多因素身份验证

多因素身份验证（Multi-Factor Authentication，MFA）是一种安全措施，在授予用户帐户访问系统的权限之前，要求进行多个级别的身份验证。用户需要提供多个身份识别因素，包括用户知道的信息如(用户名和密码）、用户拥有的物品（如安全令牌或移动设备），以及用户本身的特征（如指纹或面部扫描等生物识别信息）。

如果系统仅要求使用用户名和密码登录，那么任何知道这些信息的人都可以访问它——无论对方是不是经过授权的帐户所有者。MFA 系统会在身份验证过程中增加一些步骤，以确保登录帐户的人就是帐户所有者。多因素身份验证系统类似于双因素身份验证，但可以选择要求进行 2 个、3 个或更多身份验证步骤。

MFA 使用的身份验证因素分为三类。MFA 系统至少需要其中两个因素，以确保正确的用户正在登录帐户。

• 知识因素是用户知道的信息。通常是用户名和密码。还可以将其他知识因素如(PIN、密码短语或安全问题）与用户名和密码结合使用。
• 持有因素是用户拥有的物品。由于这通常是用户的智能手机，因此可以通过SMS 将代码发送到手机，或由 MFA 密码生成器应用生成代码。安全令牌设备也很常见——这些小型设备可以连接到计算机以提供身份验证，或显示一次性代码供用户输入。
• 固有因素是用户本身的特征，因此许多 MFA 类型都会使用生物识别。指纹或面部扫描是最常见的类型，但某些系统也可能使用语音识别或视网膜扫描来识别用户。

在许多情况下，用户只需要在首次使用特定设备登录时提供额外的身份验证。身份验证成功后，网站会在网页浏览器中设置一个Cookie，告知网站 MFA 已成功完成，此后只需要用户名和密码。更换设备或网页浏览器后，将再次进行 MFA 检查。