多因素认证是什么
多因素认证（MFA）要求用户同时提供两类以上不同性质的因素：知识（口令、PIN）、持有（令牌、手机、USB Key）、生物（指纹、人脸）。单一口令一旦泄露账号即失守，叠加另一类因素能显著提高攻击成本。等保三级要求对用户身份鉴别采用两种以上组合技术，且其中一种使用密码技术实现。
基本信息
| 因素类别 | 知识、持有、生物三类，取两类以上 |
|---|---|
| 常见实现 | TOTP 动态口令、硬件令牌、USB Key、推送确认、短信验证码 |
| 合规口径 | 等保三级要求两种以上组合技术，其中一种由密码技术实现 |
| 重点对象 | 管理员与运维账号、远程接入通道、资金与敏感数据操作 |
| 风险分级 | 按登录地点、设备、操作敏感度触发二次验证 |
| 配套要求 | 鉴权日志留存、失败锁定、设备与凭证绑定 |
典型使用场景
- 管理后台与运维入口强制 MFA，防止口令泄露直接接管系统
- VPN 与堡垒机接入叠加动态口令，并对接入会话全程录像审计
- 资金划转、批量导出等敏感操作增加二次确认或双人复核
- 普通用户按风险触发：异地登录、换设备、改密改绑时校验
- 第三方合作方访问接口管理台，采用独立凭证并绑定来源限制
落地场景清单
落地场景清单
管理后台与运维入口：强制 MFA
远程接入（VPN/堡垒机）：MFA + 访问审计
资金与敏感数据操作：MFA + 双人复核
普通用户：按风险分级触发（异地登录、改密）因素类型
| 类型 | 示例 | 注意点 |
|---|---|---|
| 知识 | 口令、PIN | 必须配合锁定与黑名单策略 |
| 持有 | 动态令牌、USB Key、手机 App 推送、TOTP | 凭证需绑定设备，支持挂失与重绑 |
| 生物 | 指纹、人脸等生物特征 | 属于敏感个人信息，需单独同意与加密存储 |
短信验证码属于「持有」因素，但存在 SIM 卡补办与短信拦截风险；用于高风险场景时应评估替代方案，如 TOTP 或硬件令牌。
MFA 的常见失效点不在算法而在流程：重置凭证流程若仅凭客服口头核对就能绕过，等于没有第二因素。重置路径要按同等强度设计并留痕。