3、多因素认证（MFA）

3.1 MFA 概念

多因素认证（Multi-Factor Authentication, MFA）是一种安全认证机制，要求用户在登录或进行敏感操作时，提供两个或以上不同类别的身份验证因素。其核心思想是：即使一个因素被攻破，攻击者仍无法通过其他因素完成认证，从而显著提升系统安全性。

认证因素通常分为以下三类：

因素类别	描述	典型示例
知识因素（Something you know）	用户记忆的信息	密码、PIN码、安全问答
持有因素（Something you have）	用户拥有的物理或数字设备	手机、硬件Token、智能卡
固有因素（Something you are）	用户生物特征	指纹、人脸、虹膜、声纹

3.2 双因素认证（2FA）原理

双因素认证（Two-Factor Authentication, 2FA）是 MFA 的最常见形式，要求用户提供恰好两个不同类别的认证因素。典型的 2FA 流程如下：

第一步（知识因素）：用户输入用户名和密码。
第二步（持有因素或固有因素）：系统要求用户提供第二个因素，如一次性验证码、硬件 Token 响应或生物特征。
验证通过：两个因素均验证成功后，用户获得访问权限。

3.3 硬件 Token

硬件 Token 是一种物理设备，用于生成一次性密码（OTP）或响应挑战-验证请求。常见类型包括：

时间同步型：内置时钟，每 30-60 秒生成一个新密码（如 RSA SecurID）。
挑战-响应型：用户输入服务器提供的挑战码，Token 计算并显示响应码。
USB/智能卡型：插入电脑后自动完成认证（如 YubiKey）。

3.4 软件 Token（TOTP）

基于时间的一次性密码（Time-based One-Time Password, TOTP）是最流行的软件 Token 实现。其工作原理如下：

共享密钥：服务端与客户端（如 Google Authenticator）预先共享一个密钥。
时间窗口：以当前 Unix 时间戳除以时间步长（通常 30 秒）作为输入。
HMAC 计算：使用 HMAC-SHA1 算法对时间值进行哈希，并截取部分比特生成 6-8 位数字。
验证：服务端使用相同算法计算预期值，与用户提交的密码比对。

// TOTP 生成核心逻辑（伪代码）
function generateTOTP(secretKey, timeStep = 30):
    timeCounter = floor(currentUnixTime / timeStep)
    hmacResult = HMAC-SHA1(secretKey, timeCounter)
    offset = hmacResult[19] & 0x0F
    binaryCode = (hmacResult[offset] & 0x7F) << 24
               | (hmacResult[offset+1] & 0xFF) << 16
               | (hmacResult[offset+2] & 0xFF) << 8
               | (hmacResult[offset+3] & 0xFF)
    otp = binaryCode % 1000000  // 6 位数字
    return otp.toString().padStart(6, '0')

3.5 生物特征作为第二因素

生物特征认证利用人体独特的生理或行为特征作为第二因素，具有难以复制和无需记忆的优点。常见生物特征包括：

生物特征类型	典型应用	优点	局限性
指纹识别	手机解锁、门禁	速度快、成本低	手指潮湿/磨损影响识别
人脸识别	手机支付、安防	非接触、便捷	光照、角度、双胞胎问题
虹膜识别	高安全场所	精度极高、稳定	设备成本高、需配合
声纹识别	电话银行、语音助手	远程可用、自然	环境噪音、感冒影响

💡 最佳实践建议：生产环境中推荐使用 TOTP 软件 Token 作为第二因素（平衡安全性与便捷性），高安全场景可叠加硬件 Token 或生物特征。务必提供备用验证方式（如恢复码），防止用户因丢失设备而无法登录。

📚 课程目录