什麼是多重要素驗證 (MFA)?

多重要素驗證是一種安全程序，要求使用者提供至少兩種或以上的驗證要素，才能存取特定的應用程式、網路、帳戶或服務。您會要求來自不同類別的多種證明形式。

其中有些可能具有時效性，這使得他們更難以劫持或入侵，因此您的安全性不會受到損害。 

這些類別包括：

• 只有您知道的資訊 (Knowledge) - PIN 碼、密碼，以及安全性問題的答案。
• 生物特徵 - 包括指紋掃描、視網膜掃描和臉部辨識。
• 只有您持有的物品 (Possession) - 例如透過 SMS 或驗證器應用程式傳送給您的臨時密碼／代碼／OTP，或門禁識別證。

為什麼 MFA 在現代網路安全中很重要？

MFA 在網路安全中很重要，因為它增加了額外的驗證與保護層。這是防止未經授權存取的絕佳方式，並可保護您免受各種網路威脅，例如憑證填充、網路釣魚和暴力破解攻擊。

隨著組織規模擴大，攻擊面也在擴張。即使資料量持續成長，MFA 也會讓這些攻擊面更難被利用。由於需要追蹤的使用者與帳戶更多，企業需要多種驗證要素來確保其基礎架構安全。

以下是多重要素驗證在網路安全中的一些優點：

• MFA 結合密碼、生物特徵與基於持有物的權杖，建立分層防禦。如果其中一個要素遭到入侵，其他要素仍可提供保護，這表示駭客無法存取資源
• MFA 可降低多個帳戶密碼遭到入侵的風險。它透過要求其他驗證要素來降低密碼被竊的風險。
• MFA 可因應不同的安全趨勢與需求。組織可針對不同的基礎架構、風險設定檔、使用者群體與工作流程，實作自己的 MFA 設定。
• MFA 與單一登入 (SSO) 解決方案相容。它也可隨著使用者業務變化與多元業務需求進行擴充。MFA 非常適合遠端與混合式工作模式，並可保護線上交易的驗證安全。

許多產業都要求將 MFA 納入其嚴格法規的一部分。像是 Payments Services Directive 2 (PSD2)、Payment Card Industry Data Security Standard (PCI-DSS) 以及 Health Insurance Portability and Accountability Act (HIPAA) 等標準，使 MFA 成為組織避免高昂合規違規與法律罰款所必需的投資。 

您的企業可能需要 MFA，以及其採用為何重要的其他原因：

• 目前已有 87% 的科技產業正在實作 MFA。中型企業的 MFA 使用率為 34%，而小型企業採用 MFA 的速度較慢，為 27%。83% 的企業要求使用 MFA 來驗證其使用者。
• 英國有 67% 的專業人士 正在啟用 MFA，以致力於保護其個人資料。
• 50% 的 IT 使用者正在使用一次性密碼作為 MFA。每 4 家公司中就有 1 家在經歷網路資料外洩後轉向採用 MFA。

MFA 與單一要素驗證有何不同？

單一要素驗證僅依賴一種驗證方法，通常是密碼。您輸入使用者名稱和密碼後即可登入。MFA 則改變了這一點，要求在授予存取權之前，至少提供兩種不同的驗證要素。

單一要素驗證會形成單點故障。如果有人竊取了您的密碼，他們就能掌控您的帳戶。MFA 則建立多個安全檢查點，駭客必須逐一繞過。

單一要素系統將所有信任都放在密碼上。但密碼存在重大弱點。人們會在多個帳戶間重複使用密碼、選擇弱組合，或成為網路釣魚攻擊的受害者。

與單一要素驗證相比，多重要素驗證如何運作？MFA 透過結合不同的驗證類別來解決弱點。即使駭客破解了您的密碼，他們仍然需要您的手機來接收 SMS 驗證碼、您的指紋進行生物特徵掃描，或您的實體安全金鑰。

MFA 可能需要更多時間才能完成，但它透過多重層次提供安心感。如今智慧型 MFA 驗證解決方案正透過因應使用者行為與不同風險等級，克服造成摩擦的使用者體驗問題。

多重要素驗證方法的類型

MFA 使用多種用於驗證程序的驗證要素或方法。它們適用於使用者與企業不同的安全需求與偏好。以下是最常見的 MFA 方法類型：

推播式驗證

推播通知會在您的行動裝置上提供即時驗證請求。當您存取網站時，系統會將推播通知傳送到您已註冊的智慧型手機。您只需點選 "approve" 或 "deny" 即可授權驗證。

推播式系統會透過專用驗證應用程式互動，例如 Microsoft Authenticator、Duo Mobile 或 Google Authenticator。這些應用程式會開啟與使用者帳戶的連線，並顯示包含情境資訊的登入請求，包括裝置的地理位置、裝置類型和時間。

推播警示也會提供登入嘗試的情境資訊，因此您可以輕鬆注意到異常活動。如果突然跳出未經請求的推播警示，您會立即知道有人正試圖使用您的帳戶。

實體權杖與安全裝置

實體安全裝置是最安全的 MFA 安全類型。像 YubiKey 或 RSA SecurID 權杖這類實體安全金鑰會產生一次性代碼，或使用基於密碼學的技術來證明您的身分。這些 USB 金鑰也能支援 FIDO2 和 WebAuthn 標準。它們也受到包括 Google、Microsoft、Facebook 等大型平台支援。您只需將其插入 PC，或在 Android 手機的 NFC 讀取器上輕觸即可。

硬體權杖可免受網路釣魚攻擊，因為它們會先檢查網站的真實性後才回應。即使您在仿冒網站上輸入密碼，安全金鑰也不會啟動，從而保護您的帳戶。

生物特徵驗證

生物特徵技術利用獨特的生理屬性來進行驗證。語音模式驗證、指紋辨識、臉部驗證系統和虹膜掃描都屬於生物特徵措施。

現代智慧型手機也具備不同的生物特徵選項。iPhone 的 Touch ID 和 Face ID、Android 的指紋掃描器，以及透過 Windows Hello 進行的臉部辨識，都說明了生物特徵技術已被廣泛接受。

生物特徵驗證可帶來極佳的使用者體驗，不需要記住密碼或輸入代碼。您的臉部或指尖就是您的秘密金鑰。然而，您的生物特徵資料必須妥善保護，因為指紋是不可逆的，無法像密碼那樣修改。

Passkeys 與無密碼登入

Passkeys 是 MFA 技術的最新成果。它完全免除密碼，改為依賴安全儲存在裝置上的密碼學金鑰配對。當您建立 passkey 時，您的手機會產生兩把金鑰：一把儲存在手機上的私密金鑰，以及網站持有的公開金鑰。當您登入時，您的手機會證明它持有私密金鑰，而實際上從未移動過該金鑰。

Passkeys 也會透過以平台為中心的生態系統在您的裝置間同步，例如 iCloud Keychain、Google Password Manager 或第三方密碼管理器。您可使用生物特徵或裝置 PIN 碼進行驗證，既方便又安全。

大型科技公司正在推動 passkey 的採用。Apple、Google 和 Microsoft 正在合作制定 passkey 標準，而 PayPal、eBay 和 GitHub 等平台也接受 passkeys。

哪些 MFA 方法是安全的，哪些不是？

所以，您想知道哪些 MFA 方法是安全的，哪些則不是。以下是對所有方法的完整解析：讓我們先從以下強式 MFA 方法開始：

強式 MFA（抗網路釣魚）

抗網路釣魚的 MFA 技術不會讓攻擊者竊取或擷取您的驗證憑證，即使使用者遭受社交工程攻擊而上當也一樣。這些技術會在完成驗證前，同時檢查服務與使用者雙方的合法性。

硬體安全金鑰（FIDO2、WebAuthn）

硬體安全金鑰目前是最安全的 MFA 類型。實體裝置會使用公開金鑰密碼學，在每次登入時產生一次性數位代碼。私密金鑰封存在硬體內，絕不會透過可能遭到攔截的網路進行傳輸。

FIDO2 與 WebAuthn 的互通性標準，使您的安全金鑰可不受平台與服務限制。大型組織尚未出現任何員工使用硬體金鑰時仍成功遭受網路釣魚攻擊的案例。Google 為所有員工導入安全金鑰後，便終止了其員工帳戶遭接管的情況。

單一硬體金鑰可用於多個帳戶與服務。這些金鑰可透過 USB、NFC 或 Bluetooth 建立連線，因此也很適合搭配電腦、智慧型手機與平板電腦使用。主要限制在於必須依賴實體裝置；驗證時必須持有該金鑰。

Passkeys

Passkeys 可完全取代密碼，並提供與硬體金鑰相同的硬體層級密碼學保護。它們也可透過平台層級系統（例如 Apple 的 iCloud Keychain 或 Google 的 Password Manager）在各種硬體之間同步，並消除了實體金鑰帶來的不便。

企業早期部署的成果相當出色。Sony 的登入時間縮短了 24%，且有 88% 的使用者成功完成註冊。Amazon 表示，自推出此功能以來，已產生 1.75 億個 passkeys。

裝置綁定生物辨識

裝置綁定生物辨識具有獨特性，無法被輕易複製或破解。您的基因碼與指紋資料僅屬於您本人。裝置綁定生物辨識的例子包括 Touch ID、Face ID 與 Windows Hello。

您不會忘記或遺失生物辨識驗證因素，因此它們對使用者非常友善。但仍需要為感測器失效準備備援程序。您也必須留意因疾病或受傷導致外貌暫時改變的情況，因此在這些時候需要使用備援方式。

弱式 MFA

以下是一些容易遭受攻擊的弱式 MFA 形式：

SMS 驗證碼（SIM 卡交換風險）

以 SMS 為基礎的 MFA 也有其嚴重的安全缺陷，主要來自 SIM 卡交換犯罪，犯罪者會藉此竊取您的電話號碼。犯罪者欺騙電信業者將您的號碼轉移到他們持有的 SIM 卡上，並攔截您收到的所有簡訊，包括安全驗證碼。

網路可靠性也會帶來額外挑戰。服務中斷、訊息延遲或國際漫遊問題，都可能讓您在最需要安全驗證碼時無法收到。

電子郵件 OTP

電子郵件一次性密碼會帶來安全風險，因為電子郵件帳戶會成為單點故障。當攻擊者透過密碼重複使用、資料外洩或網路釣魚入侵您的電子郵件時，他們也同時取得了存取所有使用您電子郵件進行驗證之服務的方法。

電子郵件無法保證即時送達確認。

垃圾郵件篩選器、伺服器問題或網路故障，都可能延遲或阻擋驗證訊息。使用者通常會在各種硬體與軟體平台上存取電子郵件，這也擴大了可能遭入侵的攻擊面。

推播通知（MFA 疲勞）

推播通知 MFA 起初看似方便，但攻擊者會透過 MFA 疲勞攻擊利用人類心理。他們以重複的驗證要求轟炸使用者，直到受害者為了停止通知而按下核准。

Lapsus$ 組織透過持續不斷的大量推播通知轟炸一名員工，直到取得存取權，進而入侵 Okta。Cisco 與 Uber 也遭遇類似攻擊，攻擊者將社交工程手法與大量推播通知垃圾訊息結合使用。

Microsoft 的研究發現，有 1% 的使用者會直接接受他們收到的第一個 MFA 推播。推播也無法提供任何情境資訊——您無法輕易判斷請求是來自正常登入嘗試，還是網路釣魚行為。

如何為您的組織啟用 MFA？

您可以透過多種方式為組織啟用多重要素驗證。但大多數情況將取決於您的身分識別提供者，例如 Okta，或您是否使用 Microsoft Entra ID。對於使用 Microsoft 365 的企業，可以透過其安全性預設值來啟用 MFA。

他們也可以檢視條件式存取原則，根據位置、裝置與使用者角色等不同條件，以更細緻的控制方式新增 MFA。

您可以使用每位使用者 MFA 傳統功能，為個別使用者啟用 MFA。您也可以採取其他一般步驟，在組織中啟用 MFA。第一步是遵循結構化計畫，例如分階段推出與部署。

您可以設定 MFA 原則，也可以決定排除緊急存取帳戶。許多身分防護工具（例如 SentinelOne）也能協助您在整個組織中自動強制執行 MFA。

常見挑戰與克服方式

MFA 並不完美，確實伴隨各種挑戰。由於驗證流程增加了額外步驟，部分員工可能會覺得不方便或太耗時。在社交工程攻擊情境中，使用者可能會被重複的驗證要求洗版，進而導致 MFA 疲勞。

許多使用者也不知道如何設定與使用 MFA，這表示他們缺乏相關訓練。您必須提供多場訓練課程，並與他們進行即時協助。某些 MFA 方法對身心障礙者以及不太熟悉科技的人來說，可能較難使用。解決方式是提供不同的 MFA 方法，例如推播通知、安全金鑰與生物辨識，而不是只固定使用單一方法。

視您使用的 MFA 應用程式或工具而定，其操作可能有些笨重或不易使用。有時您可能會發現，強制執行 MFA 會降低團隊的生產力。

還有其他挑戰，例如與舊有系統整合、使用像 SMS 驗證碼這類較弱的驗證技術，以及處理遺失或損壞 MFA 裝置的使用者，這些情況都可能導致他們被鎖在帳戶之外。

您需要著重於備援與復原流程來處理這些問題，並為使用者提供備用存取碼。MFA 覆蓋不完整也是許多組織面臨的另一個問題。

MFA 實作最佳做法

以下是一些組織可實作的主要多重要素驗證最佳做法：

• 為組織中的所有使用者啟用 MFA/2FA。您可以使用 MFA 應用程式，並鼓勵員工使用。這些應用程式也可以安裝在其裝置上，並支援離線運作。
• 您應使用具情境感知與自適應的 MFA 控制，來決定所需的驗證層級。若實作得當，MFA 可為使用者提供順暢的使用體驗。
• 無密碼驗證解決方案在 MFA 領域越來越受重視。這些解決方案使用生物辨識與硬體權杖，消除了網路釣魚與憑證填充攻擊的風險。

監控與衡量 MFA 成效

以下是一些您應追蹤的重要指標與 KPI，用於衡量組織中的 MFA 成效：

• MFA 採用率： MFA 採用率可讓您了解 MFA 推出計畫是否按進度進行，或您的覆蓋範圍是否存在缺口。
• MFA 註冊率： 您應檢視 MFA 註冊率，並衡量目前已加入您計畫的使用者數量。您的目標應是達成 100% 的 MFA 採用率，尤其是高風險與高權限帳戶。您也應讓所有管理員帳戶達到 100% 的 MFA 覆蓋率。
• MFA 繞過： 您應尋找繞過技術的跡象，並記錄 MFA 繞過嘗試的次數。這將有助於您適切地偵測並回應各種 MFA 威脅與異常。
• MFA 復原時間： 關於您的 MFA 復原時間，這是指當裝置遺失或無法存取時，使用者重新取得其帳戶存取權所需的時間。請將此指標維持在較低水準，以防止生產力損失。您的 IAM 解決方案和服務台也可以協助您記錄從使用者回報裝置遺失，到其再次取得存取權之間所花費的時間。

MFA 的法規與合規要求

多個產業都需要 MFA，如果您未持續掌握相關要求，可能會面臨巨額罰款與處罰。您應該了解的一些 MFA 合規標準包括：

• Digital Operational Resilience Act (DORA): 這項法規對歐洲的金融機構強制要求嚴格的 MFA。
• Network and Information Security Directive 2 (NIS2): Network and Information Security Directive 2 要求歐盟的關鍵產業啟用 MFA
• Payment Card Industry Data Security Standard (PCI-DSS): 這項標準強制要求對持卡人資料的遠端存取使用 MFA。對於處理非主控台管理存取的人員而言，這是必要要求。 

還有其他標準，例如適用於聯邦承包商的 Cybersecurity Maturity Model Certification (CMMC 2.0)、用於保護個人資料的 General Data Protection Regulation (GDPR)，以及 Microsoft 對 Azure Active Directory 等雲端應用程式的 MFA 要求。

MFA 範例與案例研究

Yubikey 是一種知名的硬體權杖，在實務上用於打造高度安全的 MFA 解決方案。當實體裝置透過 USB 或近場通訊 (NFC) 連接至行動裝置時，它會產生一次性密碼和安全驗證資料。它對基於 MFA 的網路釣魚攻擊和惡意軟體具有很高的抵抗力。

基於位置的驗證是另一種許多企業使用的 MFA 方法。它非常適合防範未經授權的存取嘗試。

透過 Google Authenticator 應用程式和 Authy 產生的時間型一次性密碼 (TOTP) 是另一個 MFA 的實際範例。這些會與您嘗試存取的服務同步，並透過 QR code 提供密鑰。您可以每 30 秒產生一組新代碼，若沒有這些代碼，您就無法完成登入程序。

SuperTokens 是一個開放原始碼、對開發人員友善的驗證平台，可簡化 MFA 設定與擴充性。它使用即插即用的驗證流程，並可自訂以符合進階使用案例。您可以將 MFA 新增至您的 CLI，並為使用者提供順暢的整合體驗。

SentinelOne 如何協助 MFA

Singularity™ Identity 可保護您的組織免受身分型攻擊。您可以使用它來彌補攻擊者最常利用的 Active Directory 和 Entra ID 中固有缺口。

透過 Identity Threat Detection and Response，您可以偵測針對網域控制站和端點、來自任何執行任何作業系統之受管或非受管裝置的進行中身分攻擊，並在對手取得提升權限之前阻止其行動進展。

Singularity Network Discovery 使用內建代理程式技術主動與被動地對網路進行對應。它可提供有關您資產清冊和任何 rogue devices 的資訊。使用者可以調查受管與非受管裝置如何與關鍵資產互動，並從統一介面使用裝置控制功能來控管 IoT 以及可疑或非受管裝置。

Singularity Cloud Security 是 SentinelOne 整合式、無代理程式的 CNAPP，為企業提供整體且具韌性的雲端安全。它包含排名第 1 的 Cloud Workload Protection Platform，可保護容器、Kubernetes、虛擬機器、實體伺服器及無伺服器環境。

SentinelOne 的 AI Security Posture Management 可協助您探索 AI 管線與模型並修正異常。它可以對您的 AI 服務設定檢查。搭配 SentinelOne Offensive Security 的 Verified Exploit Paths 可在攻擊發生前進行預測。這是對抗 zero-days、malware、ransomware、phishing、advanced persistent threats (APTs) 以及已知與未知威脅的絕佳方式。

CNAPP 也包含其他功能，使其適合在您的組織中強制執行多重要素驗證，並建立零信任安全架構。  其中一些功能包括 secrets detection（可偵測 750+ 種類型）、Github/GitLab 程式碼儲存庫掃描、IaC 掃描、shift-left security 功能、External Attack and Surface Management (EASM)、完整鑑識遙測、基於圖形的資產清冊管理，以及 Kubernetes 與容器安全態勢管理。SentinelOne 也可確保您的企業不會失去合規性，並協助您遵循最嚴格且最新的法規標準，例如 HIPAA、CIS Benchmark、NIST、ISO 27001、SOC 2 及其他框架。

Reduce Identity Risk Across Your Organization

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

結論

現在您已了解多重要素驗證的運作方式。您已理解不同的多重要素驗證方法與標準。您也應了解多重要素驗證的優點，以及一般而言如何啟用多重要素驗證。

如果您需要建議，了解應在組織中啟用哪些類型的多重要素驗證，或該選擇哪些方案來符合您的業務需求，您可以聯絡 SentinelOne 團隊。我們提供不同的產品與工作流程，可協助您確保 MFA 轉換與實作順暢無縫。