多因素身份验证

多因素身份验证（MFA）要求用户使用来自不同类别的两个或更多相互独立的因素来证明身份。即使其中一个因素遭到泄露（例如密码被盗），账户仍然受到保护。

身份验证因素包括：

• 您知道的信息——密码、PIN、安全问题
• 您持有的物品——手机、硬件令牌、智能卡
• 您的生物特征——指纹、面部特征、声音（生物识别）

真正的 MFA 至少使用两个不同类别的因素，而不是两个密码。

TOTP 使用共享密钥和当前时间生成一个每 30 秒变化一次的 6 位代码（RFC 6238）。相关应用包括：Google Authenticator、Authy、Microsoft Authenticator。

TOTP 可以防范重放攻击，但容易受到实时网络钓鱼攻击。

基于 SMS 的 OTP 使用方便，但存在明显的安全弱点：

• SIM 卡交换——攻击者通过社会工程手段诱骗运营商转移受害者的号码
• SS7 攻击——民族国家级攻击者在电信层面拦截 SMS
• 实时网络钓鱼——攻击者即时转发受害者收到的 OTP，使其传递给目标网站

SMS OTP 比完全没有 MFA 更好，但它是最弱的一种形式。

硬件安全密钥（YubiKey、Google Titan）使用公钥密码学。设备会对与特定网站绑定的挑战进行签名，因此能够抵抗网络钓鱼——在伪造网站上无法使用。

这是 MFA 的最高安全标准。

身份验证应用会发送推送通知：“批准从纽约发起的登录吗？”用户点击批准或拒绝。此方式很方便，但容易受到MFA 疲劳攻击——攻击者不断发送批准请求，直到疲惫的用户不小心批准为止。

这种攻击也称为推送轰炸：攻击者已经掌握密码，并发送几十条 MFA 推送通知，希望用户因沮丧或困惑而批准其中一条。应对措施：要求在推送通知中进行数字匹配（用户必须输入登录屏幕上显示的代码）。

通行密钥（FIDO2/WebAuthn）将“您持有的物品”（设备密钥）与“您的生物特征”（生物识别解锁）结合为一个能够抵抗网络钓鱼的凭据。不需要密码。主要平台均已支持。

现代身份平台支持条件访问：只有风险信号表明存在风险时才要求 MFA（例如不熟悉的位置、新设备或敏感资源）。逐步提升身份验证要求可以在维持安全性的同时改善用户体验。

攻击者可以通过以下方式绕过 MFA：

• 实时网络钓鱼（AiTM）——代理在 MFA 完成后捕获会话 Cookie
• SIM 卡交换——拦截 SMS 验证码
• MFA 疲劳——发送大量推送通知
• 对服务台进行社会工程攻击——通过支持工单禁用 MFA

实施 MFA 时：

• 默认要求所有用户使用 MFA
• 提供多种 MFA 选项，但必须提供硬件密钥和 TOTP
• 教育用户识别 MFA 疲劳攻击——如果不是用户本人发起的登录，请拒绝推送请求
• 在身份验证日志中监控 MFA 绕过模式

哪种 MFA 方法能够通过以密码学方式将身份验证绑定到特定网站来抵抗网络钓鱼？

MFA 要求使用来自不同类别（知道、持有、生物特征）的两个因素。TOTP 应用很可靠；硬件密钥（FIDO2）更出色，能够抵抗网络钓鱼。SMS OTP 最弱，容易受到 SIM 卡交换攻击。MFA 疲劳攻击会大量发送推送通知；数字匹配可以缓解这种风险。通行密钥将硬件和生物识别结合为一个无缝的凭据。