为什么两个密码不算 MFA？
因素分为知道的秘密、持有的认证器与指纹等生物特征。MFA 要求至少两类共同验证；密码加服务端 PIN 仍是同一知识类别，输入次数或熟悉的 IP 地址不能替代类别。[1]
048 / 身份与访问 / MFA
多问了一次，就多了一道防线？
MFA 多因素认证 · MFA
密码后再填一个 PIN，和出示独立认证器有什么不同？把证明拆成类别，再分别检验泄露密码、实时钓鱼与恢复入口，看看防线究竟挡住了什么。
开始探索 ↓8–11 分钟
动手实验 · 场景判断 · 实用检查
动手实验 · 场景判断 · 实用检查
两位守卫的盾牌分别画着钥匙与手机；来访者两样都有，藏在旁边的人只有钥匙。图里的钥匙代表密码，手机代表持有的认证器，不能仅凭两件物品判断实现安全。
展开读图提示
读图提示
- 角色与机制
- 两位守卫比喻不同类别的认证因素；钥匙在这里代表密码，手机代表持有的认证器。
- 风险在哪里
- 只泄露一个因素时，攻击者仍缺另一个因素；但钓鱼、会话窃取或诱导确认仍可能绕过部分 MFA 方案。
- 防护与边界
- 优先使用抗钓鱼的认证方式，拒绝非本人发起的确认，并保护恢复方式；两个密码仍属于同一类因素。
本课任务 / MFA 多因素认证
分别判断因素是否独立、协议是否抗钓鱼，以及恢复流程能否绕过正常认证。
- 区分知识、持有与生物特征因素
- 把多因素与抗钓鱼分开评估
- 检验注册、恢复与会话的薄弱环节
亲手探索 / 不同条件，不同结果
同一场攻击，换一种认证和恢复路径会怎样？
比较四种固定方案，再切换凭据泄露、实时钓鱼和恢复邮箱失陷。触摸式安全密钥与要求本地 PIN 的通行密钥有意分开；全部是条件推演，不读取或注册真实凭据。
验证方式比较台
两个步骤、两类因素、抗钓鱼，是三件事
为虚构读书会选一套登录方式，再试一条具体风险路径。这里只选择场景，不输入密码、验证码、恢复码或生物资料。
尚未运行。先选验证方式与场景，再检查结果。
再试一次：先用密码 + TOTP 对比秘密泄露和实时钓鱼；再比较触碰密钥与 Passkey。最后让恢复邮箱失守，看看备用入口会不会改变结论。
随手查 / 把理解带回实际工作
理解机制之后，检查这些细节。
实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。
01 / 实用细节
先画出因素与恢复依赖
列明每种证明的类别、保管位置和重置条件。密码加独立 TOTP 通常覆盖知识与持有两类；但“用了手机”本身不证明独立，也不意味着设备失陷后仍安全。[1][2]
02 / 实用细节
触摸在场，不等于完成用户验证
安全密钥上的触摸可以只证明人在场。若把通行密钥作为多因素使用，应要求本地 PIN 或生物识别等用户验证，并在服务端核验签名响应中的 UV 标志；仅有 UP 标志不够。[3]
03 / 实用细节
一次性不等于无法转发
TOTP 的短有效期和单次使用限制重放，但攻击者仍可能趁有效期转发验证码。优先采用与真实服务绑定的抗钓鱼认证，并拒绝非本人发起的确认请求。[2][1]
04 / 实用细节
新增与替换认证器也是高风险入口
不能只凭一个现存会话就允许替换因素。用已绑定因素重新验证，检查异常上下文并发出变更通知；遗失设备、添加备用认证器与关闭 MFA 都要覆盖拒绝路径。[1]
05 / 实用细节
恢复路径不能悄悄降低门槛
找回账户需要可用且与风险匹配的流程。本练习对照邮箱直接绕过与预先登记的备用通行密钥，只是两种限定方案；真实恢复码、人工核验和同步账户还需单独评估。[1][2]
06 / 实用细节
登录之后还要保护会话
MFA 核验发生在认证时，之后应用可能接受会话凭据。盗走有效会话不一定再次触发 MFA；敏感操作的重新认证、会话撤销和终端保护仍需独立设计。[2]
从模拟，到验证
找一个获准的环境，实际检查一次。
勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。
本页已检查 0 / 5 项
设置密码和安全问题，是否自然构成两个不同因素？
能解释原因，再标记学会。
小测结果同步错题本；“已学会”沿用原有本地学习记录。
资料与依据
- OWASP · Multifactor Authentication ↗
因素独立性、恢复与认证器替换的风险
- NIST SP 800-63B-4 · Authentication and Authenticator Management ↗
多因素认证器、抗钓鱼、恢复与会话边界
- W3C · WebAuthn Level 2 ↗
用户在场 UP、用户验证 UV 与多因素能力
本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-08。