多因素认证（MFA）被广泛视为身份保护的黄金标准。然而，尽管其应用已十分普遍，攻击者仍在不断寻找MFA部署中的漏洞。其中一个常被误解的攻击向量便是MFA绕过码——这是一种一次性的替代认证方式，允许用户在特定、可控的情况下，无需提供主要第二验证因素即可完成登录流程。
本文将深入探讨MFA绕过码的定义、其引入的安全风险、攻击者利用绕过码的常见手段，以及最重要的——企业如何缓解这些威胁。同时，我们还将分析ADSelfService Plus等工具如何帮助企业在维持强效MFA防护的同时，安全管理必要的备用验证机制。
一、什么是MFA绕过码？
MFA绕过码是一种替代认证令牌，允许用户（在某些情况下也包括管理员）在特定场景下绕过标准的MFA验证。典型的合法使用场景包括：
用户丢失、更换验证设备，或无法获取短信/邮件验证码；
当用户的主要MFA验证方式不可用时，管理员发放临时绕过码；
部分系统允许可信设备或可信网络在可控条件下绕过MFA，例如“记住我”功能或短期会话豁免机制。
若绕过码部署得当——具备短期有效性、一次性使用属性、可审计性，且仅在经过严格身份验证后发放，就能在不削弱MFA安全优势的前提下，为企业运营提供灵活性。反之，若管理松散、配置不当或过度使用，则会引入显著安全风险。
二、为何绕过码成为攻击目标？攻击者如何利用？
绕过码在保障业务连续性方面发挥着重要作用，但也催生了攻击者可能利用的替代认证路径，尤其是当这些机制缺乏严格管控时。以下将解析为何绕过码在当前威胁环境中备受关注，以及攻击者的常见滥用手段。
人为因素与社会工程攻击
攻击者往往将目标聚焦于人而非系统。他们可能冒充IT人员或终端用户向服务台索要绕过码，或诱骗用户泄露自身的绕过码。尽管MFA疲劳攻击不会直接生成绕过码，但会向用户施压，迫使其批准欺诈性MFA验证请求，进而为攻击者利用恢复流程或可信设备逻辑创造可乘之机。
配置不当与遗留认证路径
薄弱或过时的配置可能无意中产生MFA绕过条件，例如：
条件访问规则自动信任特定位置或设备，降低MFA验证要求；
邮局协议（POP）、互联网邮件访问协议（IMAP）等遗留协议完全无法强制执行MFA验证。
若这些遗留路径未被禁用，实际上就等同于MFA绕过机制，极易成为攻击者规避MFA验证的目标。
脆弱的MFA恢复流程
重置验证应用、更换可信设备等恢复流程，其安全性往往低于MFA验证本身。薄弱的身份验证、过时的服务台流程或不安全的恢复渠道，都可能让攻击者无需获取用户设备或验证码就能绕过MFA。
绕过码生命周期管理不善
若绕过码不具备一次性使用属性、有效期过长、发放渠道不安全，或缺乏完整日志记录，就更容易被拦截、复用或未授权发放。而审计不足则会进一步降低对绕过码相关可疑活动的可见性。
管理员账户泄露或权限过度
管理员通常拥有生成绕过码的权限，这使其账户成为高价值攻击目标。一旦攻击者攻陷管理员账户，或管理员持有不必要的过高权限，就能绕开MFA验证直接发放绕过码，进而获取受保护系统的访问权限。
绕过码本身并非天生不安全，风险核心在于管理薄弱。若能将其严格管控为短期有效、一次性使用、可审计，且与强效身份验证绑定，就能在不削弱MFA防御价值的前提下，提升系统韧性。
三、风险缓解：MFA绕过码管理最佳实践
为保护企业免受MFA绕过机制相关威胁，建议部署以下最佳实践：
为所有账户强制执行MFA验证，尤其是特权账户和服务账户。除非有充分合理的理由，否则避免选择性豁免，减少对MFA绕过码的不必要依赖；
定期审查条件访问规则、会话设置和可信设备策略，减少可信设备与可信位置的绕过场景，确保不存在可作为“隐性绕过路径”的意外或隐藏MFA豁免规则；
严格管控绕过码：
￮仅使用一次性或极低次数使用的绕过码，降低暴露风险； ￮设置极短的有效期，优先以分钟或小时为单位，绝不能延长至天数，减少攻击者利用存储或遗忘绕过码的风险； ￮发放绕过码前，必须完成严格的用户身份验证或管理员监督，确保仅合法用户能获取； ￮对所有绕过码的发放与使用行为进行日志记录和审计，确保全程可见，及时发现可疑活动；
监控异常MFA行为，例如重复的MFA验证请求、多次申请绕过码、来自陌生或高风险设备/位置的登录尝试；
开展用户安全教育，强调绕过码属于敏感凭证，严禁共享、通过邮件传输或存储在不安全位置。
