多重身份驗證（Multi-factor authentication，MFA）是指系統在准許進入前，要求你用多於一種證據證明身份。單靠密碼可以被猜中、重用或盜取。MFA 至少再加一重檢查，即使有人知道密碼，也不一定能登入。
驗證因素是甚麼
驗證因素通常分成三類：
- 你知道的東西：密碼、PIN 或保安問題。
- 你擁有的東西：會收到驗證碼的手機、驗證器 App、硬件保安金鑰，或用作進出的卡片。
- 你本身的特徵：在你控制的裝置上做指紋或面容解鎖等生物特徵檢查。
真正的 MFA 會組合不同類別的因素。連續要求兩個密碼並不算 MFA。雙重身份驗證（2FA）是只用兩個因素的常見 MFA 做法。產品介面裡兩個詞語經常互換使用。
常見的 MFA 方法
- 驗證器 App：手機上的 App 顯示每隔數秒更新的短碼，你在輸入密碼後再輸入該碼。短碼在裝置上產生，不必依賴短訊送達。
- 以 SMS 或電郵發送的一次性密碼：系統把驗證碼送到已登記的電話號碼或郵箱。支援面廣，但 SIM 卡被盜用和郵箱被接管都是已知風險，重要帳戶許多團隊會改用 App 或硬件金鑰。
- 推送確認：輸入密碼後，已登記的信任 App 會要求你批准或拒絕該次登入。
- 硬件保安金鑰：小型 USB 或 NFC 裝置，輕觸或插入後用來證明你持有該裝置。
- 信任裝置上的生物特徵：以指紋或面容解鎖手機或筆記型電腦，再以該裝置作為 App 或瀏覽器工作階段的其中一重因素。生物特徵資料一般留在裝置內；具體政策因產品而異。
選哪一種方法，要視乎系統、用戶群，以及你可接受的風險。員工後台、雲端控制台和付款後台，通常需要比低風險宣傳網站登入更穩妥的選項。
對商業網站和 App 為甚麼重要
- 密碼外洩並不罕見。人們常在工作和個人帳戶重用同一組密碼。MFA 可降低「只憑外洩密碼」就能進入後台、電郵或託管控制台的機會。
- 高權限帳戶要格外小心。能改價、匯出客戶資料、部署軟件或重設其他用戶的帳戶，不應只靠密碼。
- 遙距工作擴大進入途徑。員工從家居網絡和個人裝置登入。多一重因素，可令釣魚電郵盜走的密碼較難單獨使用。
- 可與其他控制措施一併使用。MFA 可配合零信任等身份相關做法，以及網站的 SSL 證書等傳輸保護。傳輸加密和登入強度處理的是不同問題。
以下為說明用例子：一間香港零售商同時營運網店和獨立後台。員工以往只靠密碼登入後台。啟用 MFA 後，每次登入需要密碼，加上驗證器 App 的短碼。即使在其他事故中流出被重用的密碼，也不足以打開後台。顧客在公開網店結帳仍用一般流程；這裡的 MFA 保障的是員工和營運帳戶。
MFA 做不到的事
- 不能取代第一重所用的強而獨特密碼，也不能取代協助員工避免重用密碼的密碼管理工具。
- 不能消除所有釣魚風險。有些攻擊會誘使你在假網站批准推送或輸入驗證碼。硬件金鑰和較能抵禦釣魚的方法較有幫助，但用戶警覺仍然重要。
- 不能取代備份、監察和權限覆核。手機遺失、員工離職和共用緊急代碼，都需要清楚的回復和離職停權步驟。
- 並非所有系統都支援。部分舊系統或合作夥伴入口可能沒有 MFA，這些帳戶仍要另訂安排。
應向團隊或供應商查詢甚麼
- 現時哪些帳戶已啟用 MFA——員工、管理員、託管、電郵、付款和雲端控制台？
- 容許哪些方法，高權限角色又必須用哪些？
- 手機遺失時員工如何回復存取，誰可以重設 MFA？
- 回復代碼如何妥善存放，能否盡量避免列印後共用？
- 有人離職時，多久會移除 MFA 和帳戶權限？
- 公開的顧客登入是否需要 MFA，還是只限內部和後台？
系統上線後，為後台和雲端帳戶啟用 MFA，往往是日常保安措施的一部分。technine.io 如何處理持續防護和回應期望，可見我們的網絡安全與合規工作，以及託管支援與 SLA。
常見問題
MFA 和 2FA 是否同一回事？
2FA 是剛好使用兩個因素的 MFA。MFA 是較闊的說法，可以用兩個或更多因素。產品畫面裡兩個標籤經常指同一做法。
公開網站的顧客是否一定要啟用 MFA？
不一定。許多網站會先為員工和後台工具啟用 MFA。銀行、健康、電子錢包或存放敏感個人資料的帳戶，較常要求顧客使用 MFA。選擇取決於產品風險，沒有適用於所有網站的單一規則。
SMS 是否最好的第二重因素？
SMS 比單靠密碼穩妥，也較易推廣。對高價值的後台和財務帳戶，驗證器 App 或硬件金鑰通常較受歡迎，因為比短訊更難被截取。