3、持续认证与动态访问控制：多因子认证在设备侧的应用、基于风险的自适应访问策略、会话令牌的短生命周期管理

设备接入零信任网络，不是一次认证就完事了。我经常跟团队讲，传统网络那种「进门查一次票，进去随便逛」的模式，在零信任里行不通。设备可能被劫持、证书可能被窃取、环境可能突然变糟——所以认证必须是持续的，控制必须是动态的。

这一节，我们重点聊三个实战问题：设备侧的多因子认证怎么做？风险自适应策略怎么落地？会话令牌为什么必须短命？

3.1 设备侧的多因子认证：不只是「密码+验证码」

多因子认证（MFA）大家都不陌生。但在设备侧，情况比用户登录复杂得多。用户侧MFA通常是「你知道的+你拥有的+你本身的」，设备侧呢？

我个人习惯把设备侧因子分为三类：

因子类型	设备侧示例	特点
身份因子	设备证书、TPM密钥、安全元件ID	不可伪造，但可能被克隆
环境因子	GPS位置、WiFi SSID、蓝牙信标	动态变化，可辅助判断
行为因子	启动时间、网络流量模式、传感器读数	难以模仿，适合持续验证

我在一个IoT项目中遇到过这样的坑：设备只用了证书认证，结果攻击者把证书从一台设备克隆到了另一台。为什么？因为证书文件本身没有绑定硬件。后来我们强制要求「证书+TPM签名」双因子——证书存文件，私钥锁在TPM里，克隆不走。

具体到实现，我建议这样组合：

• 第一因子：设备证书（X.509），由企业CA签发，绑定设备唯一标识。
• 第二因子：TPM签名的设备状态报告（包括固件哈希、启动度量值）。
• 第三因子（可选）：实时位置或网络环境指纹。

你想想看，攻击者要同时伪造证书、破解TPM、模拟位置，难度就大多了。

3.2 基于风险的自适应访问策略：让安全「长眼睛」

自适应访问策略，说白了就是「看人下菜碟」。设备风险低，给高权限；设备风险高，降权或阻断。这个逻辑不复杂，难的是「风险怎么算」。

我习惯用一个风险评分模型，把设备上下文映射成数值：

风险评分 = w1 * 设备健康分 + w2 * 信任等级 + w3 * 环境风险 + w4 * 行为异常分

权重w1~w4根据业务场景调。比如在金融场景，设备健康分权重可以设到0.5；在内部办公场景，信任等级权重更高。

下面是我在一个项目中实际用过的策略矩阵：

风险等级	评分区间	访问策略	触发动作
低风险	0-30	允许全部资源	无
中风险	31-60	允许核心资源，限制敏感操作	触发MFA挑战
高风险	61-85	只允许只读访问	通知管理员
严重风险	86-100	阻断所有访问	隔离设备，强制重认证

嗯，这里要注意：风险评分不能只算一次。设备接入后，环境会变——WiFi换了、补丁没打、异常流量出现——评分必须实时更新。我曾经见过一个方案，设备接入时评分正常，结果半小时后被植入挖矿程序，策略却没变，直到数据泄露才被发现。

3.3 会话令牌的短生命周期管理：让令牌「用完即弃」

零信任里有个铁律：不要信任任何长期凭证。会话令牌（Token）的生命周期越短，被窃取后的危害窗口就越小。

但「短」到什么程度？我见过最激进的做法是：每次API调用都重新颁发令牌。性能扛不住。也见过最松懈的：令牌有效期24小时，结果被中间人攻击后，攻击者用了一天。

我个人建议分场景设定：

• 设备接入令牌：有效期5-15分钟。用于设备首次认证和策略协商。
• API访问令牌：有效期15-60分钟。配合刷新令牌（Refresh Token）使用。
• 敏感操作令牌：有效期1-5分钟。比如转账、删除数据、修改配置。

刷新令牌本身也要短命。我习惯把刷新令牌有效期设为24小时，且每次使用后轮换（Rotation）。这样即使刷新令牌泄露，攻击者也只能用一次。

下面是一个简化的令牌生命周期流程图，展示了从颁发到撤销的完整路径：

从流程图里你能看到，令牌管理不是「颁发-使用-过期」这么简单。它必须和风险引擎联动——风险升高时，即使令牌没到期，也要强制撤销。我管这叫「主动过期」。

3.4 三者联动：持续认证 + 自适应策略 + 短命令牌

这三个能力不是孤立的。持续认证提供「设备状态」，自适应策略决定「该给什么权限」，短命令牌确保「权限不会超期服役」。三者缺一不可。

我在一个金融客户那里落地过这样的架构：

1. 设备接入时，证书+TPM双因子认证，颁发15分钟令牌。
2. 每次API调用，网关检查令牌有效性，同时触发风险重评估。
3. 风险评分超过60，自动触发MFA挑战；超过85，直接撤销令牌并隔离设备。
4. 令牌过期前2分钟，设备通过刷新令牌获取新令牌，刷新令牌每次轮换。

效果怎么样？之前他们平均检测到失陷设备需要4小时，现在缩短到30秒以内。攻击者就算拿到令牌，最多用15分钟，而且风险一升高就立刻失效。