什么是双因素身份验证？

Question

我的任务是找到并评估一些用于我们产品的认证库，而某些解决方案推出的销售功能之一是“双因素认证”。

这种方法是什么？它是如何工作的？是否有更好的方法（例如三因素身份验证）？

Answer 1

双因素身份验证使用两个因素来验证一个人（或有时是一个流程）。

这可能是一个PIN码（你知道的）和一张借记卡（你有的东西）。

可能会使用许多身份验证因素：

  

身份验证因素适用于   认证的特殊程序   作为个人的人   最终授予访问权限。   有不同的因素类型   认证

     

  例如，
• 人为因素本质上与个人有关   生物识别技术（“你是什么东西”）。
  
• 个人因素以其他方式进行精神或身体上的分配   个人，例如学到的   代号。 （“你知道的东西”）
  
• 技术因素与物理手段相关，例如传球，   身份证或代币。 （“你有事   有“）
  

From wikipedia.

您选择哪些因素取决于所需的访问类型，所需的安全性，成本，尤其是人们愿意忍受的内容。

人们对每4个月更换一次的强密码感到恼火，因此您可能会发现员工对拥有指纹扫描仪的笔记本电脑感到满意，他们可以使用弱密码和指纹 - 对于用户来说，双因素身份验证可能更容易。

但其他人可能不喜欢生物识别安全的隐私影响，而宁愿随身携带一个钥匙串设备，该设备会生成输入密码的数字。

高度安全的情况可能需要所有三个因素 - 您拥有的东西，例如卡片，您可以使用视网膜成像，以及您知道的某些因素，例如密码。

但随着你增加更多关卡，成本和刺激都会增加。

- 亚当

Answer 2

当两个（或更多）不同因素结合使用来验证某人时。

例如，银行可能会询问您的帐号和密码。有时，就像你打电话给呼叫中心一样，他们可能会问你其他因素，如姓名，电话，电话号码，地址等。

理论上，您可以认证的因素越多，您处理正确人的可能性就越高。在我看来，它的效果如何以及它的安全程度是多么有争议......

因素包括：

例如，
• 人为因素本质上与个人有关 生物识别技术（“你是什么东西”）。
• 个人因素以其他方式进行精神或身体上的分配 个人，例如学到的 代号。 （“你知道的东西”）
• 技术因素与物理手段相关，例如传球， 身份证或代币。 （“某事 你有“）

请参阅：http://en.wikipedia.org/wiki/Two-factor_authentication

Answer 3

“有更好的方法（例如三因素身份验证，我猜）？”

问题不仅仅是更多因素。这是一个更好的因素组合。

密码很容易丢失和泄密。人们将它们写在胶粘物上并将它们放在键盘的底部。

其他非密码因素是混合的一部分。对于基于浏览器的应用程序，您可以使用IP地址以及作为HTTP标头的一部分浮动的其他PC特定材料。对于桌面应用程序（如VPN连接），独立密钥生成器或插件USB读取器可能会提供其他因素。

Answer 4

我将从一个完全不同的机智。当然，所有这些答案都是正确的，但我想稍微扩大一下话题 - 思考哪里和哪些？何时应用双因素身份验证。有三个区域可以使用强身份验证：会话身份验证，相互身份验证和事务身份验证。会话认证是大多数人在考虑2FA时所考虑的问题。但想象一下，如果人们在进行银行交易时只需要使用OTP。攻击面从“登录时”变为“进行交易时”，这种情况要小得多。如果事务认证使用公钥系统来签署tx，则更好。

相互身份验证是一种试图阻止MiTM攻击的系统。您可以想到一些银行网站使用的小图片，但它们完全无效，因为没有涉及加密。以下是我们如何通过验证用户的网站ssl证书来进行相互身份验证：http://www.wikidsystems.com/learn-more/technology/mutual_authentication/。当然，还有其他方法可以做同样的事情。