同样是"多问一步"，为什么有的插 U 盘、有的发短信？一次讲清多因素认证（MFA）

一、先看一个生活场景

你给家门上一把锁。这把锁的钥匙，可能被人复制。

你再加一道锁。这道锁要按指纹。现在，小偷就算拿到钥匙，也进不来。

账号也是这样。第一道锁是密码。第二道锁，最好不是"另一个密码"。

这道"第二把锁"，就是多因素认证（MFA，Multi-Factor Authentication）。

二、什么才算"第二个因素"

只看一条：第二样，必须是"另一种东西"。

如果系统把同一个密码问你两遍，那不算 MFA。

为什么？因为密码一旦泄露，问两遍也没用。

美国联邦金融机构检查委员会（FFIEC）在 2006 年就强调：真正的 MFA，必须使用不同类别的因素。

三、这段历史，值得知道

理解 MFA，先看它是怎么一步步长出来的。

一句话：这二十年，方向一直是"把钥匙从网络里拿出来"。

四、五种"第二步"，摆一排

五、强弱只差一条：钥匙上不上网

请记住这张图：

能被"传"的钥匙（短信、推送） 你 -> 网络 -> 你 ← 中间任何一跳，都可能被截、被转发不能"传"的钥匙（硬件密钥、Passkey） 你 -> 设备内部签名 -> 服务器 ← 钥匙本体从不出门

• 能传来传去的，就能被截、被转发。
• 钥匙不上网的（硬件密钥、Passkey），钓鱼网站拿不到能用的凭证。它骗到的，是一张用不出去的废纸。

六、数据怎么说

• Google（2017）：8.5 万+ 员工启用硬件密钥后，没有一起成功的钓鱼。
• NIST SP 800-63B-4：把短信 / 语音列为当前唯一受限的认证器。

这两条合起来说明一件事：不是所有"多问一步"都一样强。

七、那到底怎么选

八、最后一件最容易忘的事

越结实的锁，越怕丢钥匙。

所以：把恢复码单独收好。不要和密码放在同一个地方。

没有哪一种方式永远保险。 但你可以选"更适合你的那一种"。

九、四个常见误解

十、怎么开启（五步）

1. 打开账号的"安全设置"。
2. 找到"两步验证"或"多因素认证"。
3. 选一种第二因素。先选你用得顺手的。
4. 把恢复码单独存好。
5. 实际登录一次，确认能用。

十一、一句话带走

"多问一步"不等于"更安全"。真正决定强弱的，是那把钥匙——它上不上网。

出处（外部资料）

• FFIEC，《Authentication in an Internet Banking Environment》（2005）及补充（2006）。
• NIST，SP 800-63B《Digital Identity Guidelines》（及其修订 800-63B-4）。
• IETF，RFC 6238（TOTP）、RFC 4226（HOTP）。
• W3C，WebAuthn；FIDO Alliance，FIDO2。
• Google Security Blog（2017），关于硬件密钥与钓鱼的结果。
• 公开报道：Uber"推送疲劳"攻击（2022）；RSA SecurID 事件（2011）。