简体中文
English双因素认证(two factor)是什么?常见实现方式与OTP、令牌、密码的区别
更新时间
双因素认证（two factor authentication，常缩写为 TFA 或 2FA）要求你在登录时提供两类不同性质的凭证：一类是你知道的（密码、PIN），另一类是你拥有的（手机、硬件令牌、软件令牌）。它不等于“输两次密码”，因为两次密码仍属于同一类因素，攻击者拿到密码库就能同时突破。适用条件很直接：只要某个入口一旦被攻破会造成实质损失——网银、VPN、远程桌面、企业邮箱、管理后台——就值得启用。下面按机制、实现方式和选择条件展开。
两类因素为什么比“两次密码”强
认证因素通常分三类：
- 你知道的：密码、PIN、口令短语
- 你拥有的：手机、硬件令牌、智能卡、软件令牌
- 你是什么：指纹、人脸、声纹等生物特征
双因素认证的核心是跨类别组合。密码 + 短信验证码是“知道 + 拥有”，密码 + 指纹是“知道 + 生物特征”。而“密码 + 密保问题”仍是“知道 + 知道”，安全性提升有限，因为两者都可能从同一批泄露数据或社工手段中获得。
这也解释了为什么 TFA 能缓解撞库、钓鱼和密码窃取：即使攻击者拿到了你的密码，还缺第二类凭证。
常见第二因素实现方式与差异
| 方式 | 属于哪类因素 | 便利性 | 主要风险点 |
|---|---|---|---|
| 短信 OTP | 拥有（手机） | 高，无需装应用 | SIM 卡被补办/劫持、短信被拦截 |
| 软件令牌（App 生成 OTP） | 拥有（设备） | 中，需装应用并绑定 | 设备丢失、时间不同步 |
| 硬件令牌 | 拥有（物理设备） | 中，需随身携带 | 丢失、损坏、需备用方案 |
| 推送确认 | 拥有（已登录设备） | 高 | 疲劳轰炸（反复推送诱导误点） |
| 生物特征 | 你是什么 | 高 | 不可更换，泄露后无法重置 |
短信 OTP 的优点是门槛最低，用户不需要额外安装任何东西；缺点是安全性依赖运营商，面对有针对性攻击时较弱。软件和硬件令牌不依赖短信通道，安全性更高，但需要绑定和恢复流程。
Mega AS 的 CAT 产品线就覆盖了多种形态：CAT for iPhone、CAT Windows Token、CAT Win Mobile Token，以及由 CAT 认证服务器按请求下发到用户手机的 SMS OTP。同一家企业可以混用这些令牌，接入同一套受保护服务器，这正对应了“不同用户和环境用不同第二因素”的现实需求。
two factor、OTP、Token、密码的区别
这四个词经常被混用，但指的不是同一层东西：
- 密码：第一因素，你知道的东西。它是长期有效的静态凭证。
- two factor（双因素认证）：一种策略/要求，规定登录必须凑齐两类因素。它描述的是“规则”，不是某个具体技术。
- OTP（一次性密码）：一种凭证形式，用完即失效、通常有短时效（如 30 秒或几分钟）。它常被用作第二因素，但也可以单独使用。
- Token（令牌）：承载凭证的载体或工具。硬件令牌、软件令牌、蜂窝令牌都是 Token；OTP 往往由 Token 生成或由服务器下发。
一句话概括关系：双因素认证是要求，OTP 是常见的一种第二因素凭证，Token 是产生或承载这个凭证的东西，密码则是被它补强的第一因素。
需要留意一个常见误区：OTP 本身不等于双因素。如果某个系统只用 OTP 登录、不再要求密码，那它是“单因素 + 一次性凭证”，并不构成双因素认证。
什么场景值得启用
按风险从高到低，优先在这些入口启用：
- 网上银行与支付类账户
- 企业 VPN、远程访问、Citrix 等远程接入
- 企业邮箱（尤其是 MS OWA 这类可从公网访问的入口）
- 服务器、网络设备、管理后台的特权账户
- 存放敏感数据的系统，如磁盘加密、特权账号管理
Mega AS 列出的适用场景包括 Internet Banking、Government、Health、Universities、Law firms、Telcom，以及 MS OWA、MS ISA、Remote Access、Citrix、CheckPoint、Cisco、Radius 设备等。判断标准不是“行业”，而是这个入口被攻破后损失有多大、暴露面有多广。
启用时的常见卡点与排查
- OTP 一直验证失败：先查时间同步。基于 TOTP 的令牌（CAT 声明符合 OATH TOTP 算法）依赖设备与服务器时间一致，偏差过大会导致验证码始终不对。
- 短信收不到：确认号码是否正确、运营商是否拦截、是否处于无信号环境。短信通道本身是薄弱环节，重要账户建议改用软件或硬件令牌。
- 令牌丢失或换设备：提前准备恢复流程——备用验证码、备用令牌、管理员重置通道。没有恢复方案就贸然启用，可能把自己锁在系统外。
- 推送被反复触发：可能是攻击者在试探，不要盲目点“确认”，应改为输入验证码或直接改密码。
选择思路
- 追求最低使用门槛、用户群体分散：短信 OTP 是现实起点，但要清楚它的安全边界。
- 追求更高安全性、能接受绑定成本：软件令牌或硬件令牌。
- 需要覆盖多种用户和设备：选支持混用多种令牌的方案，让同一套认证体系同时服务手机、PC、PDA 等不同终端。
- 已有网站、想快速接入强认证：可评估提供 API 或 SaaS 形式的方案。Mega AS 提供 eAuthentication API，并声明有免费的 eAuthentication Service（SaaS）入口，具体额度与限制以其官网当前说明为准。
无论选哪种，先明确你的风险入口和恢复流程，再决定第二因素的形式，比单纯比较技术名词更有用。