Hideez Authenticator
Hideez Authenticator
Частина Hideez Workforce Identity. Більшість застосунків автентифікації спиняються на вебвході — Hideez Authenticator доводить безпарольну MFA до самого робочого місця: працівники розблоковують спільну станцію Windows QR-кодом, дотиком по Bluetooth або NFC-наліпкою, а екран блокується тієї ж миті, коли людина відходить.
Власний телефон кожного працівника стає його корпоративним посвідченням, тож немає ані токенів, ані карток, які треба купувати, надсилати чи міняти. Безпарольний вхід у Windows залишає в журналі аудиту конкретне ім’я навіть на спільних записах, а офлайн-коди тримають на ходу майданчик без зв’язку.
Завантаження для працівників
Вимоги
На телефоні працівника
- iOS 14 або новіша · Android 8 або новіший
- Bluetooth 5 для входу за наближенням, блокування при відході та NFC Tap & Go
- Під час першого запуску встановлюється PIN-код; рекомендовано біометричне розблокування
На робочій станції
- Windows 10 (збірка 1709+), Windows 11 або Windows Server 2022, 64-бітні
- Застосунок Hideez Client для Windows
- З’єднання HTTPS із тенантом Hideez
- NFC-мітки NTAG216 для Tap & Go — звичайні наліпки, жодних зчитувачів карток
Вхід від початку до кінця
Один телефон — і паролі перестають бути частиною робочого дня. Працівники відкривають робочі станції Windows і вебзастосунки за ними одним дотиком, а разом із паролем зникають і облікові дані, які зловмисник намагався б виманити фішингом, і заявка на скидання після забутого пароля.
Навіть системи, які ніколи не мали єдиного входу, рухаються разом з усіма: Hideez AuthShield ставить той самий безпарольний вхід перед застарілими вебзастосунками, тож відмова від паролів не спиняється на сучасній половині інфраструктури.
Як працівники входять і виходять
1. Розблокувати робочу станцію
QR-код на екрані блокування, дотик по Bluetooth поруч із машиною або NFC-наліпка на ній.
2. Увійти у вебсервіси
Застосунки SAML і OIDC відкриваються після одного підтвердження на телефоні.
3. Додати одноразовий код
Коли сервіс просить одноразовий код, він надходить із того самого застосунку.
4. Відійшов — заблокувалося
Екран блокується сам, щойно телефон виходить із зони дії Bluetooth.
Старі вебсистеми, які ніколи не підтримували єдиний вхід, теж охоплені — Hideez AuthShield ставить перед ними той самий безпарольний вхід.
Як працює кожен спосіб входу
Як працівники розблоковують Windows телефоном, дістаються вебзастосунків за ним і продовжують працювати, коли мережа підводить.
На екрані блокування з'являється QR-код. Працівниця сканує його в застосунку та підтверджує запит. Цей шлях працює на будь-якій станції зі встановленим застосунком Hideez Client.
Працівниця відкриває застосунок поруч із машиною, обирає її зі списку й торкається піктограми Bluetooth. Обидва пристрої потребують Bluetooth 5.
NFC-мітка на робочій станції. Розблокувати застосунок відбитком, піднести телефон до мітки — і сеанс відкривається. Створено для машин, які багато разів на день переходять від людини до людини.
Застосунки SAML і OIDC пропонують «Увійти через Hideez Authenticator». Працівниця сканує код на екрані та підтверджує на телефоні.
Там, де пароль усе ще потрібен, підтвердження відбувається на власному пристрої працівниці, а не в полі на сторінці.
Коли команда користується спільним службовим записом, застосунок показує ті записи, які ця людина має право відкрити, і фіксує, хто ним скористався.
Немає зв'язку із сервером — і все одно ніхто не залишився за дверима: застосунок видає одноразовий код, прив'язаний саме до цієї станції.
Якщо станція не входить ані до Active Directory, ані до Entra ID, застосунок усе одно виконує вхід. Пароль залишається всередині застосунку на телефоні.
Кожен вхід має ім'я
Одна консоль погоджує робочі станції, видає способи входу й відрізає загублений телефон. Натомість вона повертає журнал нижче — кожен сеанс на станції прив'язаний до людини, яка його відкрила, включно зі спільними записами.
| Початок↓ | Завершення | Працівник | Робоча станція | Сеанс |
|---|---|---|---|---|
| 14.08.2026 09:02 | Active | Emma Wilson | WS-LINE-07 | shift01 |
| 14.08.2026 07:41 | 14.08.2026 08:58 | James Carter | WS-LINE-07 | shift01 |
| 14.08.2026 07:15 | 14.08.2026 07:39 | Michael Brown | WS-STOCK-02 | m.brown |
| 13.08.2026 18:20 | 13.08.2026 18:22 | Olivia Davis | WS-TILL-11 | till01 |
| 13.08.2026 08:48 | 13.08.2026 18:16 | Sophia Miller | WS-BACKOFFICE | office01 |
- Входи на робочу станцію і у вебсервіси потрапляють до одного журналу — під іменем людини, а не спільного профілю Windows
- Автоматичні блокування при відході також фіксуються, тож кожен сеанс має не лише початок, а й кінець
- Готова до експорту підзвітність під вимоги, які діють залежно від галузі та регіону
Що змінюється для ІТ-команд
Жодних паролів на спільних робочих станціях
Працівники входять телефоном, який і так носять із собою. Нічого не треба змінювати за розкладом, нічого не приклеєно до монітора, нічого не доводиться скидати о сьомій ранку.
Немає обладнання, яке купують і замінюють
Жодних токенів, карток і зчитувачів. Прийом і звільнення стають записом у консолі замість передавання пристрою з рук у руки.
Іменний доступ до спільних записів
Кілька людей, один обліковий запис Windows — і журнал, який усе одно каже, хто і коли відкрив сеанс.
Сеанси, які закриваються самі
Робоча станція блокується, щойно телефон виходить із зони дії Bluetooth. Залишені без нагляду сеанси перестають бути зауваженням аудиту.
Порівняння
Три застосунки автентифікації — і різниця між ними проявляється саме на робочому місці. Команди, які йдуть від Okta Verify чи Duo Mobile, зазвичай приходять по другу половину цього переліку.
| Hideez Authenticator | Microsoft Authenticator | Duo Mobile | |
|---|---|---|---|
| Вхід просто з екрана блокування Windows | Так — QR-код, Bluetooth або NFC-мітка | Ні — вхід у Windows виконує Windows Hello | Так — другий фактор або Passwordless for OS Logon |
| Вхід за наближенням по Bluetooth | Так | Ні | Ні |
| Блокує станцію, коли людина відходить | Так, через Bluetooth | Ні | Ні |
| Вхід дотиком до NFC-мітки на машині | Так, з NFC-наліпкою | Ні | Ні |
| Спільні записи на спільних машинах | Так, із записом по кожному працівнику | Ні | Ні |
| Вхід, коли станція офлайн | Так, офлайн-коди | Лише коди, входу на станцію немає | Так, офлайн-коди доступу |
| Зберігає застарілий пароль до станції | Так, у застосунку на телефоні | Автозаповнення згорнуто у 2025-му | Ні |
| Генератор TOTP для сторонніх сервісів | Так | Так | Так |
| Єдиний вхід SAML / OIDC | Так, Hideez виступає як IdP | Через Microsoft Entra ID | Так, Duo Single Sign-On |
Порівняння станом на серпень 2026 року за публічно задокументованими можливостями. Duo додає другий фактор до входу у Windows за паролем і також пропонує безпарольний вхід в ОС; наближення, NFC та поведінка зі спільними записами — це те, що Hideez додає понад це.
Досвід
Де Hideez уже працює
Державні органи, виробничі компанії та оператори критичної інфраструктури використовують Hideez Workforce Identity — із застосунком, з апаратними ключами або з обома.
Наша команда має великий практичний досвід роботи з системою Hideez, що дозволило інтегрувати її в широкий спектр продуктів. З часом процес інтеграції ставав дедалі простішим, а система продовжує розвиватися, додаючи нові можливості.
Технічне впровадження Hideez пройшло без ускладнень. Особливо сподобалися автоматичне блокування та розблокування робочої станції, швидка робота з документами в Siemens EBR і зручне використання менеджера паролів для RDP-підключень із великою кількістю облікових записів.
Hideez виявився ефективним рішенням 2FA для критичної інфраструктури, і ми бачимо значний потенціал для подальшого вдосконалення в міру розвитку сумісності та стабільності. Він допомагає нам захищати системи відеоспостереження та відеоаналітики, якими щодня користуються тисячі співробітників.
Питання, які ставлять ІТ-команди
Hideez Authenticator безкоштовний?
Застосунок безкоштовно завантажується в обох магазинах. Використання в межах організації входить до передплати Hideez Workforce Identity, яка починається з безкоштовного пробного періоду.
Чи працює він без Hideez Workforce Identity?
Ні. Застосунок автентифікується у тенанті Hideez організації, тож саме тенант робить його робочим. Це компонент платформи, а не самостійний автентифікатор: у тенанті живуть політика безпарольної MFA, погодження робочих станцій і записи аудиту.
Які телефони підтримуються?
iOS 14 або новіша та Android 8 або новіший. Вхід за наближенням, блокування при відході та NFC Tap & Go додатково потребують Bluetooth 5 на телефоні й на робочій станції.
Що потрібно встановити на робочій станції?
Застосунок Hideez Client — на Windows 10 (збірка 1709 або новіша), Windows 11 чи Windows Server 2022, 64-бітні. Він постачається як .exe або як .msi для розгортання через групові політики.
Чи зможуть працівники увійти, коли станція не має зв'язку із сервером?
Так. Застосунок видає одноразовий офлайн-код для цієї машини, і працівник вводить його на екрані блокування.
Як працює блокування при відході?
Робоча станція стежить за телефоном по Bluetooth і блокує сеанс, коли телефон виходить із зони дії або Bluetooth вимикають. У застосунку також є кнопка блокування робочої станції.
Чи потрібні NFC-зчитувачі?
Ні. Tap & Go використовує наліпки NTAG216 на машинах — мітки вартістю кілька центів. Телефон зчитує мітку, щоб розпізнати станцію, а сам вхід іде через Bluetooth.
Чи може endpoint-захист заблокувати вхід через Bluetooth або NFC?
Таке трапляється. Програми, які блокують Bluetooth 5 advertising, унеможливлюють вхід за наближенням і через NFC — Palo Alto Cortex XDR є задокументованим прикладом. Вхід за QR-кодом це не зачіпає, тож у робочої станції завжди лишається безпарольний шлях.
Де зберігаються паролі?
Безпарольний вхід не створює жодного. Там, де станції пароль усе ще потрібен, він лежить усередині застосунку на телефоні працівника за PIN-кодом і біометрією, а на сервері бази паролів не з'являється.
Що робити, якщо працівник загубив телефон?
Адміністратор прибирає цей спосіб входу з профілю працівника, після чого загублений пристрій більше не може увійти, і надсилає нове запрошення до реєстрації.
Чи може один телефон тримати кілька записів або тенантів?
Так. Один застосунок тримає кілька облікових записів на тому самому або на різних серверах Hideez, із вибором запису, коли їх більше ніж один.
Чи є Hideez Authenticator альтернативою Microsoft Authenticator?
У частині MFA для облікових записів Microsoft вони перетинаються. Hideez додає те, що відбувається на робочому місці: розблокування Windows за QR-кодом, Bluetooth або NFC-міткою, блокування машини, коли працівник відходить, відкриття спільних записів і робота, поки станція офлайн.
Чи можна розгорнути його централізовано?
Застосунок постачається з публічних магазинів і розповсюджується будь-якою системою MDM. Клієнт для Windows розгортається через групові політики пакетом .msi.
Це passkey чи автентифікатор FIDO2?
Hideez Authenticator — це власний корпоративний метод автентифікації Hideez. Passkeys та ключі безпеки FIDO є окремими способами входу в межах тієї самої платформи, і працівники можуть користуватися ними поряд із застосунком.
Чи є Hideez Authenticator стійкою до фішингу MFA?
За визначенням CISA і NIST стійка до фішингу MFA означає FIDO2/WebAuthn або PIV. Hideez Authenticator працює за власним протоколом, тож чесна відповідь така: він прибирає пароль, який зловмисник виманював би фішингом, і переносить підтвердження на власний пристрій працівника. Там, де вимога прямо називає стійку до фішингу MFA, та сама платформа видає passkeys і ключі безпеки FIDO, і працівники можуть мати при собі і те, і те.
Чим це відрізняється від Windows Hello?
Windows Hello впускає людину до машини, що стоїть перед нею, за відбитком або обличчям. Hideez Authenticator покриває те, чого Hello не робить: один обліковий доступ до всіх спільних робочих станцій, сеанс, який блокується, коли працівник відходить, вхід у спільні записи та доступ, коли машина офлайн. Обидва можуть працювати на одному парку машин.
Подивіться на справжніх робочих станціях
Коротка зустріч із нашою командою: ми піднімаємо тенант, встановлюємо клієнт Windows на одну машину й виконуємо вхід із телефона. Приходьте зі сценарієм, який справді важливий, — спільні термінали, майданчики з нестабільним зв'язком або Microsoft Authenticator, який мав би сягати далі.