什么是双因素身份验证？

双因素身份验证 (2FA) 是一种身份验证方法，要求用户准确提供两个验证因素才能获得网站、应用程序或资源的访问权限。2FA 身份验证是多重身份验证的子集，后者需要至少两种形式的身份验证。借助 2FA，组织可增加一层额外的安全保护，抵御网络钓鱼、社会工程和暴力密码盗窃攻击等常见攻击类型。

为什么需要双因素身份验证？

如今，数据泄露变得更加普遍，已对全球企业造成了难以预估的影响，由其引发的年损失高达 2 万亿美元。单因素身份验证（尤其是基于密码的身份验证）远远无法满足组织对保护数字基础设施和资产安全的需求。由于密码安全机制欠佳，加之密码更换不频繁、跨帐户重复使用、经常与他人分享以及存放位置不安全，因此密码极易泄露。

如今，几乎每个企业用例都需要添加第二个因素来验证用户身份。

2FA 可以解决哪些威胁？

双因素身份验证为抵御许多最常见类型的网络威胁提供了额外保护，包括：

• 密码被盗：如上所述，密码安全机制欠佳使得密码容易遭到窃取。2FA 确保不能仅靠窃取的密码对帐户进行破坏。
• 暴力攻击（密码黑客攻击）：黑客利用越来越容易获得的计算能力来随机生成密码，直到“破解”代码为止。但是计算能力无法破解第二个因素。
• 网络钓鱼：网络钓鱼仍然是窃取用户凭据最常见、也是最有效的手段之一。同样，如果通过网络钓鱼攻击盗取了用户名和密码，2FA 可以阻止未授权的访问。
• 社交工程：狡猾的黑客越来越多地利用社交媒体发起攻击，诱导用户自愿泄露凭据。但是没有第二个因素，黑客便无法访问帐户。

双因素身份验证的工作原理是什么

目前，几乎每个人都熟悉基本的 2FA 登录流程。虽然具体情况因所使用的因素而异，但基本流程如下：

1. 应用程序/网站提示用户进行登录。
2. 用户提供第一个因素。第一个因素几乎都是用户“知道”的东西，例如用户名/密码组合，或是由硬件令牌或智能手机应用程序生成的一次性实时密码。
3. 网站/应用程序验证第一个因素，然后提示用户提供第二个因素。第二个因素通常是用户“拥有”的东西，例如安全令牌、身份证卡、智能手机应用程序等。
4. 网站/应用程序验证了第二个因素后，用户将被授予访问权限。

双因素身份验证 (2FA) 有哪些示例？

身份验证器和身份验证令牌包括四个主要类别：您拥有的、您知道的、您的一部分，或您所处的位置。

• 您拥有的：实体进出卡、智能手机或其他设备，或数字证书
• 您知道的：PIN 码或密码
• 您的一部分：生物识别，例如指纹或视网膜扫描

从技术上讲，传统用户名/密码组合是双因素身份验证的基本形式。但是，由于用户名和密码都属于“您知道的”类别，因此这种组合更容易泄露。

身份验证器/因素的历史

硬件令牌

硬件令牌是用户为获得对资源的访问而出示的小型物理设备。硬件令牌可采用连接的方式（即 USB、智能卡、一次性电子密码钥匙链）或非接触的方式（即蓝牙令牌）。此类令牌由用户携带。RSA 于 1993 年推出的第一种现代 2FA 形式使用的是带有小型屏幕的手持设备，该屏幕会显示随机生成的数字，这些数字与算法相匹配，以验证设备的持有者。 硬件令牌也有丢失或被盗的风险。

基于短信的令牌

随着手机的迅速普及，基于短信的 2FA 也随之流行。用户输入用户名，然后通过短信（短消息）收到一次性实时密码 (OTP)。类似的方法还有，使用手机语音呼叫提供一次性实时密码。在这两种情况下，一次性实时密码的传输都相对容易遭到黑客入侵，使其成为一种不甚理想的 2FA 形式。

基于应用程序的令牌

智能手机和其他智能移动设备的问世使基于应用程序的 2FA 备受欢迎。用户在其设备上安装应用程序（也可以用于桌面）。用户登录时，应用程序会提供“软令牌”（例如一次性实时密码），该令牌显示在设备上，且必须将其输入到登录界面中。由于软令牌由设备上的应用程序生成，因此消除了一次性实时密码或软令牌在传输过程中被拦截的风险。

推送通知

从用户的角度来看，这可能是最顺畅方便的方式，通过推送通知的 2FA 无需用户输入软令牌。相反，网站或应用程序会直接向用户的移动设备发送推送通知。该通知会提醒用户尝试身份验证，并要求用户通过单击或点击来批准或拒绝访问。这种 2FA 方法具有很高的安全性和便利性，但依赖于互联网的连接情况。

免密身份验证器

可用的身份验证器类型已将免密选项纳入其中，例如用于身份验证的 FIDO、生物识别和基于 PKI 的数字凭证。

2FA 与 MFA： 两者有何区别？

双因素身份验证 (2FA) 要求用户提供两种类型的身份验证，而多重身份验证 (MFA) 要求用户提供至少两种（甚至更多）类型的身份验证。这意味着所有 2FA 都属于多重身份验证，而并非所有多重身份验证都属于 2FA。 多重身份验证可能需要身份验证器和身份验证令牌的任意组合才能访问资源、应用程序或网站，而 2FA 仅需要两个预定义的验证器即可访问资源。根据贵组织的需求，2FA 身份验证可能会为您提供更进一步的安全保护，同时为最终用户提供流畅的体验。

如何为 2FA 选择正确因素

上文讨论了可用于实现双因素身份验证的各类因素。在各类身份验证器中，也有许多不同的选项可供选择，而且新技术也在不断涌现。如何选择用于 2FA 协议的因素？以下几个问题将帮助您做出正确选择：

• 您是否希望身份验证对用户透明？
• 您希望用户携带物理设备还是在线进行身份验证？
• 您是否希望网站本身也向用户进行身份验证？
• 您保护的信息有多敏感？相关风险有哪些？
• 用户要求中是否涉及要物理访问（链接）办公室、实验室或其他区域？

借助高度安全的多重身份验证，Entrust 将提供专业指导，让您的安全性更进一步。我们支持最广泛的 2FA 安全身份验证器，使您能够选择适合安全需求和用例的最佳选项。更重要的是，Entrust 可以提供专家咨询指导，帮助您做出正确选择并简化向高度安全双因素身份验证的转变。

双因素身份验证的用例

双因素身份验证是最普遍的多重身份验证形式，这使其非常适合各种群体需要访问数据的用例。例如，医疗保健应用程序通常使用 2FA，因为这种形式可以让医生和其他临床医生按需访问（通常使用个人设备）敏感的患者数据。

同样，使用 2FA 的银行和金融应用程序可以更好地帮助保护账户信息免遭网络钓鱼和社会工程攻击，同时为消费者提供移动银行服务。

2FA 的行业应用：

• 医疗保健业
• 银行
• 零售
• 高等院校
• 社交媒体
• 政府/联邦机构

双因素身份验证有哪些威胁/风险？

黑客需采取多种方法才能试图突破多重身份验证和 2FA 的安全防线。其中包括：

• 社交工程：在社交工程攻击中，黑客冒充合法来源，索要个人身份信息。
• 技术攻击：技术攻击包括恶意软件和木马病毒。
• 物理盗窃：不良行为者实际拥有的智能手机或其他移动设备可能会对 2FA 构成威胁。
• 破坏帐户恢复：由于密码重置过程通常会绕过 2FA，因此黑客有时可以仅利用用户名便可破坏 2FA。

双因素身份验证足够安全吗？

相比单因素身份验证（尤其是传统基于密码的身份验证及其所有人为因素缺陷），2FA 有了一大进步。这种方法安全度足够，但多重身份验证 (MFA) 如今被认为是验证用户身份的最佳解决方案。支付卡行业数据安全标准等合规性要求也已将 2FA 替换为多重身份验证，政府实体正在联邦机构间强制执行多重身份验证。 借助多重身份验证，可以添加更多形式的因素（并非密码）来增强安全性。结合设备验证使用生物识别进行用户身份验证并添加基于风险的上下文控制，可以在授予访问权限之前评估用户和设备的风险状况。具有免密选项和基于风险的自适应身份验证的多重身份验证是增强安全性的趋势所向。

最常见的身份验证器/身份验证令牌有什么？