi kątami. Możesz dodać więcej niż jeden palec. Windows przechowuje dane biometryczne lokalnie i nie wysyła ich do chmury.
- Sprawdź ustawienie ESS, jeśli urządzenie je obsługuje. W Windows 11 otwórz Ustawienia → Konta → Opcje logowania → Dodatkowe ustawienia i sprawdź pozycję „Rozszerzone zabezpieczenia logowania”. ESS izoluje przetwarzanie biometrii za pomocą VBS, TPM 2.0 i zgodnego sprzętu, a obsługuje wyłącznie certyfikowane czujniki. Włączenie tej funkcji może usunąć wcześniejsze rejestracje, więc skonfiguruj biometrię ponownie. Po aktywowaniu ESS niezgodne czujniki mogą być niedostępne.
- Przetestuj logowanie i przygotuj metodę odzyskiwania. Zablokuj komputer skrótem Win + L, zaloguj się twarzą lub odciskiem, a następnie sprawdź PIN. Jeśli go zapomnisz, na ekranie logowania wybierz resetowanie i potwierdź tożsamość za pomocą konta. Gdy biometria nie działa, odsłoń czujnik, zaktualizuj lub zainstaluj ponownie jego sterownik, a potem zarejestruj dane ponownie.
Jak sprawdzić, czy komputer i czujniki obsługują ESS
Aby sprawdzić obsługę rozszerzonych zabezpieczeń logowania (ESS), otwórz Ustawienia → Konta → Opcje logowania i znajdź pozycję „Rozszerzone zabezpieczenia logowania”. Status „Włączone” oznacza, że funkcja działa. Z kolei komunikat „Oczekuje na skonfigurowanie” informuje, że komputer ją obsługuje, ale wymaga rejestracji zgodnego czujnika. ESS potrzebuje VBS, TPM 2.0 oraz odpowiednich sterowników i oprogramowania układowego — sama obsługa Windows Hello nie wystarczy.
Na liście znajdują się elementy, które warto sprawdzić, aby potwierdzić zgodność ESS:
- Moduł kamery IR, a nie zwykła kamera RGB.
- Wartość CM_DEVCAP_SECUREDEVICE w polu „Możliwości” we właściwościach kamery.
- Czytnik linii papilarnych porównujący wzór bezpośrednio w czujniku.
- Certyfikat Microsoft oraz zgodne sterowniki i firmware czytnika.
Następnie sprawdź urządzenia w Menedżerze urządzeń. Kamera musi być zgodnym modułem IR, a nie zwykłą kamerą RGB; w jej właściwościach, w sekcji „Szczegóły”, w polu „Możliwości” powinna widnieć wartość CM_DEVCAP_SECUREDEVICE. Czytnik linii papilarnych musi porównywać wzór bezpośrednio w czujniku, mieć certyfikat Microsoft oraz zgodne sterowniki i firmware. Sam opis „Windows Hello” nie potwierdza obsługi ESS.
VBS w akcji: procesy i zdarzenia ujawniają, jak działa czujnik
W aplikacji Informacje o systemie, w sekcji „Podsumowanie systemu”, sprawdź, czy zabezpieczenia oparte na wirtualizacji mają status „Uruchomione”. Obecność procesów bioiso.exe i ngciso.exe to dodatkowa wskazówka. Więcej szczegółów znajdziesz w Podglądzie zdarzeń: Dzienniki aplikacji i usług → Microsoft → Windows → Biometrics → Operational. Zdarzenia pokażą, czy czujnik działa w izolowanym środowisku VBS, czy w zwykłym procesie systemowym.
Najpierw sprawdź status ESS w Ustawieniach, a potem urządzenie w Menedżerze urządzeń — dzięki temu szybciej ustalisz, czy problem dotyczy konfiguracji, czy sprzętu. Po włączeniu ESS nieobsługiwane czujniki biometryczne mogą zniknąć z Windows Hello, a ponowna konfiguracja może wymagać ponownego zarejestrowania odcisku palca lub twarzy. W komputerach Copilot+ ESS bywa włączone fabrycznie, jednak nie każdy model ma zgodny czujnik. Nie każdy komputer Copilot+ ma zgodny czujnik.
Wskazówka: przed włączeniem ESS zapisz metodę zapasowego logowania, np. PIN Windows Hello — niezgodny czujnik może przestać być dostępny po aktywowaniu tej funkcji.
Jak działa TPM i lokalne przechowywanie danych biometrycznych
TPM (moduł zaufanej platformy) to układ kryptograficzny wbudowany w płytę główną lub procesor. W Windows 11 standardem jest TPM 2.0, który tworzy klucze RSA lub ECC, przechowuje klucz prywatny w chronionym sprzętowo obszarze i ogranicza próby po błędnym uwierzytelnieniu. Podczas logowania przez Windows Hello system najpierw sprawdza twarz, odcisk palca albo PIN przypisany do komputera, a następnie zezwala na użycie klucza. Sam PIN nie daje dostępu do konta bez tego urządzenia.
Dane biometryczne mają postać zaszyfrowanego szablonu, a nie zdjęcia twarzy czy kopii odcisku palca. System przechowuje go na urządzeniu, nie w chmurze ani na serwerach Microsoft. Do rozpoznawania twarzy Windows Hello wymaga kamery na podczerwień, a do odcisku — zgodnego czytnika. Dzięki temu loguję się bez wpisywania hasła, a dane pozostają lokalnie.
Biometria zostaje na urządzeniu, a klucz potwierdza tożsamość
Na zgodnych komputerach dodatkową ochronę zapewnia Rozszerzone bezpieczeństwo logowania (ESS). Dzięki zabezpieczeniom opartym na wirtualizacji (VBS) oddziela ono algorytm i szablony od zwykłych procesów Windows. Przy rozpoznawaniu twarzy chroniona ścieżka przekazuje obraz z kamery bezpośrednio do algorytmu, a VBS szyfruje nieużywany szablon własnymi kluczami. Czytnik odcisków z ESS dopasowuje wzór w zabezpieczonym układzie i łączy się z systemem przez uwierzytelniony kanał.
Po dopasowaniu zabezpieczone składniki zezwalają na użycie klucza TPM, który może podpisać żądanie logowania do systemu, aplikacji lub usługi. To klucz kryptograficzny potwierdza tożsamość, natomiast szablon biometryczny pozostaje na urządzeniu. ESS wymaga zgodnego sprzętu, sterowników i oprogramowania układowego; niektóre komputery Copilot+ mają tę funkcję domyślnie włączoną. Jeśli czujnik przestanie działać, sprawdź sterownik, usuń zapis biometryczny i skonfiguruj go ponownie. W razie potrzeby zaloguj się PIN-em.
Jak rozwiązać problemy z logowaniem twarzą lub odciskiem palca
Jeśli logowanie twarzą lub odciskiem palca przestało działać, przetrzyj kamerę i czytnik, osusz palec oraz odsłoń kamerę. Przy rozpoznawaniu twarzy zadbaj o równe oświetlenie i patrz prosto w obiektyw. Pamiętaj też, że Windows Hello wymaga zgodnej kamery na podczerwień (IR) — zwykła kamera internetowa może nie wystarczyć.
Następnie sprawdź, czy Windows wykrywa czujnik: otwórz Menedżer urządzeń i rozwiń sekcję „Aparaty” lub „Urządzenia biometryczne”. Jeśli czytnika brakuje albo widnieje przy nim błąd, zaktualizuj sterownik. Gdy to nie pomoże, odinstaluj urządzenie i uruchom komputer ponownie, aby Windows ponownie zainstalował sterownik. Po aktualizacji systemu również wykonaj restart.
Jeśli czujnik działa, ale nadal nie rozpoznaje twarzy lub palca, otwórz Ustawienia i wybierz „Konta” oraz „Opcje logowania”. Usuń dotychczasowe dane biometryczne, po czym skonfiguruj logowanie ponownie. Przy rejestracji odcisku przykładaj palec pod różnymi kątami; przy rozpoznawaniu twarzy zadbaj o dobre oświetlenie i dodaj drugi wygląd, na przykład w okularach. Najpierw sprawdź czujnik i sterownik — często to one powodują problem.
Zapasowy PIN może przywrócić dostęp, gdy zawiedzie czujnik
Ustaw PIN Windows Hello jako zapasową metodę logowania. Jeśli system go odrzuca, na ekranie logowania wybierz resetowanie PIN-u i potwierdź tożsamość zgodnie z instrukcjami. Windows 11 wymaga modułu TPM 2.0, więc jego awaria lub wyłączone ustawienie mogą zablokować opcje logowania. W razie potrzeby sprawdź w BIOS-ie, czy TPM jest włączony.
Rozszerzone zabezpieczenie logowania obsługuje tylko zgodne czujniki i sterowniki. W „Opcjach logowania” sprawdź, czy funkcja jest włączona, a w Informacjach o systemie — czy zabezpieczenia oparte na wirtualizacji mają stan „Uruchomione”. Jeśli używasz zewnętrznego czytnika, tymczasowo wyłącz rozszerzone zabezpieczenie logowania, ponieważ skaner może go nie obsługiwać.
Gdy problem nadal występuje, sprawdź dzienniki „Biometrics” w Podglądzie zdarzeń, uruchom ponownie usługę biometryczną lub zapytaj producenta komputera o zgodność czujnika. Windows przechowuje dane twarzy i odcisków lokalnie, a nie w chmurze, dlatego ponowną rejestrację wykonasz na urządzeniu. Po każdej zmianie zablokuj komputer i przetestuj logowanie, zanim zamkniesz pozostałe metody dostępu.
