多因素认证（Multi Factor Authentication，简称 MFA）的使用背景主要出于对账户和系统安全性的增强需求。传统的用户名和密码认证方式在面对日益复杂的网络威胁时显得不够安全，因为密码可能被泄露、猜测或被暴力破解。随着攻击者拥有越来越先进的工具，对更安全的认证协议的需求正在加大。多因素认证通过引入额外的认证因素，提供了更强大的安全层级。同时，将“实体所有”、“实体特征”、 “实体所知”三种不同认证因素结合起来增强系统或设备的安全性是研究人员容易设想的方向，因此多因素认证解决认证安全问题是大势所趋。

什么是多因素认证？

多因素认证是一种简单有效的安全实践方法，旨在提供两层或更多的身份验证保护。最常见的三种验证因素包括知识（实体所知）、持有物（实体所有）和固有属性（实体特征）。知识因素指的是用户知道的信息，如安全密保问题或个人识别号码如pin码；持有物因素是用户拥有的物品，例如SMS密码或硬件令牌；固有属性则与用户的身体特征有关，如指纹或面部识别等。这种方法提高了安全性，因为即使某个因素被泄露或破解，攻击者仍需要其他因素才能访问用户账户或系统。尤其是在面临日益复杂的网络安全威胁时，MFA的实施可以有效减少未经授权的访问，提高账户安全性。

三种验证因素可以总结如下：

基于实体所知的方法是最为广泛使用的方法，如密码、验证码等，其成本低、实现简单，但同时也面临较大安全威胁如暴力破解和木马侵入等。

基于实体所有的方法是安全性较高、成本较高的一类，主要应用在IC卡、门禁卡和数字签名等。但缺点是基于实体所有的方法因为存在固体实物，因此会面临着损坏和被复制的风险。

基于实体特征的方法是安全性最高的一种方式，通常采用生物识别方法进行验证。主要应用在指纹、虹膜、声波特征等验证方式。实体特性鉴别的准确性和效率主要取决于开发过程中的算法特征。

研究现状

最近，许多研究人员进行的相关研究，将身份认证技术组合实现多因素认证，还可以将传统身份认证技术与OpenCV等其他技术结合实现。

[1]提出了一种基于设备序列化和数字签名认证的新型认证算法，来认证物联网设备和服务器，并设计了一个系统：只有当设备完成多因素认证时，才允许它访问网络，否则就只能从头开始身份验证。这种认证技术可以应用到所有的物联网设备上，但是需要注意的是，先进的加密标准和对称密钥加密等加密算法确保了数据保护，而且通常是相当安全的，但这些方法耗电量高，消耗电池更快。

[2]中提出了一种基于行为特征的持续性多因素认证系统，这个系统利用智能手表上的传感器采集到的数据作为用户认证的额外判断依据。二级身份认证基于在计算机键盘上输入用户名和密码、智能手机模式解锁或智能手机密码或智能手机输入时包含的细微的手势。用户只需要在佩戴智能手表时使用他们首选的认证方法（比如账号密码）对自己进行身份验证，利用从手表上的传感器收集到的运动数据，就可以连续进行额外的第二级身份验证，可以高精度地预测用户的真实性，而且第二级身份验证对用户是透明的，不会影响正常用户的活动。此外，[2]中采用的双因素认证方法考虑到了用户的隐私性问题，很多基于生物特征采集的身份认证系统都会持续监控和记录用户的行为，从而引发了用户关于隐私的担忧。文章提出的HS-MFA可以通过蓝牙在本地工作，而不需要互联网或蜂窝网络连接。而且，它不会在用户的设备上存储密码或安全问题等数据。

[3]开发了一个多模态的认证系统，使用一个人的人脸特征来识别他。为了开发这样一个系统，研究人员使用了软硬件结合的方法包括树莓（Raspberry Pi）、OpenCV和AWS服务。其中，树莓派是一种微型计算机，可以运行Linux系统，具有高灵活性和对高端性能的鲁棒性，用来配置文件和控制访问。使用OpenCV进行人脸检测，它使用HAAR分类器来检测对象。用到的AWS服务包括用于识别人脸的AWS recognition，和用于存储从识别过程中生成的人脸id以及相应的人员姓名的AWS DynamoDB。

[4]使用了谷歌提供的麻省理工学院应用程序开发者工具，创建了一个可以对用户进行身份验证的安卓应用程序。程序中添加了一个Makeblock计算机视觉扩展服务，借此可以添加面部识别功能，还使用TinyWebDB来存储用户名和密码，因此这个应用程序可以实现一个三因素认证。同时，作者还给出了应用程序改进的方向，如创建自己的自定义数据集，使用openCV提供面部识别服务而不是调用微软的API等。

[5]介绍了一种身份验证和密钥协议，适用于希望能够访问部署在现场的受限传感器节点的用户，例如医生访问病人的医疗保健节点。传感器（物联网设备）和用户设备分别依赖于物理上不可克隆的函数（PUF）和生物识别技术，提供直接的多因素认证。此外，方案提供了防止半可信第三方存在的保护机制，具有完美的前向保密、匿名、不可追溯性的特点，以及针对会话数据的丢失攻击的保护。此外，实验结果表明，该方案在计算和通信成本方面优于大多数最先进的方案。

可以看到，针对不同系统和不同应用场景的多因素身份认证设计在安全性，隐私性，保密性，成本，识别精确度上进行了研究，已经有了成熟的研究体系，多因素认证成为了身份认证研究的主流趋势，具有广阔的应用前景。

面临的挑战

虽然多因素认证技术减轻了传统身份验证系统的一些漏洞，但它们也带有自身的挑战。在不同的应用场景和认证技术中，还是存在各自的不足和亟待改进的地方。比如，尽管用于物联网环境的多因素认证协议解决了单因素认证协议的安全性问题，然而物联网环境的本质需要轻量级的协议，因为各种各样的物联网传感器和设备的资源有限和功率有限。如何将多因素认证技术和一些轻量级设备更好融合并且提高不同应用场景的健壮性是值得思考的问题。虽然多因素认证技术使用了加密、哈希函数、计算、模糊提取器等特性，并不是所有提出的多因素认证协议都证明了对各种攻击的弹性以及能否应对不同的攻击。一些协议可能提供一些乐观的方法，但需要特殊的硬件，不适合当前和旧的物联网设备。[6]例如，向用户的设备发送临时密码的双因素认证方案依赖于互联网可用性或流量接收。另外，采用生物学特征识别有时需要添加一个二级物理设备，这会带来新的成本负担，这都是亟待解决的问题。

多因素认证的发展方向：持续性认证和零信任安全

零信任安全的概念是基于重建访问控制的信任基础，它依赖于身份认证和授权。为了确保合法性，网络需要对发起接入请求的所有终端进行动态、连续的身份认证。持续认证是在一定时间内建立安全的通信会话，它是相互认证的补充，以确保在会话开始时被认证的设备始终保持不变。

持续自适应多因素认证（Continuous Adaptive Multi-Factor Authentication，CAMFA）是一种安全身份验证方法，它在自适应多因素认证的基础上引入了实时风险评估技术，以动态评估用户的安全级别。在时间上，CAMFA 在用户整个使用过程中不断对其进行信任评估，以决定是否需要增加额外的认证步骤。这种方法的优势在于企业的安全状态可以实时监控，而用户只在执行风险操作时才会被要求进行额外的认证。

可见，要想建立起更安全更健壮的身份认证机制，持续性认证和零信任安全是未来的多因素认证机制必不可少的特性，也是可以深入探究的新兴领域。

总结：

综上所述，多因素认证是提升身份验证安全性的有效方式，它不仅仅依赖于单一的密码，还结合了其他因素增加了攻击者攻击的难度。随着技术的不断发展，多因素认证的方法也在不断演化，带来更多创新和便利性。在今后的数字化世界中，多因素认证将继续发挥重要作用，保护用户的隐私和数据安全。

参考文献：

[1] N. Odyuo, S. Lodh and S. Walling, “Multifactor Mutual Authentication of IoT Devices and Server,” 2023 5th International Conference on Smart Systems and Inventive Technology (ICSSIT), Tirunelveli, India, 2023, pp. 391 -396, doi: 10.1109/ICSSIT55814.2023.10061113.

[2] J. G. Maes, K. A. Rahman and A. Mukherjee, “Hybrid Smartwatch Multi- factor Authentication,” 2023 IEEE 17th International Symposium on Medical Information and Communication Technology (ISMICT), Lincoln, NE, USA, 2023, pp. 1-6, doi: 10.1109/ISMICT58261 .2023.10152114.

[3] A. Kumar and D. K. Jhariya, “Multifactor Authentication System,” 2023 2nd International Conference on Paradigm Shifts in Communications Embedded Systems, Machine Learning and Signal Processing (PCEMS), Nagpur, India, 2023, pp. 1-4, doi: 10.1109/PCEMS58491.2023.10136041.

[4] A. Bissada and A. Olmsted, Mobile multi-factor authentication, 2017 12th International Conference for Internet Technology and Secured Transactions (ICITST), Cambridge, UK, 2017, pp. 210-211, doi 10. 23919ICITST.2017.8356383.

[5] A. Braeken, “Highly Efficient Bidirectional Multifactor Authentication and Key Agreement for Real-Time Access to Sensor Data,” in IEEE Internet of Things Journal, vol. 10, no. 23, pp. 21089-21099 , 1 Dec.1, 2023, doi: 10.1109/JIOT.2023.3284501.

[6]Z. A. -A. Mohammad Fneish, M. El-Hajj and K. Samrouth, “Survey on IoT Multi-Factor Authentication Protocols: A Systematic Literature Review,” 2023 11th International Symposium on Digital Forensics and Security (ISDFS), Chattanooga, TN, USA, 2023, pp. 1-7, doi: 10.1109/ISDFS58141.2023.10131870.

声明：本文来自中国保密协会科学技术分会，版权归作者所有。文章内容仅代表作者独立观点，不代表沃通CA立场，转载目的在于传递更多信息。如有侵权，请联系删除。

中华人民共和国工业和信息化部公告2023年第38号文件正式发布行业标准：YD/T 4598.3-2023《面向云计算的零信任体系 第3部分：安全访问服务边缘能力要求》，并于2024年4月1日正式施行。

近年来，云服务发展势头迅猛，产业生态日益成熟，应用程度不断深化，云计算战略价值在全球范围内持续提升。党的十八大以来，党中央高度重视安全生产工作，不断完善安全生产制度，筑牢安全底线，云网络的安全保障成为信息通信行业安全生产的重要组成部分。

随着企业纷纷拥抱数字化转型，IT架构从以传统数据中心为核心向以云计算为承载的数字基础设施转变，以数据中心内部和外部进行划分的安全边界被打破。SASE作为一种全新的安全理念，重新定义了网络安全和架构，实现网络安全的云化转型。

中国信通院于2021年6月牵头制定《面向云计算的零信任体系 第3部分：安全访问服务边缘能力要求》，汇聚了来自中国电信、中国移动、腾讯云、白山云、金山云、深信服、浪潮云、新华三、应通科技、北京神州、绿盟科技、启明星辰、天融信、青云科技、江苏易安联等众多云厂商、安全厂商的专业建议和宝贵经验。

标准介绍

《面向云计算的零信任体系 第3部分：安全访问服务边缘能力要求》基于零信任的安全思想，提供融合多元的云网安全管控，满足数字化转型对新一代网络安全架构的需求。SASE将网络连接能力与安全能力有机结合，构建基于云计算统一交付的服务模型，促进安全云和移动环境中的网络访问。标准共分为网络、安全、统一管控和云部署四个部分，根据四个象限的能力成熟度由低到高划分基础级、增强级、先进级和卓越级四个等级，旨在对厂商提供的云网络安全产品服务进行客观、全面的评估。

网络能力

SASE应具备基础网络连接能力，实现用户终端、分支、数据中心间数据互通、网络管理与网络加速等。

安全能力

保证用户端到端之间的各层级安全访问，同时，具有身份驱动的特点。首先应具有对身份的识别与管理能力，具备零信任安全防护机制，对每个用户的每一次访问默认采取零信任方式进行评估，根据评估结果执行对应的安全策略。

云部署能力

SASE将能力分布在边缘，在边缘具备提供接入、处理与执行能力，提供全网内低延时、安全的访问。

统一管控能力

SASE应具备统一管控平台，提供统一的配置、运维、网络与安全监控、统一身份管理与态势感知能力，将资源根据身份评估进行统一编排。

声明：本文来自云计算开源产业联盟，版权归作者所有。文章内容仅代表作者独立观点，不代表沃通CA立场，转载目的在于传递更多信息。如有侵权，请联系删除。

中华人民共和国工业和信息化部公告2023年第38号文件正式发布行业标准：YD/T 4598.2-2023《面向云计算的零信任体系 第2部分：关键能力要求》，并于2024年4月1日正式施行。

中国信通院于2019年开始牵头制定YD/T 4598.2-2023《面向云计算的零信任体系 第2部分：关键能力要求》，在标准制定的过程中汇集大量来自云用户、云厂商、安全厂商的专家建议与实践经验，齐聚行业智慧完成了标准的制定。

标准介绍

YD/T 4598.2-2023《面向云计算的零信任体系 第2部分：关键能力要求》从用户零信任访问场景和工作负载零信任访问两个场景展开：

用户零信任访问场景

主要侧重对南北向流量的安全防护能力提出要求，包括多源评估能力、终端安全监测、终端应用监测、终端设备检测、动态安全阻断、策略执行能力等；

工作负载零信任访问场景

主要侧重对东西向流量的安全防护能力提出要求，包括多源评估能力、工作负载监测、访问控制能力、动态安全阻断、策略执行能力、网络管理能力等。

面向云计算的零信任体系 第2部分 关键能力要求 架构图

声明：本文来自CAICT可信安全，版权归作者所有。文章内容仅代表作者独立观点，不代表沃通CA立场，转载目的在于传递更多信息。如有侵权，请联系删除。

2023年8月25日，中国信息通信研究院（简称“中国信通院”）在“2023 SecGo云和软件安全大会”上发布了《零信任发展研究报告（2023年）》。中国信通院云计算与大数据研究所开源和软件安全部主任郭雪对报告进行了解读。

报告首先介绍了数字化转型深化后企业IT架构所面临的安全挑战，零信任如何解决安全挑战以及如何应对新的安全威胁。其次从零信任供应侧和零信任应用侧两大视角对我国零信任产业的发展情况与应用痛点进行观察和分析。在零信任供应侧方面，梳理了国内各零信任厂商安全水平概况，分析了重点行业零信任市场近3年发展态势。在零信任应用侧方面，基于对重点行业用户的调研结果，从零信任建设前期、建设中期和使用运营期，分析了用户零信任建设过程中的痛点、肯定与思考，为零信任供应侧提升和优化能力提供指引，同时增强应用侧用户的落地信心。最后总结了零信任技术发展趋势，并对零信任产业发展提出建议。

报告核心观点

1. 零信任为新的安全场景提供有力保障。一是零信任保障软件供应链安全，零信任基于最小化权限原则限制上游供应商权限，通过安全左移助力研发运营关键环节的风险监测与安全准入；二是零信任抵御勒索软件攻击，通过将身份验证贯穿访问始终，对访问行为进行持续监测，并精细化网络分段流量管理，阻止威胁进一步渗透；三是零信任促进公共数据与服务安全开放，通过建立统一数字身份避免数字鸿沟，对数字公共基础设施的每次访问进行风险评估并授予最小权限，避免数据和服务的滥用。

2. 零信任能力供应不断丰富，产品联动能力正同步提升。一方面，国内厂商注重零信任解决方案研发与落地实施，零信任生态已小有规模，目前，国内有近50家企业提供零信任集成产品。另一方面，零信任集成产品应与企业已有的安全防护能力相互融合，企业已有的安全工具不应因零信任的使用而失效。一是超七成零信任供应侧企业支持与第三方身份安全产品对接，其中，46.4%企业可提供自研身份安全产品，同时其零信任产品支持与第三方身份安全产品进行对接。二是超半数企业的零信任产品支持与客户已有的安全运营中心、态势感知、威胁情报等安全分析系统联动，占比53.6%，有35.7%的企业仅支持与自家的安全分析系统进行联动。三是零信任供应侧企业在终端安全展开投入的较多，与自家产品联动率更高。尤为明显的是支持与自家终端安全产品联动的企业占比39.3%，这一数据在身份安全领域为25%，侧面反映终端安全领域尚面临标准协议接口无法统一困境，有待通过生态间接口互认解决。

3. 用户对零信任建设尚存顾虑，同时肯定零信任核心价值。一方面，零信任从零到一，落地部署面临多重阻碍。一是，零信任的概念产品居多，投入产出比是企业核心考量点。二是，零信任部署跨企业多部门，迈出建设第一步前需明确责任边界。三是，基于零信任的统一身份管理体系在接管组织内老旧系统时面临技术与规划设计双重阻碍。另一方面，微隔离市场向好，零信任应用价值受到肯定。一是，微隔离人力成本耗费随使用时间增长持续下降。二是，企业通过使用零信任降低代码流失率、资产管理精确到人以及实现个人效能监测，肯定了零信任的使用价值。

报告目录

一、 零信任保障资源可信访问，应用价值日益凸显

(一) 零信任弥补传统安全防护机制缺陷

(二) 零信任为新的安全场景提供有力保障

(三) 零信任相关政策与标准涌现，驱动产业规范发展

二、 产业供应侧调研洞察：零信任能力生态逐渐成熟

(一) 围绕六大领域能力，建立产品体系

(二) 行业应用不断深化，零信任市场步入成长

三、 产业应用侧调研洞察：用户对零信任建设尚存顾虑，同时肯定零信任核心价值

(一) 零信任从零到一，落地部署面临多重阻碍

(二) 微隔离市场向好，用户看重网络分段能力

(三) 应用价值受肯定，仍需避免重建设轻运营

四、 我国零信任发展趋势及建议

(一) 零信任技术发展呈三点趋势

(二) 零信任产业发展的四点建议

主要专家简介

吴倩琳

中国信通院云计算与大数据研究所工程师

主要从事云计算安全、零信任等领域研究和政策支撑工作，牵头编写“面向云计算的零信任体系”系列标准，以及零信任相关报告、专利、论文等。

郭雪

中国信通院云计算与大数据研究所开源和软件安全部主任，高级工程师

主要从事安全、开源相关工作，目前担任中国通信标准化协会TC608云安全、风险管理、开源治理等工作组组长。牵头编写30余项国际、通信行业或团体标准，牵头编写10余本开源及安全领域白皮书。

孔松

中国信通院云计算与大数据研究所开源和软件安全部副主任，工程师

主要从事云安全、零信任等领域研究和政策支撑工作，牵头编写ITU-T标准、IEEE标准、通信行业标准等十余项标准。

更多精彩，敬请阅读解读PPT。

声明：本文来自中国信息通信研究院，版权归作者所有。文章内容仅代表作者独立观点，不代表沃通CA立场，转载目的在于传递更多信息。如有侵权，请联系删除。