第3章多因素认证（MFA）

MFA原理 · 常见方式 · 优缺点解析

3.1 MFA 原理

多因素认证（Multi-Factor Authentication, MFA）是一种安全机制，要求用户提供两个或以上不同类型的认证因素，才能成功登录或执行敏感操作。其核心思想是：单一因素（如密码）可能被窃取或破解，但组合多个独立因素能极大提升安全性。

认证因素通常分为三类：

知识因素（Something you know）：密码、PIN码、安全问题的答案。
持有因素（Something you have）：手机、硬件令牌、智能卡、TOTP 验证器。
固有因素（Something you are）：指纹、面部识别、虹膜、声纹等生物特征。

3.2 常见 MFA 方式

3.2.1 TOTP（基于时间的一次性密码）

TOTP（Time-based One-Time Password）是一种广泛使用的软件令牌方案。用户与服务器共享一个密钥，基于当前时间（通常30秒）生成6-8位数字密码。常见实现：Google Authenticator、Microsoft Authenticator、Authy。

                工作原理： 客户端和服务器使用相同的密钥 + 当前时间窗口 → HMAC-SHA1 运算 → 截取部分字节 → 生成数字码。每30秒变化一次。
            

示例：TOTP 生成流程（伪代码）
secret = "JBSWY3DPEHPK3PXP"   // Base32 编码的共享密钥
time_slice = floor(current_unix_time / 30)
hmac = HMAC-SHA1(secret, time_slice)
offset = hmac[19] & 0x0F
code = (hmac[offset] & 0x7F) << 24 |
       (hmac[offset+1] & 0xFF) << 16 |
       (hmac[offset+2] & 0xFF) << 8  |
       (hmac[offset+3] & 0xFF)
code = code % 1000000   // 6位数字
输出: 123456

3.2.2 SMS 验证码

通过短信向用户手机发送一次性验证码（通常4-8位数字）。用户输入验证码完成认证。虽然便捷，但存在 SIM 卡交换攻击、短信拦截等风险。

3.2.3 生物识别

利用人体独特的生理或行为特征进行认证，如指纹、面部识别、虹膜、声纹等。生物识别具有难以复制、使用便捷的优点，但存在隐私争议、传感器精度、模板泄露等风险。

3.3 MFA 的优缺点

维度	优点	缺点
安全性	大幅降低凭证泄露风险；即使密码被窃，攻击者仍需第二因素；有效防御撞库、钓鱼攻击。	并非绝对安全：SIM 交换可绕过 SMS；高级钓鱼可实时转发 TOTP；生物识别模板可能被复制。
用户体验	生物识别快速无感；TOTP 离线可用；推送通知一键确认。	增加登录步骤；SMS 有延迟；硬件令牌易丢失；部分用户对技术不熟悉。
部署成本	软件 TOTP 几乎零成本；SMS 成本低；云 MFA 服务易于集成。	硬件令牌采购成本；SMS 每条费用；生物识别需要专用传感器；维护密钥生命周期。
合规性	满足 PCI-DSS、HIPAA、GDPR 等对强认证的要求；审计证据更完整。	部分法规对生物识别数据有特殊保护要求；需记录因素使用日志。

                最佳实践建议： 优先选择 TOTP 或推送通知作为第二因素；避免单独使用 SMS；为高价值账户启用硬件安全密钥（如 FIDO2/WebAuthn）；提供备用恢复码。
            

第3章 多因素认证（MFA）