多因素认证（MFA）：定义、工作原理和示例

什么是多因素认证？

多因素认证（Multi-Factor Authentication，缩写为 MFA）是一种用户身份验证方法，它要求用户提供两个或更多种身份验证因素，才能成功访问账号或公司资源。MFA 用于身份验证的因素通常分为以下几大类别：

• 您所知道的因素：例如密码或 PIN 码；
• 您所拥有的因素：例如身份验证应用或电子邮件账号；
• 您自身具备的特征：例如指纹或面部扫描等生物识别信息。

通过结合使用多种验证因素，MFA 构建了一道分层的安全防线，有效降低了未经授权访问的风险。即使威胁行为者设法破解了第一个验证因素（比如密码），他们也很难满足剩余的验证要求，从而无法获取您的账号访问权限。

许多企业也看到了采用能够动态调整风险因素的认证系统——即自适应 MFA 的优势。这种系统通过分析上下文信息和用户行为模式，来判断连接的风险等级，并据此决定需要应用哪些认证因素。自适应认证系统在判断风险时，可能会考虑以下上下文信息：

• 用户尝试连接的地理位置；
• 用于登录的设备类型；
• 用户尝试连接的时间点；
• 用户是通过私人网络还是公共网络进行连接；
• 近期登录失败的次数。

自适应 MFA 会根据用户尝试连接时的具体情境，与用户常规的连接模式进行比对，从而提示用户进行特定的验证。如果连接尝试被判定为风险过高，系统可能会直接拒绝登录，或要求用户提供额外的验证信息。

多因素认证如何工作？

多因素认证（MFA）要求用户提供特定信息，以满足至少两种不同类型的验证提示。这些提示通常分为不同类别：第一类往往是用户设定的密码，随后可能需要提供例如通过短信发送的一次性密码（OTP）或指纹扫描等其他验证方式。通过多重证据来验证用户身份，能有效降低威胁行为者冒充用户并获取私人或公司资源的风险。

现在，让我们从初始阶段开始，详细了解 MFA 的运作原理：

1. 1.注册与设置：当用户注册 MFA 账号时，需要创建用户名和密码，并提供其他可能的认证信息（如手机号码、邮箱地址，或录入指纹）。
2. 2.验证请求：当用户需要访问受 MFA 保护的在线账号或数据时，除了用户名和密码，还必须提供在初始注册时设置的额外验证凭证。这可能是一个通过短信发送的验证码、面部扫描，或是指纹验证。
3. 3.访问授予：完成所有验证步骤后，用户即可顺利访问系统。

多因素认证为何如此重要？

多因素认证之所以至关重要，是因为它为系统增添了额外的安全层，显著降低了未经授权的实体访问敏感数据的风险。随着越来越多的信息被存储在各类云平台中，仅凭密码进行保护已不再足够。

一方面，用户可能设置弱密码，黑客通过暴力破解或恶意软件入侵就能轻易攻破。一旦密码被窃取，若用户在多个账号中使用相同密码，更可能导致所有关联账号一同被入侵。MFA 引入的额外验证环节则能在密码失窃的情况下，有效阻止未经授权的访问。

多因素认证的优点

多因素认证通过分层访问与安全策略，为企业和个人带来双重益处。以下是其主要优势：

• 显著增强安全性：MFA 采用多种验证因素，即使第一层验证（如密码）不幸被破解或丢失，也能继续保障账号安全。它是防范网络钓鱼攻击的有效工具：即使诈骗者诱使用户泄露了密码，第二层验证仍将限制其对账号的访问权限。与抗钓鱼 MFA 类似，它能最大限度地降低因密码泄露、人为失误或针对敏感信息的网络攻击所带来的风险。
• 灵活性与兼容性：MFA 提供多种不同性质的用户验证方式，例如验证码或生物识别数据。企业可以根据自身需求、资产特性以及用户便利性，灵活选择最适合的 MFA 认证方法。这也是 Nord 账号实施 MFA 安全措施的主要原因。此外，组织还可以在各类应用程序和访问点部署 MFA，从而实现对广泛资源的保护。
• 提升客户信任度：采用 MFA 可以显著增强客户的信心和吸引力，因为它更少依赖纯粹的密码验证，转而依靠其他形式的认证。这种机制使 MFA 系统对人为错误具有更高的容忍度。

多因素认证方法的主要类型

MFA 认证方法通常根据用户访问账号时所使用的要素类型进行分类。让我们来看看最常见的几种认证方式：

1. 知识型认证（Knowledge-based Authentication, KBA）

知识因素指的是只有用户自己才知道的信息，例如：

• 用户创建的密码或 PIN 码。
• 安全问题，比如用户的宠物名字或亲属姓名。

用户在 MFA 系统中输入这些信息后，即可进入后续的验证步骤。

2. 持有型认证（Possession-based Authentication, PBA）

这类验证方法基于用户实际持有某物的特点，即通过用户拥有的实体物品或数字凭证进行身份验证。这些可能包括：

• 实体设备：例如手机、平板电脑或硬件令牌。
• 数字凭证：比如电子邮件账号或短信服务。
• 身份验证应用程序：如 Google Authenticator 或 Microsoft Authenticator，它们能生成基于时间的一次性密码（TOTP）。

在认证过程中，用户会收到一个临时代码，需要将这个代码输入到 MFA 应用程序，或者通过推送通知进行确认。完成验证后，系统将允许用户登录账号，或发送另一项验证请求。

3. 固有性认证（Inherence-based Authentication, IBA）

固有性因素指的是用户天生或独有的生物特征。以下是一些常见示例：

• 指纹或眼球扫描。
• 语音识别或人脸识别。
• 键盘输入动态，包括打字速度或设备使用习惯。

使用此认证模式时，MFA 系统必须在用户注册时收集并存储其生物识别数据。生物识别因素因其唯一性且与用户紧密关联，成为阻止账号被入侵的最重要防线之一。

4. 位置型认证（Location-based Authentication, LBA）

位置因素取决于用户的物理位置，具体包括：

• 地理位置：即用户尝试登录时的实际所在地点。
• IP 地址：用户尝试连接设备的网络地址。

位置认证方法通过 GPS 坐标和网络参数来判断用户位置是否异常。这些位置参数通常在后台自动运行。如果 MFA 系统检测到异常活动，可能会阻止用户登录，或要求其完成额外的验证步骤。

5. 时间型认证（Time-based Authentication）

时间因素用于记录用户尝试登录的时间点。它会根据以下信息来判断用户是否可以访问账号：

• 特定时间段：即用户被允许访问资源的有效时间范围。

如果用户在非正常时间段（例如深夜）尝试登录系统，MFA 可能会直接阻止其连接，或要求进行额外的身份验证。

多因素认证是否有缺点？

尽管多因素身份验证是提升用户账号及企业资源安全性的强大工具，但它也并非毫无缺点。以下是使用 MFA 时需要考虑的一些不足之处：

• 账号被锁定：若用户不慎丢失或损坏用于身份验证的手机或其他硬件设备，MFA 系统将阻止其访问账号。这可能导致显著的延迟，并需要外部协助才能恢复账号访问权限；
• 登录耗时增加：完成 MFA 验证请求可能需要一定时间，尤其当系统识别连接存在风险时，验证流程可能会更长；
• 对第三方有依赖：部分验证步骤可能需要用户安装额外的应用程序来发送 TOTP 或推送通知，这会占用设备存储空间；
• 易受针对性攻击：尽管 MFA 能有效抵御自动化网络攻击，但对于针对特定目标的高级黑客攻击，其抵抗力相对较弱。威胁行为者可能利用用户的行为习惯，或通过精心设计的复杂钓鱼方案，诱使用户在访问受限账号时配合其操作。

多因素认证与双因素认证有何区别？

多因素认证（MFA）和双因素身份验证（2FA）都是要求用户在访问账号前通过多轮身份验证的方式。两者的主要区别在于系统要求的验证步骤数量。

2FA 需要两种不同的身份验证方式，通常会将用户所知的知识因素（如密码）与用户所持有的因素（如移动设备）或用户固有的生物识别因素（如指纹）相结合。举例来说，当您使用 2FA 时，系统会要求您在输入密码后，再输入通过短信发送的验证码，或者通过指纹进行验证。

MFA 则更为灵活，它可以要求用户提供两种或更多种身份验证方法，这些方法通常都会与密码配合使用。例如，当系统要求用户接受发送到其移动设备的推送通知时，MFA 系统还可能同时检查用户尝试连接的地理位置并评估风险等级。

简而言之，2FA 可以视为 MFA 的一个子集。MFA 提供了更灵活、更强大的安全解决方案，能够更有效地判断与账号的连接是否合法。

结论

MFA 可提供超越传统密码验证系统的强大安全层。MFA 技术采用基于个人特征和实时环境的验证方法，使威胁行为者更难破解账号。这一特性显著降低了账号及资源被未经授权访问的风险，且仅以极小的用户便利性牺牲为代价。

多因素认证（MFA）为账号安全提供了一层超越传统密码验证系统的强大保护。这种技术通过采用基于用户自身特征和实时环境的验证方法，使威胁行为者破解账号的难度大幅增加。因此，为自己设置 MFA 非常重要。只需几步，您就能通过使用 MFA 来显著降低账号及各类资源被未经授权访问的风险。