3. 身份认证机制：密码策略、多因素认证、证书管理

身份认证，说白了就是证明「你是你」的过程。在网络世界里，这道门要是没守好，入侵者就能大摇大摆走进来。我见过太多因为认证薄弱导致全盘沦陷的案例，所以这一章咱们得把话说透。

3.1 密码策略：第一道防线的自我修养

密码是最古老的认证方式，但也是最容易被忽视的。你想想看，多少人还在用「123456」或者「password」？

我个人习惯把密码策略拆成三个维度：复杂度、生命周期、存储安全。

3.1.1 密码复杂度

别只要求大小写字母加数字，那远远不够。我建议至少包含以下要素：

• 长度不低于12位（越长越安全）
• 必须包含大写字母、小写字母、数字、特殊符号
• 不能包含用户名、常见单词、连续字符（如abcd、1234）
• 不能与历史密码相似（防止循环使用）

3.1.2 密码存储

明文存储密码？那是犯罪。正确的做法是：

# 推荐使用bcrypt或argon2
# 不要用MD5、SHA-1（已经被攻破）
# 每次都要加盐（salt）

import bcrypt

password = b"my_secure_password_2024"
salt = bcrypt.gensalt()
hashed = bcrypt.hashpw(password, salt)

# 验证时
if bcrypt.checkpw(password, hashed):
    print("认证通过")
else:
    print("密码错误")

3.2 多因素认证：给安全加把锁

密码再强，也怕泄露。多因素认证（MFA）就是第二道保险。我常说：「密码+手机验证码」比单纯密码安全100倍。

3.2.1 三种认证因素

因素类型	举例	安全性	用户体验
知识因素（你知道的）	密码、PIN码	低	高
持有因素（你拥有的）	手机、硬件令牌	中	中
固有因素（你是什么）	指纹、人脸	高	高

实际部署时，我建议至少组合两种不同因素。比如密码（知识）+ 手机验证码（持有），或者密码 + 指纹（固有）。

3.2.2 常见MFA实现方式

• TOTP（基于时间的一次性密码）：Google Authenticator、Microsoft Authenticator。每30秒变化一次，离线可用。
• SMS验证码：简单但容易被SIM卡劫持。我个人不太推荐。
• 硬件令牌：YubiKey、RSA SecurID。物理隔离，最安全但成本高。
• 推送通知：Duo Security、Okta Verify。用户体验好，但依赖网络。

3.3 证书管理：PKI体系的基石

证书认证，是身份认证的终极形态。它解决了「如何在不安全的网络上安全地交换身份信息」这个问题。

3.3.1 证书生命周期

一张证书从出生到死亡，需要经历以下阶段：

1. 生成密钥对：私钥自己保管，公钥公开
2. 申请证书：向CA（证书颁发机构）提交CSR
3. 颁发证书：CA验证身份后签发
4. 使用证书：用于TLS、代码签名、邮件加密等
5. 续期/吊销：到期前更新，或发现泄露后立即吊销

3.3.2 证书验证流程

当客户端收到服务端证书时，会做以下检查：

1. 验证证书签名（是否由可信CA签发）
2. 检查证书有效期（是否过期）
3. 验证域名匹配（证书CN/SAN是否与访问域名一致）
4. 检查证书吊销状态（CRL或OCSP）
5. 验证证书链（是否完整，根证书是否受信任）

3.4 三种认证机制的协同

密码、MFA、证书不是互相替代的关系，而是互补。我通常这样设计：

• 用户登录：密码 + MFA（双因素）
• 设备认证：客户端证书（机器身份）
• API调用：证书 + API密钥（服务间认证）
• 特权操作：密码 + MFA + 证书（三因素）

下面这张图展示了三种认证机制在持续校验体系中的位置：

3.5 实战中的常见陷阱

说了这么多理论，咱们聊聊实际踩过的坑：

• 证书私钥泄露：我曾经发现一个项目把私钥硬编码在代码仓库里。GitHub一搜就能找到。解决方案：使用HSM（硬件安全模块）或密钥管理服务。
• MFA疲劳攻击：攻击者不断推送MFA请求，用户烦了就点「允许」。我建议限制推送频率，并增加「拒绝后锁定」机制。
• 密码重置漏洞：很多系统密码重置流程比登录还脆弱。安全问题和邮箱验证？那都是纸糊的。我推荐使用MFA重置。