Windows Hello: čtečka otisků, nebo IR kamera?

Pro otevřený notebook bývá pohodlnější IR kamera. Při práci se zavřeným víkem v dokovací stanici nebo s krytkou kamery dává větší smysl čtečka otisků. Vždy však ověřte výbavu konkrétního kusu: běžná webkamera neumí Windows Hello Face a čtečka může být u stejného modelu pouze volitelná.

Údaj „má webkameru“ nepotvrzuje přihlášení obličejem. Windows Hello Face potřebuje kompatibilní infračervenou kameru, zatímco běžná HD nebo FHD kamera pořizuje obraz pro videohovory. Ani označení „podporuje Windows Hello“ neříká, zda notebook obsahuje IR kameru, čtečku otisků, nebo pouze umožňuje přihlášení pomocí PINu.

Výbava se může lišit i mezi notebooky se stejným názvem. Jeden ThinkPad T14 může mít IR kameru i čtečku, druhý pouze běžnou kameru a třetí může být bez biometrického senzoru. Rozhoduje celé produktové číslo a skutečná konfigurace kusu, nikoli fotografie modelové řady.

Do výběru vstupuje také Enhanced Sign-in Security neboli ESS. Tato ochrana ve Windows 11 odděluje zpracování biometrických údajů od běžného prostředí systému. Je-li aktivní, nekompatibilní externí kamera nebo čtečka nemusí být pro Windows Hello dostupná, přestože zařízení dál funguje k jinému účelu.

Kdy notebook nekupovat naslepo

Notebook nevybírejte s předpokladem, že chybějící nebo nefunkční biometrii později snadno doplníte, pokud:

• prodejce uvádí pouze „webkameru“ nebo „volitelnou čtečku“, ale nedoloží výbavu konkrétního kusu;
• přihlášení funguje jen po vypnutí ESS a není jasné, zda příčinou je nekompatibilní senzor, ovladač nebo firmware;
• zařízení má neznámé heslo do BIOSu, aktivní firemní správu nebo jiný zámek bez doloženého oprávnění k odstranění.

Neinstalujte ovladače z neověřených webů a neměňte bezpečnostní nastavení celé firemní flotily jen kvůli jedné USB periferii. U spravovaného zařízení se nepokoušejte obcházet ochranu firmwaru nebo organizace. Další souvislosti shrnuje článek o heslu do BIOSu a firemních zámcích notebooku.

Při výběru postupujte ve třech krocích:

1. zjistěte přesné produktové číslo kusu a dohledejte původní možnosti výbavy v dokumentaci výrobce;
2. porovnejte dokumentaci se senzory, které skutečně eviduje Windows, a oddělte potvrzené funkce od volitelné výbavy;
3. teprve potom vybírejte konkrétní kus, například v nabídce repasovaných firemních notebooků, a myslete na omezení ESS i dokovacího režimu.

XJO je testovací katalog. Zobrazený záznam nepotvrzuje aktuální dostupnost, možnost objednání ani stav konkrétního kusu.

Otisk, nebo obličej podle způsobu práce

Situace	Praktičtější volba	Proč
Notebook používáte otevřený na stole	IR kamera	Přihlášení začne při pohledu na obrazovku
Notebook bývá zavřený v dokovací stanici	Čtečka otisků	Vestavěná kamera zůstává pod zavřeným víkem
Běžně zavíráte krytku kamery	Čtečka otisků	Zakrytá IR kamera nemůže snímat obličej
Pracujete v rukavicích nebo míváte mokré či znečištěné prsty	IR kamera	Čtečka nemusí otisk spolehlivě rozpoznat
Nechcete při přihlášení mířit obličejem ke kameře	Čtečka otisků	Stačí přiložit zaregistrovaný prst

Čtečka zabudovaná do tlačítka napájení šetří místo. Samostatná čtečka na opěrce dlaní se používá bez stisku vypínače. Umístění však samo o sobě nevypovídá o bezpečnostních vlastnostech senzoru ani o podpoře ESS.

Při zavřeném notebooku myslete také na dostupnost tlačítka napájení a umístění dokovací stanice. Výběr konektorů a obrazových výstupů rozebírá průvodce USB-C dokovacími stanicemi k notebooku.

Webkamera, IR kamera a čtečka nejsou totéž

• HD nebo FHD webkamera pořizuje běžný obraz pro videohovory. Její rozlišení nepotvrzuje podporu Windows Hello Face.
• IR nebo hybridní IR kamera obsahuje infračervenou část potřebnou pro rozpoznávání obličeje. Hybridní modul zpravidla spojuje běžnou a IR kameru.
• Čtečka otisků snímá zaregistrovaný prst. U stejného modelu může být standardní, volitelná, nebo zcela chybět.
• Match-on-chip či match-on-sensor znamená, že porovnání biometrických dat probíhá uvnitř zabezpečeného senzoru. Samotný tento údaj ještě nepotvrzuje plnou kompatibilitu s ESS.
• PIN Windows Hello je svázaný s konkrétním zařízením a slouží také jako záložní cesta, když biometrická metoda selže nebo není dostupná.

Kvalitu obrazu pro videohovory posuzujte samostatně. Přítomnost IR části nic nezaručuje o ostrosti běžného videa, práci v protisvětle ani kvalitě mikrofonů. Tyto vlastnosti řeší průvodce notebookem pro online schůzky.

Stejný ThinkPad může mít jinou biometrii

Specifikace Lenovo ukazují, proč nestačí název modelu.

Model	Možnosti čtečky otisků	Možnosti kamery
ThinkPad X13 Gen 2 Intel	Volitelná čtečka v tlačítku napájení, nebo konfigurace bez ní	HD kamera, FHD hybridní IR kamera, nebo konfigurace bez kamery
ThinkPad T14 Gen 2 Intel	Volitelná čtečka na opěrce dlaní, nebo konfigurace bez ní	HD kamera, hybridní IR varianta, nebo konfigurace bez kamery
ThinkPad P15 Gen 2	Dotyková čtečka na opěrce dlaní (match-on-chip)	HD kamera, hybridní varianta s IR, nebo konfigurace bez kamery

Varianty popisují dokumenty PSREF pro ThinkPad X13 Gen 2 Intel, PSREF pro ThinkPad T14 Gen 2 Intel a PSREF pro ThinkPad P15 Gen 2.

Tabulka uvádí možnosti celé modelové řady, nikoli výbavu každého vyrobeného kusu. Přesný postup identifikace popisuje článek Produktové číslo notebooku: jak ověřit konfiguraci.

Co mění Enhanced Sign-in Security

Podle dokumentace Microsoftu k Enhanced Sign-in Security využívá ESS Virtualization-Based Security a TPM 2.0 k oddělení biometrických dat a ověřovacího procesu od běžného prostředí Windows.

Podpora nezávisí jen na nápisu „match-on-chip“. Potřebný je odpovídající senzor, firmware, ovladač a výrobcem připravený bezpečnostní řetězec. Dva podobné snímače proto nemusí mít ve Windows stejné možnosti.

ESS může omezit použití externích biometrických zařízení, která jeho požadavky nesplňují. USB kamera přitom může dál přenášet obraz do videokonference, ale nemusí být dostupná pro Windows Hello Face. Stejně tak nelze předpokládat, že libovolná externí čtečka otisků bude fungovat jako přihlašovací zařízení.

V podporovaných verzích Windows 11 lze ESS kvůli kompatibilitě vypnout v možnostech přihlášení. Tím se však snižuje úroveň ochrany biometrického přihlášení. Před změnou proto ověřte dokumentaci výrobce notebooku, periferie i používané verze Windows a u spravovaného počítače také pravidla organizace.

Jak zkontrolovat konkrétní notebook ve Windows

Kontrolu proveďte před předáním notebooku uživateli:

1. Otevřete Nastavení > Účty > Možnosti přihlášení. Zkontrolujte, zda systém nabízí rozpoznávání obličeje, otisk prstu a PIN.
2. Ve Správci zařízení otevřete části Biometrická zařízení a Kamery. Čtečka musí mít vlastní položku a u kamery je potřeba rozlišit běžný obrazový modul od IR části.
3. Nainstalujte ovladače a firmware pouze z oficiální podpory výrobce pro přesné produktové číslo.
4. Nastavte PIN, zaregistrujte požadovanou biometrickou metodu a vyzkoušejte přihlášení po uzamčení i po restartu.
5. Pokud používáte dokovací stanici nebo externí senzor, zopakujte test v běžném pracovním zapojení.

Chybějící volba nemusí znamenat vadný ovladač. Daná konfigurace může být fyzicky bez IR kamery nebo čtečky. Vestavěnou biometrii proto nevybírejte s očekáváním, že ji později jednoduše doplníte.

Co zvolit pro malou firmu

U více notebooků je důležitější jednotná a doložená konfigurace než shodný název modelu. Evidujte produktové číslo, přítomnost IR kamery, umístění a typ čtečky i stav ESS. Uživatelé pak dostanou stejný postup a správce nebude řešit, proč na jednom počítači funguje přihlášení obličejem a na druhém se tato možnost vůbec nezobrazuje.

IR kameru volte především pro notebooky používané s otevřeným displejem. Čtečka otisků se hodí při práci v dokovací stanici, při častém zakrývání kamery nebo tam, kde uživatel nechce přihlášení obličejem. Pokud mají zaměstnanci používat externí biometrické periferie, prověřte jejich kompatibilitu s ESS ještě před nákupem.

Nejčastější chyby při výběru

• zaměnit běžnou webkameru za IR kameru;
• přenést volitelnou výbavu modelové řady na konkrétní kus;
• považovat označení match-on-chip za úplný důkaz podpory ESS;
• předpokládat, že každá USB kamera nebo čtečka bude fungovat se zapnutým ESS;
• hodnotit kvalitu videohovorů pouze podle přítomnosti IR kamery;
• neotestovat přihlášení v reálném zapojení s dokovací stanicí a zavřeným víkem.

Časté otázky

Stačí pro Windows Hello Face běžná webkamera?

Ne. Běžná HD nebo FHD webkamera slouží k pořizování obrazu. Přihlášení pomocí Windows Hello Face vyžaduje kompatibilní IR kameru.

Je čtečka v tlačítku napájení lepší než na opěrce dlaní?

Ne automaticky. Rozdíl spočívá hlavně v umístění a způsobu používání. Pro zabezpečení jsou důležitější vlastnosti konkrétního senzoru, ovladač, firmware a kompatibilita s ESS.

Znamená match-on-chip automaticky podporu ESS?

Ne. Jde o potřebnou technickou vlastnost některých podporovaných snímačů, nikoli o úplné potvrzení kompatibility. Rozhoduje celý řetězec senzoru, firmwaru, ovladače a konfigurace zařízení.

Proč Windows nevidí externí čtečku nebo kameru?

Zařízení může postrádat vhodný ovladač, nemusí podporovat Windows Hello nebo jej může odmítnout aktivní ESS. Nejdříve ověřte přesný model periferie, dokumentaci výrobce a stav ve Správci zařízení.

Jak nejspolehlivěji ověřit biometrii repasovaného notebooku?

Začněte produktovým číslem konkrétního kusu a dokumentací výrobce. Potom ve Windows zkontrolujte možnosti přihlášení, biometrická zařízení a kamerové moduly a přihlášení prakticky vyzkoušejte.