【网络安全 | 甲方建设】双/多因素认证、TOTP原理及实现

未经许可，不得转载。

背景

在传统的在线银行系统中，用户通常只需输入用户名和密码就可以访问自己的账户。然而，如果密码不慎泄露，任何人都可能轻易地登录该账户，查看敏感信息或进行资金转账，带来极大的安全隐患。那么，有没有办法让银行确认当前操作的人确实是账户的真实用户呢？

为解决这一问题，金融机构逐渐引入了手机号验证码、指纹识别和人脸识别等额外的身份验证手段。通过增加这些验证因素，银行不仅可以更有效地确认用户身份，还能大幅降低未经授权访问的风险。

这里涉及的核心理念是：验证因素越多，证明力就越强，身份的可靠性也就越高。

在现代网络环境中，仅依赖传统的用户名和密码已无法有效抵御越来越复杂的攻击手段。甲方组织在构建安全的用户访问控制时，普遍会采用2FA和MFA机制，以此降低因密码泄露带来的潜在风险。

双因素、多因素认证

双因素认证（2FA）

2FA指的是在身份验证过程中使用两种不同类型的验证方式。这两种方式通常包含：

• 知识因子：用户知道的秘密信息，比如密码或PIN码。
• 拥有因子：用户拥有的设备或物品，比如手机、硬件令牌、或一次性验证码（OTP）。

多因素认证（MFA）

MFA在2FA的基础上再增加一个或多个验证因子，使得验证更加严格和安全。常见的因子有：

• 知识因子：如个人安全问题的答案。
• 拥有因子：如用户手机、电子邮件账户、硬件令牌。