雙因子（或稱雙因素）認(rèn)證一直是安全圈比較關(guān)注的一個(gè)話題，從等保1.0時(shí)期的關(guān)鍵評(píng)價(jià)指標(biāo)項(xiàng)，到現(xiàn)在網(wǎng)絡(luò)安全等級(jí)保護(hù)、關(guān)鍵信息基礎(chǔ)設(shè)施、高風(fēng)險(xiǎn)判定指引，要求在各個(gè)層面的身份鑒別上均實(shí)現(xiàn)雙因子身份鑒別，可見(jiàn)對(duì)雙因子認(rèn)證在日常應(yīng)用的重視程度。

01什么是雙因子認(rèn)證？

 現(xiàn)代雙因子認(rèn)證的起源，可追溯到一戰(zhàn)時(shí)期的英國(guó)情報(bào)局軍情6處M16，用于針對(duì)處理安全、防務(wù)、外事、經(jīng)濟(jì)方面的事物情報(bào)、密碼情報(bào)。

所謂的雙因子認(rèn)證是指結(jié)合密碼、實(shí)物（信用卡、SMS手機(jī)、令牌）或指紋等生物標(biāo)志中的兩種條件對(duì)用戶進(jìn)行認(rèn)證的方法。

02雙因子的3種認(rèn)證方式

一、知識(shí)

最常見(jiàn)的就是口令等知識(shí), 其優(yōu)勢(shì)在于認(rèn)證過(guò)程簡(jiǎn)單快捷, 不會(huì)出錯(cuò)。

二、實(shí)物

比如說(shuō)是IC卡、令牌, USB Key等實(shí)物(古代的虎符也是這類)，其優(yōu)勢(shì)在于認(rèn)證過(guò)程也簡(jiǎn)單快捷, 不會(huì)出錯(cuò)。

三、人的生物特征

比如指紋, 虹膜, 視網(wǎng)膜, 掌紋, 面貌等, 這些識(shí)別元素是每個(gè)人都是唯一的，用來(lái)作為認(rèn)證是最強(qiáng)的, 但認(rèn)證過(guò)程比較慢, 而且會(huì)出錯(cuò)。

結(jié)論

雙因子認(rèn)證的認(rèn)證方法，就是必須使用上述三種認(rèn)證因子的任意兩者的組合才能通過(guò)認(rèn)證。

03標(biāo)準(zhǔn)涉及雙因子認(rèn)證

《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》

在三級(jí)安全計(jì)算環(huán)境中針對(duì)身份鑒別部分，要求“應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對(duì)用戶進(jìn)行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來(lái)實(shí)現(xiàn)。”

《關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)基本要求》

在報(bào)批稿第7章安全防護(hù)中針對(duì)鑒別與授權(quán)要求“對(duì)設(shè)備、用戶、服務(wù)或應(yīng)用、數(shù)據(jù)進(jìn)行安全管控，對(duì)于重要業(yè)務(wù)操作或異常用戶操作行為，建立動(dòng)態(tài)的身份鑒別方式，或者采用多因子身份鑒別方式等。”

《網(wǎng)絡(luò)安全等級(jí)保護(hù)高風(fēng)險(xiǎn)判定指引》

在第7章針對(duì)雙因素認(rèn)證部分，判定內(nèi)容為：“重要核心設(shè)備、操作系統(tǒng)等未采用兩種或兩種以上鑒別技術(shù)對(duì)用戶身份進(jìn)行鑒別。例如僅使用用戶名/口令方式進(jìn)行身份驗(yàn)證，削弱了管理員賬戶的安全性，無(wú)法避免賬號(hào)的未授權(quán)竊取或違規(guī)使用，可判定為高風(fēng)險(xiǎn)。”

結(jié)論

通過(guò)以上標(biāo)準(zhǔn)和指引可以看出，對(duì)雙因子認(rèn)證的要求舉足輕重，用戶登錄資源需要具備唯一身份標(biāo)識(shí)，對(duì)唯一身份標(biāo)識(shí)的鑒別需要實(shí)現(xiàn)多因素強(qiáng)身份認(rèn)證，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來(lái)實(shí)現(xiàn)，并且多方解讀高風(fēng)險(xiǎn)即為一票否決項(xiàng)。

04工作中暴露出的問(wèn)題

網(wǎng)絡(luò)安全對(duì)抗活動(dòng)

從歷年網(wǎng)絡(luò)安全對(duì)抗活動(dòng)行動(dòng)了解到的情況來(lái)看，暴露出來(lái)的最大問(wèn)題就是認(rèn)證的安全問(wèn)題。僅校驗(yàn)“賬號(hào)+密碼”的認(rèn)證方式，很容易被口令猜測(cè)破解。

日常工作

日常工作中，缺少統(tǒng)一管理，資源各自認(rèn)證，不便統(tǒng)一認(rèn)證方式；賬號(hào)各自維護(hù)，不便設(shè)置口令策略；日志各自保存，不便查詢分析。