多重身份验证（Multi-factor authentication，MFA）是指系统在允许进入前，要求你用不止一种证据证明身份。单靠密码可能被猜中、重复使用或盗取。MFA 至少再加一层检查，即使有人知道密码，也不一定能登录。
验证因素是什么
验证因素通常分成三类：
- 你知道的东西：密码、PIN 或安全问题。
- 你拥有的东西：会收到验证码的手机、验证器应用、硬件安全密钥，或用于进出的卡片。
- 你本身的特征：在你控制的设备上做指纹或人脸解锁等生物特征检查。
真正的 MFA 会组合不同类别的因素。连续要求两个密码并不算 MFA。双因素认证（2FA）是只用两个因素的常见 MFA 做法。产品界面里这两个词经常混用。
常见的 MFA 方法
- 验证器应用：手机上的应用显示每隔几秒更新的短码，你在输入密码后再输入该码。短码在设备上生成，不必依赖短信送达。
- 通过短信或邮件发送的一次性密码：系统把验证码发到已登记的电话号码或邮箱。支持面广，但 SIM 卡被盗用和邮箱被接管都是已知风险，重要账户许多团队会改用应用或硬件密钥。
- 推送确认：输入密码后，已登记的可信应用会要求你批准或拒绝该次登录。
- 硬件安全密钥：小型 USB 或 NFC 设备，轻触或插入后用来证明你持有该设备。
- 可信设备上的生物特征：用指纹或人脸解锁手机或笔记本电脑，再以该设备作为应用或浏览器会话的其中一层因素。生物特征数据一般留在设备内；具体策略因产品而异。
选哪种方法，要看系统、用户群体，以及你能接受的风险。员工后台、云控制台和支付后台，通常需要比低风险宣传网站登录更稳妥的选项。
对商业网站和应用为什么重要
- 密码泄露并不少见。人们常在工作和个人账户重复使用同一组密码。MFA 可降低“只凭泄露密码”就能进入后台、邮箱或托管控制台的机会。
- 高权限账户要格外小心。能改价、导出客户数据、部署软件或重置其他用户的账户，不应只靠密码。
- 远程工作扩大进入途径。员工从家庭网络和个人设备登录。多一层因素，可让钓鱼邮件盗走的密码更难单独使用。
- 可与其他控制措施一起使用。MFA 可配合零信任等身份相关做法，以及网站的 SSL 证书等传输保护。传输加密和登录强度解决的是不同问题。
以下为说明用例子：一家香港零售商同时运营网店和独立后台。员工以往只靠密码登录后台。启用 MFA 后，每次登录需要密码，加上验证器应用的短码。即使在其他事故中流出被重复使用的密码，也不足以打开后台。顾客在公开网店结账仍用一般流程；这里的 MFA 保护的是员工和运营账户。
MFA 做不到的事
- 不能取代第一层所用的强而独特密码，也不能取代帮助员工避免重复使用密码的密码管理工具。
- 不能消除所有钓鱼风险。有些攻击会诱使你在假网站批准推送或输入验证码。硬件密钥和更能抵御钓鱼的方法更有帮助，但用户警觉仍然重要。
- 不能取代备份、监测和权限复核。手机遗失、员工离职和共用紧急代码，都需要清楚的恢复和离职停权步骤。
- 并非所有系统都支持。部分旧系统或合作伙伴入口可能没有 MFA，这些账户仍要另做安排。
应向团队或供应商询问什么
- 目前哪些账户已启用 MFA——员工、管理员、托管、邮箱、支付和云控制台？
- 允许哪些方法，高权限角色又必须用哪些？
- 手机遗失时员工如何恢复访问，谁可以重置 MFA？
- 恢复代码如何妥善存放，能否尽量避免打印后共用？
- 有人离职时，多久会移除 MFA 和账户权限？
- 公开的顾客登录是否需要 MFA，还是只限内部和后台？
系统上线后，为后台和云账户启用 MFA，往往是日常安全措施的一部分。technine.io 如何处理持续防护和响应预期，可见我们的网络安全与合规工作，以及托管支持与 SLA。
常见问题
MFA 和 2FA 是一回事吗？
2FA 是刚好使用两个因素的 MFA。MFA 是更宽的说法，可以用两个或更多因素。产品界面里两个标签经常指同一做法。
公开网站的顾客是否一定要启用 MFA？
不一定。许多网站会先为员工和后台工具启用 MFA。银行、健康、电子钱包或存放敏感个人信息的账户，较常要求顾客使用 MFA。选择取决于产品风险，没有适用于所有网站的单一规则。
短信是不是最好的第二层因素？
短信比单靠密码稳妥，也较容易推广。对高价值的后台和财务账户，验证器应用或硬件密钥通常更受欢迎，因为比短信更难被截取。