3、多因素认证（MFA）：MFA的概念与价值、TOTP、硬件Token与生物识别

聊完密码和SSO，咱们得面对一个现实：光靠密码，真的不够用了。

我在安全评估项目里见过太多案例——数据库被拖库、员工钓鱼邮件点链接、甚至内部人员直接查密码表。只要密码泄露，整个系统就裸奔。所以，多因素认证（MFA）不是“可选项”，而是“必选项”。

3.1 MFA的概念与价值

MFA，说白了就是“多把锁”。你进家门，光有钥匙不够，还得按指纹、输密码。认证因子通常分三类：

• 你知道的（知识因子）：密码、PIN码。
• 你拥有的（持有因子）：手机、硬件Token、U盾。
• 你是什么（固有因子）：指纹、人脸、虹膜。

MFA要求至少使用两种不同类别的因子。比如“密码+短信验证码”就是知识+持有。光用“密码+密保问题”？那还是同一类，不算MFA。

3.2 TOTP：基于时间的一次性密码

TOTP是目前最流行的软件MFA方案。Google Authenticator、Microsoft Authenticator、Authy，都是这个原理。

它的工作流程很简单：

1. 服务端和客户端共享一个密钥（Secret Key）。
2. 双方都拿当前时间戳（通常是30秒一个窗口）做输入。
3. 用HMAC-SHA1算法算出一个6-8位数字。
4. 客户端展示这个数字，用户输入到服务端验证。

为什么可靠？因为时间窗口很短，30秒后密码就失效了。就算被截获，攻击者也来不及用。

我曾经帮一家金融科技公司做MFA改造。他们之前用短信验证码，结果用户反馈“收不到短信”“延迟5分钟”。换成TOTP后，问题全解决了——离线也能用，速度还快。

下面是一个TOTP生成的核心逻辑（Python伪代码）：

import hmac
import hashlib
import time

def generate_totp(secret, time_step=30):
    # 当前时间戳 / 时间步长
    counter = int(time.time()) // time_step
    # HMAC-SHA1 计算
    h = hmac.new(secret, counter.to_bytes(8, 'big'), hashlib.sha1).digest()
    # 动态截断
    offset = h[-1] & 0x0F
    code = (h[offset] & 0x7F) << 24 | \
           (h[offset+1] & 0xFF) << 16 | \
           (h[offset+2] & 0xFF) << 8 | \
           (h[offset+3] & 0xFF)
    # 取6位数字
    return code % 10**6

3.3 硬件Token

硬件Token是TOTP的物理形态。YubiKey、RSA SecurID、银行U盾，都属于这一类。

它的优势很明显：

• 物理隔离：密钥存储在专用芯片里，无法被软件读取或复制。
• 抗钓鱼：用户必须物理接触Token才能完成认证。
• 无需电池：很多Token靠USB供电或NFC取电，寿命很长。

但缺点也突出：

• 成本高：每个用户几十到几百元，大规模部署不便宜。
• 丢失风险：Token丢了，用户就进不去了。需要提前配好备用码。
• 管理复杂：分发、回收、更换，都需要流程支持。

我建议在高安全场景使用硬件Token，比如：

场景	推荐方案	原因
管理员登录	YubiKey + FIDO2	防钓鱼、防中间人
远程办公VPN	RSA SecurID	离线可用、抗网络攻击
金融交易签名	U盾 + 数字证书	法律效力、不可抵赖
普通员工MFA	TOTP软件	成本低、部署快

3.4 生物识别

生物识别是“你是什么”的典型代表。指纹、人脸、虹膜、声纹，都属于这一类。

它的最大优点是用户体验好——不用记密码，不用带设备，刷脸就行。但安全上，有几个坑必须注意：

• 不可重置：密码泄露了可以改，指纹泄露了你能换手指吗？
• 精度问题：指纹识别有假阳性（误认），人脸识别有假阴性（认不出）。
• 活体检测：照片、视频、硅胶指纹膜都能骗过老旧的传感器。

所以，我从不建议把生物识别作为唯一认证因子。它更适合做便捷因子——比如手机解锁、支付确认，背后其实还是绑定了密码或TOTP。

3.5 MFA的核心逻辑图

下面这张图展示了MFA的完整认证流程，从用户发起请求到最终授权：

3.6 选型建议

最后，给你一个MFA选型的参考思路：

• 普通用户：TOTP软件（Google Authenticator、Authy）就够了。成本低，体验好。
• 管理员/高权限账号：硬件Token（YubiKey）强制使用。物理隔离，防钓鱼。
• 移动端/支付场景：生物识别（指纹/人脸）作为便捷因子，但背后必须绑定TOTP或密码。
• 遗留系统：如果改不了代码，可以用反向代理或RADIUS服务器做MFA网关。