【資安科普】什麼是 2FA, MFA? 我的網站需要這些功能嗎? (2 Factors)

本文章目次

隨著數位化日益普及，我們越來越依賴網站來處理各種生活與工作的事務，包括購物、銀行業務、社交媒體等等。然而，這種便利的同時也帶來許多安全危機。我們時常可以看到各種關於網路詐騙、資料外洩，甚至是身份盜竊的新聞，這些都凸顯了網站安全性的重要性。

網站安全不僅對於使用者的個人信息保護至關重要，大多數的帳戶盜用事件，皆起因於駭客竊取密碼登入網站。因此，為了保護使用者與自身的利益，國際上許多網站開始強制導入更多不同的身分認證模式，用來取代單純的密碼認證。

關於 2FA和 MFA

簡單密碼的弱點

密碼是我們最常見的安全驗證方式，但簡單的密碼系統存在許多缺陷。首先，密碼的強度大多取決於使用者。若使用者設定的密碼過於簡單（例如123456，或是使用個人資訊如生日），這將極易被駭客猜測並突破。其次，即使使用者設定的密碼強度很高，也不能完全避免 "釣魚攻擊" 或 "中間人攻擊" 等安全威脅，因為這些攻擊方式往往透過欺騙使用者取得他們的密碼。最後，許多使用者常常在不同的網站上重複使用相同的密碼，一旦這些密碼在任何一個網站上被洩漏，其他的帳戶也會陷入風險。

身份驗證的重要性

進階的身份驗證方式，如雙因素驗證和多因素驗證，能夠大幅降低密碼被破解的風險，即使密碼被駭客得知，他們仍無法通過第二層或更多層的驗證，從而保護使用者的帳戶安全。

這些進階驗證方式通常會要求使用者提供以下三種資訊:

你所擁有的（例如一個手機裝置接收驗證碼）
你所知道的（例如密碼）
或你是誰（例如指紋或臉部辨識）

等證明來確認其身份。透過這種方式，即使駭客得知其中一種證明，也無法輕易地取得其他證明，因此大大提高了帳戶的安全性。

2FA和 MFA的概念

因此，近年來的網路安全，逐步採用了更多強化安全性的驗證方式，稱為二因素驗證(2FA)與多因素驗證(MFA)。

2FA，或者說雙因素驗證，是指在登入過程中，除了傳統的密碼驗證之外，還加入了第二層的安全驗證手段，例如短信碼、電子郵件驗證、指紋辨識等等，從而大大提高了賬戶的安全性。

而MFA，或者說多因素驗證，則是在驗證過程中加入了兩種或更多的驗證手段。這些驗證手段可能包括了密碼、生物辨識、行為特徵等等。

透過這兩種驗證方式，我們可以有效地提高網站的安全性，防止不法之徒盜取使用者的資料或侵入系統。

2FA 與 MFA - Image via quicklaunch

什麼是 2FA (雙因素驗證)?

雙因素驗證（2FA）是一種增強安全驗證的方法，它需要用戶提供兩種不同形式的身份證明才能進行認證。這兩種證明方式通常來自以下三個類別：用戶知道的信息（如密碼）、用戶擁有的物件（如接收驗證碼的手機），以及用戶的身體特徵（如指紋或面部識別）。

2FA 的運作原理

當用戶嘗試登錄或執行某些敏感操作時，系統會首先要求他們提供一種身份證明，通常是密碼。然後，系統會再要求提供第二種身份證明，例如透過短信發送到用戶手機上的驗證碼，或是來自生物識別裝置（如指紋掃描器）的資料。只有當兩種身份證明都正確時，系統才會認證該用戶。

常見的2FA驗證方式

**簡訊驗證：**系統會向用戶的手機發送一個驗證碼，用戶需要在系統上輸入這個驗證碼才能進行下一步。
**電子郵件驗證：**類似於短信驗證，但驗證碼是發送到用戶的電子郵箱。
**生物識別：**包括指紋識別、臉部識別或視網膜掃描等。
**物理安全鑰匙：**例如 YubiKey 或 Google Titan，用戶需要將這些物理鑰匙插入電腦或通過NFC接觸手機來進行身份驗證。

2FA 的優點：

**提高安全性：**由於需要兩種身份證明，即使其中一種被駭客得知，他們也無法進行下一步，從而提高了帳戶的安全性。
**減少身份盜竊：**即使密碼被駭客破解，但他們無法模仿用戶的生物特徵或獲取物理安全鑰匙，因此大大降低了身份盜竊的風險。

2FA 的缺點：

**便利性降低：**用戶需要完成兩次驗證，這可能會讓用戶感到麻煩，尤其是在需要頻繁登錄的情況下。
**需要額外設備：**某些2FA方法（例如生物識別或物理安全鑰匙）可能需要用戶有特定的設備，這可能增加了使用的成本。

Google Titan & Yubikey

什麼是 MFA (多因素驗證)?

多因素驗證（MFA）要求用戶提供超過兩種形式的身份證明，以增強帳戶的安全性。這些證明方式依然源自於以下三種類別：用戶知道的訊息（如密碼）、用戶擁有的物件（如接收驗證碼的手機或安全鑰匙），以及用戶的身體特徵（如指紋或面部等生物識別）。

MFA的運作原理

與2FA相似，當用戶嘗試登錄或執行敏感操作時，系統會要求他們依序提供多種身份證明。每一種證明方式都必須通過，系統才會認證該用戶。通過要求用戶提供更多種類的身份證明，MFA為安全提供了更多層的保護。

常見的MFA驗證方式

**簡訊驗證 + 密碼 + 生物識別：**這是一種非常常見的MFA方法，用戶需要提供這三種證明方式才能登錄。
**物理安全鑰匙 + 密碼 + 生物識別：**這種方法通常用於高安全需求的環境，例如政府或軍事設施。

MFA 優點：

**更高的安全性：**由於需要提供多種身份證明，駭客即使獲得其中一種或兩種證明，也無法通過所有驗證，從而大大提高了帳戶的安全性。
**更全面的保護：**MFA通過組合多種身份證明方式，可以對抗各種不同的威脅，提供更全面的保護。

MFA 缺點：

**便利性降低：**與2FA相同，MFA需要用戶完成多次驗證，可能會使登錄過程變得繁瑣。
**需要額外設備：**某些MFA方法可能需要用戶有特定的設備，如生物識別設備或物理安全鑰匙，這可能增加了實施的成本。

我的網站需要2FA或MFA嗎?

何時需要使用 2FA 或 MFA

如果你的網站存儲或處理敏感資料，如個人資訊、信用卡信息、或其他可以被惡意使用的資料，你應該考慮使用2FA或MFA。尤其是在當前網路攻擊日益猖獗的情況下，使用進階的驗證方式來保護你的網站和你的用戶是十分必要的。

2FA 和 MFA 在不同網站的應用

各種不同類型的網站都可以從2FA或MFA中獲益。例如，電商網站可以使用2FA或MFA來保護顧客的付款資訊；社群網站可以使用它來防止帳戶被盜；醫療網站則可以利用它來確保患者的醫療紀錄不被未經授權的人訪問。

我要如何替網站導入 2FA, MFA

設置和實施2FA或MFA可能需要專業的技術知識。幸運的是，有許多第三方服務，如Google Authenticator、Authy或Duo Security等，他們提供了易於實施的解決方案。你可以根據你的需求和預算選擇合適的服務來實施2FA或MFA。

2FA和MFA在提高網站安全性方面發揮了關鍵作用。雖然它們可能會帶來一些便利性的降低，但與保護用戶資訊的安全相比，這是值得的。

無論你的企業規模或網站大小，都應該認真對待其安全性。如果你想了解自己的網站如何導入 2FA, MFA ，或是您有計畫建置全新的網站，並重視其安全性。非常歡迎您前來找我們洽詢，夏木樂具有多年企業級網站研發的經驗，能夠替您建置強大完整的網站平台。