MFA 多因素认证

Multi-Factor Authentication。要求用两种或更多不同因素验证身份。

三大因素类别(必须跨类别才是真 MFA):

• Something you know —— 密码、PIN、安全问题
• Something you have —— 手机(收验证码)、硬件 Token(YubiKey)、银行卡
• Something you are —— 指纹、人脸、虹膜(生物识别)

为什么 MFA 这么有效:

• 密码经常泄露(数据泄露、钓鱼、撞库)
• 加一道”实物”因素后,攻击者光有密码不够
• Google 数据: MFA 阻止 99% 的自动化攻击

MFA 强度排序(由弱到强):

1. SMS 短信验证码 —— 弱,SIM swap 攻击可被绕过
2. TOTP App(Google Authenticator、Authy) —— 中,基于时间戳算
3. 推送通知 —— 中,Authenticator 显示数字让你选
4. 硬件 Key(FIDO2/U2F) —— 强,几乎防钓鱼

单因素 = 不安全:对任何高价值账号(邮箱、银行、公司 SSO)必须开 MFA。

安全加固 的 ROI 最高项之一:开 MFA 通常只要点几下,挡掉 99% 的自动攻击。