Sectigo 博客
多因素身份认证（MFA）的 8 大常见弱点
多因素身份认证（MFA）是一项安全原则，要求用户在获得系统访问权限前提供多种认证要素。例如，用户可能需要提交用户名、密码，以及发送到其手机的安全验证码，才能登录 Web 应用。
MFA 大幅提高了网络犯罪分子访问企业数字资产的难度。攻击者若要成功入侵系统，除了用户名和密码组合外，还需要获取特定设备的访问权限、知晓安全问题答案、获取生物特征数据等。
但 MFA 本身存在一些值得关注的固有弱点。识别这些弱点后，您可以调整 MFA 配置，保障访问控制系统的安全性。本文将深入分析 MFA 的弱点、如何使用凭据或证书类身份认证应对这些弱点，以及证书生命周期管理（CLM）在降低风险方面的作用。
MFA 的 8 大弱点
以下 8 项MFA 弱点会让您的系统更易被攻击者利用：
- 用户缺乏用户教育不足。用户可能在邮箱和应用登录时使用相同密码，没有意识到这会给向邮箱发送验证码的 MFA 系统带来风险。
- 社会工程学攻击.在这类攻击中，恶意行为者可能诱导员工泄露其多个账户或设备的密码，以及安全问题的答案。
- 钓鱼攻击. 钓鱼攻击可能导致用户在伪造的在线表单中输入登录凭据。攻击者借此可入侵用户邮箱，获取 MFA 系统发送的验证码。
- 中间人（MITM）攻击中间人（MITM）攻击。MITM 攻击可在用户向攻击者搭建的虚假网络输入信息时，截获用户凭据。
- 恶意软件与键盘记录器恶意软件与键盘记录器。恶意软件（尤其是键盘记录器）可记录用户的击键内容并发送给攻击者。
- 单点故障. 如果主多因素认证（MFA）设备或认证方式失效——例如智能手机应用或硬件令牌故障——用户会被锁定在账户之外。此外，用户遭遇钓鱼攻击或社会工程学攻击等人为失误，也是MFA无法完全消除的故障点。
- 复杂性与可用性. MFA系统需要用户花费精力获取、记忆并输入信息，这可能导致用户选择设置简单、易被破解的密码。
- 缺乏定期更新. MFA系统提供商会持续优化产品安全性，例如强化认证协议、改进加密算法。如果不及时更新MFA系统，就无法获得必要的安全加固。
基于证书的认证相比基于凭据的认证的优势
基于证书的认证不依赖用户手动输入信息，而是使用安全的数字证书完成认证，相比MFA等基于凭据的认证体系具备一定优势。
在基于证书的认证体系中，可减少认证过程中的用户参与度。例如，当设备使用数字证书访问系统时，用户可能无需输入任何内容，因为加密的数字证书本身就可作为访问凭据。
证书生命周期管理（CLM）如何化解潜在的证书风险
尽管数字证书能带来显著收益，但需要注意的是，数字证书也可能带来以下风险：
- 过期问题. 证书可能在用户不知情的情况下过期，导致用户无法访问核心服务。
- 管理疏漏. 管理员可能忘记为已离职员工注销对应的设备证书。
- 吊销问题。 证书遭泄露后必须立即吊销，否则攻击者可利用这些证书入侵敏感系统。
借助证书生命周期管理（CLM）系统，可避免上述问题。例如，Sectigo Certificate Manager（SCM）是受信任的证书颁发机构（CA）产品，支持管理员追踪所有证书的过期时间，避免出现意外过期的情况。SCM还可协助管理员及时吊销泄露的证书，以及已离职员工对应的证书。
借助Sectigo Certificate Manager规避MFA的短板
可能导致MFA防护失效的因素会威胁访问控制系统的安全性，这也凸显了基于证书的认证的优势。Sectigo Certificate Manager 可自动监控证书全生命周期的状态，无需人工手动追踪证书过期情况、开展漏洞管理工作。联系Sectigo 了解更多信息。