用戶應注意到各種多因子身份驗證(MFA)方法的強項與弱點。
相比幾年之前，如今熟悉「兩步驗證」、「強身份驗證」、「2FA」、「MFA」等術語的人可是多了許多。通過增加至少1個除口令之外的驗證因子到身份驗證過程，多因子身份驗證(MFA)解決方案可以更好地保護用戶憑證並簡化口令管理。這些額外的驗證因子可以是你擁有的東西，比如令牌；或者你具備的東西，比如指紋或紅膜掃描；還可以是某些只有你才知道的東西，比如口令。由於憑證盜竊吸引了安全行業的更多關注，很多MFA解決方案一擁而上，湧入市場。於是，問題來了：所有MFA方法都一樣的有效嗎？
說實在話，實現MFA的方法多種多樣，安全效果自然也大相逕庭。我們不妨分析一下常見MFA方法，看看哪種驗證因子更為有效。
1. 一次性簡訊驗證碼(OTP)
用簡訊作為第二個身份驗證因子很是常見。用簡訊向用戶手機發送隨機的六位數字，於是理論上只有持有正確手機的人才能通過驗證，對吧？很不幸，答案是否定的。已有多種方法被證明可以黑掉OTP。比如說，2018年6月中旬，黑客就是通過簡訊攔截而黑掉了新聞娛樂網站Reddit。雖然黑客並未獲得太多個人信息(Reddit的事件響應工作很棒)，還是暴露出了簡訊身份驗證碼並不像人們通常以為的那麼安全。利用蜂窩網絡漏洞就能攔截簡訊。受害者手機上安裝的惡意軟體也能重定向簡訊到攻擊者的手機。對手機運營商的社會工程攻擊可以使攻擊者複製出與受害者手機號相關聯的新SIM卡，接收到受害者的OTP簡訊。實際上，美國標準與技術研究所(NIST)在2016年就不贊成使用簡訊身份驗證了，認為該方法不再是安全的身份驗證方法。但不幸的是，很多公司企業還在繼續依賴簡訊OTP，給用戶一種虛假的安全感。
2. 硬體令牌
作為現役MFA方法中的老大哥，硬體身份驗證令牌常以帶OTP顯示屏的密鑰卡的形式存在，硬體本身保護著其內部唯一密鑰。但硬體密鑰卡的缺陷也很明顯。首先，用戶不得不隨身攜帶這個額外的設備；其次，貴；再次，需要物流遞送；最後，必須不時更換。某些硬體令牌需要USB連接，在需要從手機或平板進行驗證的時候就很棘手了。
3. 手機令牌
手機令牌很大程度上與硬體令牌類似，但是通過手機應用實現的。手機令牌最大的優勢在於用戶只需要帶個智慧型手機就行了，而智慧型手機現在基本屬於必備品，很多人忘帶鑰匙都不會忘帶手機。真正的問題是要審查密鑰進入手機的方式，也就是「激活過程」。以二維碼提供所有密鑰和憑證可不是個好主意，任何能複製你二維碼的人都能掌握你令牌的副本。
4. 基於推送的身份驗證令牌
一種脫胎於常見手機令牌和簡訊驗證碼的驗證令牌，運用安全推送技術進行身份驗證，因易用性提升而受到用戶歡迎。與簡訊不同，推送消息不含OTP，而是包含只能被用戶手機上特定App打開的加密信息。因此，用戶擁有上下文相關信息可供判斷登錄嘗試是否真實，然後快速同意或拒絕驗證。如果同意，用戶手機上的令牌應生成一個OTP，連同該同意授權一起發回以供驗證使用。不是所有MFA解決方案都這麼做，也就增加了推送同意消息被摹寫和偽造的風險。
5. 基於二維碼的身份驗證令牌
基於推送的令牌需要手機的數據連接，基於二維碼的身份驗證則可以離線工作，通過二維碼本身來提供上下文信息。用戶以手機驗證App掃描屏幕上的二維碼，然後輸入該App根據密鑰、時間和上下文信息產生的OTP。用戶在此過程中體驗到的快捷方便很重要，是基於推送和基於二維碼的令牌得以迅速推廣開來的原因所在。
每種身份驗證方法都有其優缺點，但人們選擇MFA解決方案時還會有些很有趣的考慮。比如說，大多數人會認為硬體令牌比使用推送和二維碼技術的手機令牌更安全。但實際情況卻並非如此。舉個例子，假設某個俄羅斯人試圖用偷來的憑證登錄某家公司的VPN。如果用戶使用硬體令牌，攻擊者可以給他打電話或發送網絡釣魚郵件，利用社會工程方法說服他給出OTP——很多用戶最終都會給的。但如果該用戶使用的是基於推送和二維碼技術的手機令牌，他會收到一條推送信息，稱：「您的帳號請求從位於俄羅斯的計算機連接您的VPN。是否同意？」那攻擊者就很難說服用戶同意這種離譜的連接請求了。
如您所見，身份驗證方法多種多樣，但並不是每一種都能給您同等的安全。基於推送的令牌可能比硬體令牌更有效，但不是所有基於推送的令牌都採用同樣的工作方式。推出MFA解決方案時要確保充分理解所選MFA方法的安全程度和風險等級。
責任編輯：韓希宇