Authentication 什么是双因素身份验证？

我的任务是寻找和评估一些用于我们产品中的身份验证库，一些解决方案推出的销售功能之一是“双因素身份验证”

这种方法是什么？它是如何工作的？是否有更好的方法（如三因素认证，我想）？

当两个（或更多）不同的因素结合使用来认证某人时

例如，银行可能会询问您的账号和pin码。有时，比如当你打电话给呼叫中心时，他们可能会问你其他因素，比如姓名、出生日期、电话号码、地址等

该理论认为，你可以认证的因素越多，你与正确的人打交道的概率就越高。在我看来，它工作得有多好，安全性有多高都是有争议的

因素包括：

• 人的因素与个人有着内在的联系，例如 生物特征（“你是什么样的人”）
• 个人因素以其他方式分配给 例如，学习的个人 代码。（“你知道的事”）
• 技术因素与物理手段有关，例如通行证， 身份证或代币。（“什么 你有

---

请参阅：

双因素身份验证是使用两个因素对一个人进行身份验证（有时是一个过程）

这可能是一个PIN码（你知道的）和一张借记卡（你有的）

可能会使用许多身份验证因素：

认证因素适用于 认证一个文件的特殊程序 个人 明确授予的访问权限。 有不同的因素类型 身份验证：

• 人的因素与个人有着内在的联系，例如 生物特征（“你是什么样的人”）
• 个人因素以其他方式分配给 例如，学习的个人 代码。（“你知道的事”）
• 技术因素与物理手段有关，例如通行证， 身份证或代币。（“你有什么事吗 有

您选择哪些因素取决于所需的访问类型、所需的安全性、成本，尤其是人们愿意忍受什么

人们会对每4个月更改一次的强密码感到恼火，因此你可能会发现员工更喜欢配备指纹扫描仪的笔记本电脑，他们可以使用弱密码和指纹-双因素身份验证对用户来说可能更容易

但其他人可能不喜欢生物特征安全的隐私含义，而宁愿随身携带一个钥匙链设备，该设备可以生成与密码一起键入的数字

高安全性的情况可能需要所有三个因素——你拥有的东西，比如卡片，你是的东西，比如视网膜成像，以及你知道的东西，比如密码

但是当你增加更多的级别时，成本和刺激会增加

-Adam

“有没有更好的方法（我想是三因素认证）

问题不仅仅是更多的因素。这是一个更好的因素组合

密码很容易丢失和泄露。人们把它们写在胶粘纸上，然后放在键盘底部

---

其他非密码因素也是其中的一部分。对于基于浏览器的应用程序，您可以使用IP地址和其他特定于PC的材料，这些材料作为HTTP头的一部分浮动在其中。对于桌面应用程序（如VPN连接），独立的密钥生成器或插入式USB读卡器可能会提供额外的因素。

我将采用完全不同的策略。当然，所有这些答案都是正确的，但我想把话题扩大一点——想想在哪里和什么时候应用双因素身份验证。有三个领域可以使用强身份验证：会话身份验证、相互身份验证和事务身份验证。会话身份验证是大多数人在考虑2FA时考虑的问题。但是想象一下，如果人们在进行银行交易时只需要使用OTP。攻击面从“登录时”变为“进行事务时”，这要小得多。如果事务身份验证使用公钥系统对发送进行签名，那就更好了

---

相互认证是一种试图阻止MiTM攻击的系统。你可以想象一些银行网站使用的小图片，但它们完全无效，因为它们没有涉及加密。下面是我们如何通过验证用户的站点ssl证书来进行相互身份验证：。当然，还有其他方法可以做同样的事情。

哈哈，在我视网膜附近的任何地方都很有可能得到激光。但这是一个很好的解释。我想知道尿液分析是否会被工作人员所接受（并对这种设备感到不寒而栗）。我很好奇。为什么技术和人不一样？你的指纹/视网膜肯定还是你有的？我想起了电影《拆楼人》中韦斯利·斯奈普斯（Wesley Snipes）挖出了一只男人的眼睛，以便稍后在视网膜扫描仪上使用（类似于偷你的VISA卡）。人为因素是无法改变的（理想情况下）。因此，一旦你的指纹被破坏（例如被复制），你就再也不能使用它了——别人有它的副本。你不可能只得到一张新的visa卡。一旦你所有的手指都被复制了，你就不能把指纹作为一个因素…你在第。2不是不同的因素-它们是一个因素的例子。你的“因素包括”中的因素表明了多个因素可能是什么——你拥有的东西加上你知道的东西是2个因素；2倍于你所知道的。所以你的实际VISA卡和PIN是两个不同的因素，是吗？但是你的指纹和视网膜图像还有塔托