第3章 多因素认证（MFA）：别让密码成为唯一防线
说实话，我见过太多公司把安全押在密码上。结果呢？一次撞库，全盘皆输。多因素认证（MFA）就是来解决这个问题的。它的核心思想很简单：光有密码不够，你得证明你还有别的东西。
一句话记住 MFA： 要证明你是你，至少要用两种不同的方式。
3.1 MFA 的三大因素
MFA 把认证因素分成三类。我习惯叫它们：你知道的、你拥有的、你本身的。这三类必须来自不同维度，才能叫真正的多因素。
| 因素类型 | 英文 | 典型例子 | 安全强度 |
|---|---|---|---|
| 知识因素 | Knowledge Factor | 密码、PIN码、安全问题答案 | 低（易被钓鱼/撞库） |
| 拥有因素 | Possession Factor | 手机、硬件令牌、智能卡 | 中（需物理接触） |
| 固有因素 | Inherence Factor | 指纹、人脸、虹膜、声纹 | 高（难以复制） |
3.1.1 知识因素：最熟悉也最脆弱
密码是典型的知识因素。你想想看，一个密码能有多安全？我做过一次渗透测试，发现某公司 70% 的员工密码是「Password123」或公司名+年份。嗯，这跟没锁门差不多。
避坑指南： 我曾经遇到一个客户，把安全问题答案设成「我的小学名称」。结果攻击者通过 LinkedIn 找到了他的毕业院校，直接猜出答案。知识因素最大的问题是：它可能被社会工程学攻破。
3.1.2 拥有因素：物理隔离的优势
拥有因素的核心是「你手里有某个东西」。这东西可以是手机、U 盾、YubiKey 之类的硬件令牌。攻击者要拿到它，必须物理接触你。远程攻击基本没戏。
我个人比较偏爱硬件令牌。为什么？因为手机可能会被植入恶意软件，但硬件令牌是独立的。我在项目中遇到过一家金融公司，强制要求所有管理员用 YubiKey 做二次认证。从那以后，钓鱼成功率直接降到了零。
3.1.3 固有因素：生物特征的双刃剑
指纹、人脸、虹膜——这些是你身体的一部分。听起来很完美对吧？但有个问题：生物特征不可重置。你的密码泄露了可以改，指纹泄露了怎么办？你总不能换根手指吧。
所以我的建议是：生物特征适合做本地解锁，不适合做远程认证。远程传输生物特征数据，一旦被截获，你就永远失去了这个「钥匙」。
3.2 MFA 实现方案对比
市面上 MFA 方案五花八门。我整理了一张对比表，帮你快速选型。
| 方案 | 因素组合 | 用户体验 | 安全性 | 部署成本 |
|---|---|---|---|---|
| 短信验证码 | 密码 + 手机 | 高（自动读取） | 低（SIM 交换攻击） | 低 |
| TOTP（如 Google Authenticator） | 密码 + 手机 App | 中（手动输入） | 中（无网络依赖） | 低 |
| 推送认证（如 Duo、Microsoft Authenticator） | 密码 + 手机推送 | 高（一键确认） | 中（依赖推送通道） | 中 |
| 硬件令牌（如 YubiKey） | 密码 + USB/NFC 设备 | 中（需插拔） | 高（物理隔离） | 高 |
| 生物特征 + 设备 | 指纹/人脸 + 手机 | 高（无感） | 中（本地处理） | 中 |
我的经验： 短信验证码虽然方便，但 SIM 交换攻击越来越猖獗。我建议企业至少用 TOTP 或推送认证。如果预算允许，管理员账户强制上硬件令牌。
3.3 MFA 的核心逻辑：因素独立性
MFA 不是简单地把多个认证方式堆在一起。关键在「因素独立」。举个例子：你用密码登录，然后手机收到短信验证码。密码是知识因素，手机是拥有因素——这是真正的 MFA。
但如果你用密码登录，然后回答一个安全问题（比如「你的宠物名字」），这算不算 MFA？不算。因为密码和安全问题都是知识因素。攻击者只要拿到你的个人信息，两个都能猜出来。
下面这张图展示了 MFA 的认证流程和因素独立性。
3.4 实战选型建议
选 MFA 方案，我一般看三个维度：用户规模、安全等级、预算。下面是我的推荐矩阵。
- 小型团队（<50人）： TOTP 方案（Google Authenticator 或 Authy）。零成本，安全性够用。我自己的小团队就这么配的。
- 中型企业（50-1000人）： 推送认证（Duo 或 Microsoft Authenticator）。用户体验好，管理后台完善。
- 大型企业或高安全场景： 硬件令牌（YubiKey） + 生物特征。金融、政府、医疗行业建议直接上这个组合。
我曾经踩过的坑： 给一家电商公司推 MFA，选了短信验证码。结果半年后遭遇 SIM 交换攻击，攻击者克隆了 CEO 的手机号，重置了所有密码。从那以后，我再也不推荐短信验证码作为唯一二次认证方式。
3.5 本章小结
MFA 不是万能药，但它能把攻击成本提高几个数量级。记住三个关键点：
- 因素必须来自不同维度（知识、拥有、固有）
- 生物特征适合本地，不适合远程传输
- 短信验证码有风险，优先用 TOTP 或硬件令牌