多重要素驗證 (MFA, Multi-factor authentication)
什麼是 MFA？
多重要素驗證 (MFA, Multi-factor authentication) 是一種在登入流程中增加額外保護層的安全方法。它要求使用者提供多項憑證以建立其數位身分。
驗證 (Authentication) 主要分為兩種類型：
- SFA/1FA（單一要素驗證，Single-Factor Authentication）：這是最初的登入方式，通常需要 使用者名稱 / 電子郵件 / 電話與密碼 或 社交登入。
- MFA/2FA（多重要素驗證 / 雙重驗證，Multi-Factor Authentication / Two-Factor Authentication）：MFA 要求至少兩種不同的驗證方式來存取你的帳號，有效強化對未經授權存取的防禦。
驗證因素 (Authentication factors) 是用來驗證你身分的措施。這些因素依屬性分類如下：
| 類型 | 意義 | 驗證因素（Logto 支援） |
|---|---|---|
| 知識 (Knowledge) | 你知道的資訊 | 密碼、電子郵件驗證碼、備用代碼 |
| 持有 (Possession) | 你擁有的物品 | 簡訊驗證碼、驗證器 App OTP、硬體 OTP（安全金鑰） |
| 特徵 (Inherence) | 你本身的特徵 | 生物特徵如指紋、臉部辨識 |
在 MFA 流程中，第二個驗證步驟必須使用與第一個不同屬性的類型（知識 / 持有 / 特徵）。例如，第一要素使用「密碼（知識）」、第二要素使用「驗證器 App OTP（持有）」即可有效降低多種攻擊風險。
為什麼需要 MFA？
MFA 是關鍵的安全措施，特別適用於 B2B 與 B2E 服務。現今數位環境中廣泛採用 MFA，原因包括：
- 帳號駭入：未經授權的帳號存取仍是重大安全威脅。然而，MFA 能有效阻擋 99.9% 的帳號駭入，特別是因密碼外洩造成的攻擊。它是提升安全性的高性價比方案，可搭配無密碼登入、強密碼政策、密碼管理器及其他防護措施。
- SaaS 採用：許多企業日益導入 MFA 以保護員工並確保公司敏感資料與資產安全。根據 LastPass 調查，全球已有 57% 的企業採用 MFA，較前一年成長 12%。
- 法規遵循：MFA 協助組織遵循 GDPR、NIST 等資料保護法規，確保使用者資料安全。
Logto 支援
Logto 讓 MFA 啟用流程變得簡單，只需一鍵切換，無需繁瑣設定。請參考我們的快速指南：啟用驗證因素。
支援的 MFA 驗證因素：
- Passkeys（WebAuthn）：使用安全金鑰或生物辨識，實現無密碼體驗。
- 驗證器 App OTP：使用如 Google Authenticator 或 Authy 等驗證器 App 產生的 TOTP（時間型一次性密碼）。
- 簡訊驗證：透過簡訊發送一次性驗證碼（驗證碼）進行驗證。
- 電子郵件驗證：透過電子郵件發送一次性驗證碼（驗證碼）進行驗證。
- 備用代碼：產生一次性使用的備用代碼以應急存取。
相關 MFA 功能：
- 信任裝置：讓使用者在受信任的瀏覽器上跳過重複 MFA 驗證，透過有時效且可撤銷的憑證實現。使用者可在合格的登入或註冊流程結束時，於獨立的 信任此裝置（Trust this device） 頁面選擇啟用。