技術(shù)干貨 | 新時(shí)代下的MFA

什么是MFA？

MFA是Multi-factor authentication的縮寫，譯為多因子認(rèn)證，它的出現(xiàn)是因?yàn)閭鹘y(tǒng)的用戶名+口令的認(rèn)證方式已經(jīng)遠(yuǎn)遠(yuǎn)不能滿足安全級(jí)別較高的系統(tǒng)認(rèn)證需求，存儲(chǔ)在數(shù)據(jù)庫(kù)中的用戶名和口令，無(wú)論是否被加密，一旦數(shù)據(jù)被盜取，將會(huì)為攻擊者提供一個(gè)數(shù)據(jù)源，攻擊者可以用特定軟件快速暴力破解用戶密碼，使得系統(tǒng)被攻破造成數(shù)據(jù)泄露或資金被盜。因此需要增加多個(gè)認(rèn)證身份憑證來(lái)提高系統(tǒng)認(rèn)證安全，這些憑證即為多因子認(rèn)證。

多因子認(rèn)證有哪些認(rèn)證憑證？

除了用戶名和口令外，MFA中固化的憑證還能包含CA中心頒發(fā)的數(shù)字證書、設(shè)備出廠指定的設(shè)備碼、員工自己擁有的磁條卡或芯片卡、用戶自己設(shè)定的PIN碼和密保問(wèn)題與答案等，這些固化的憑證和用戶身份信息綁定后，都可以作為多因子認(rèn)證中的認(rèn)證憑證；

動(dòng)態(tài)憑證目前使用最多的是通過(guò)程序后臺(tái)隨機(jī)生成的4-8位的隨機(jī)數(shù)字，并通過(guò)手機(jī)短信的方式發(fā)送到用戶手機(jī)上，作為第二認(rèn)證憑證。除此之外還有通過(guò)TOTP算法生成的動(dòng)態(tài)令牌作為第二憑證的方式比較多，具體展現(xiàn)形式包含通過(guò)手機(jī)APP中來(lái)生成OTP令牌、通過(guò)硬件設(shè)備來(lái)生成動(dòng)態(tài)令牌等；

生物特征主要是采集用戶的人臉識(shí)別特征、指紋識(shí)別特征、聲音識(shí)別特征、視網(wǎng)膜或虹膜識(shí)別特征來(lái)作為認(rèn)證因子，用戶通過(guò)自助綁定生物特征來(lái)確認(rèn)我就是我后，系統(tǒng)通過(guò)識(shí)別比對(duì)后進(jìn)行身份認(rèn)證，實(shí)現(xiàn)多因子認(rèn)證。

MFA認(rèn)證可以使用多種場(chǎng)景，通過(guò)API或SDK的形式為系統(tǒng)或設(shè)備提供多因子認(rèn)證，舉例如下：

1. 于用戶登陸PC電腦、服務(wù)器登陸時(shí)，通過(guò)PIN碼或者人臉識(shí)別進(jìn)行多因子認(rèn)證；

2. VPN客戶端連接服務(wù)時(shí)，要求用戶輸入動(dòng)態(tài)口令+密碼的方式進(jìn)行登陸；

3. 用戶在異動(dòng)訪問(wèn)應(yīng)用系統(tǒng)時(shí)，需要進(jìn)行人臉識(shí)別確認(rèn)是本人才能授權(quán)用戶登陸；

4. 企業(yè)辦公系統(tǒng)發(fā)布到外網(wǎng)訪問(wèn)，為防止被暴力破解，要求用戶進(jìn)行手機(jī)短信或OTP動(dòng)態(tài)口令認(rèn)證；

5. 用戶在應(yīng)用系統(tǒng)中，涉及到資金或交易操作時(shí)，要求用戶進(jìn)行人臉識(shí)別二次認(rèn)證；

6. 用戶在登陸研發(fā)或生產(chǎn)系統(tǒng)查看或操作涉密文件或數(shù)據(jù)時(shí)候，需要進(jìn)行指紋或虹膜認(rèn)證；

7. 用戶在每天或異地收發(fā)郵件時(shí)，需要進(jìn)行OTP動(dòng)態(tài)口令。

說(shuō)明：

1. MFA平臺(tái)主要提供3個(gè)服務(wù)，分別為：認(rèn)證服務(wù)、后臺(tái)管理服務(wù)、SDK服務(wù)；

2. 認(rèn)證服務(wù)通過(guò)集成人臉識(shí)別系統(tǒng)、CA證書系統(tǒng)、短信網(wǎng)關(guān)等系統(tǒng)，為用戶提供多種多因子認(rèn)證服務(wù)；

3. 后臺(tái)管理服務(wù)主要管理平臺(tái)中組織架構(gòu)、用戶、角色、設(shè)備、應(yīng)用系統(tǒng)信息，為用戶和應(yīng)用系統(tǒng)配置采用多因子認(rèn)證元素，同時(shí)提供用戶自助服務(wù)，供用戶綁定多因子認(rèn)證特征信息；

4. SDK服務(wù)為系統(tǒng)集成提供不同類型SDK接入支持。

派拉軟件作為專業(yè)的企業(yè)信息安全供應(yīng)商，提供專業(yè)的MFA認(rèn)證平臺(tái)，為企業(yè)信息安全保駕護(hù)航。