一、先看一个生活场景
你给家门上一把锁。这把锁的钥匙，可能被人复制。
你再加一道锁。这道锁要按指纹。现在，小偷就算拿到钥匙，也进不来。
账号也是这样。第一道锁是密码。第二道锁，最好不是"另一个密码"。
这道"第二把锁"，就是多因素认证（MFA，Multi-Factor Authentication）。
二、什么才算"第二个因素"
只看一条：第二样，必须是"另一种东西"。
| 类别 | 例子 | 一句话 |
|---|---|---|
| 你知道的 | 密码、PIN | 记在脑子里 |
| 你有的 | 手机、验证码、密钥 | 拿在手上 |
| 你是什么 | 指纹、人脸 | 长在身上 |
如果系统把同一个密码问你两遍，那不算 MFA。
为什么？因为密码一旦泄露，问两遍也没用。
美国联邦金融机构检查委员会（FFIEC）在 2006 年就强调：真正的 MFA，必须使用不同类别的因素。
三、这段历史，值得知道
理解 MFA，先看它是怎么一步步长出来的。
| 时间 | 事件 | 一句话 |
|---|---|---|
| 2005 | 美国 FFIEC 发布网银指引 | 要求高风险操作做多因素认证 |
| 2006 | FFIEC 补充定义 | 明确"必须用不同因素" |
| 2011 | RSA SecurID 令牌被攻击 | 一次性口令也会被偷 |
| 2016 | NIST SP 800-63B | 曾把短信列为"受限"认证器 |
| 2017 | Google 公布内部数据 | 8.5 万+ 员工用硬件密钥后，钓鱼归零 |
| 2022 | Uber 遭遇"推送疲劳"攻击 | 攻击者反复弹推送，等人误点同意 |
| 2022–2023 | Apple / Google / 微软推 Passkey | 基于 FIDO2 / WebAuthn，密钥不上网 |
一句话：这二十年，方向一直是"把钥匙从网络里拿出来"。
四、五种"第二步"，摆一排
| 方式 | 钥匙在哪 | 怕什么 |
|---|---|---|
| 短信 / 语音验证码 | 一次口令，可被转发 | SIM 卡劫持、实时转发钓鱼 |
| 动态口令 TOTP（RFC 6238 / HOTP RFC 4226） | App 本地算，离线 | 设备丢失 |
| 推送确认 | 弹到手机 | 推送疲劳（反复弹到你点同意） |
| 硬件密钥（FIDO2 / WebAuthn） | 密钥在设备里，不上网 | 丢失（需备份） |
| Passkey | 硬件密钥"平民化"，可同步 | 生态依赖 |
五、强弱只差一条：钥匙上不上网
请记住这张图：
能被"传"的钥匙（短信、推送）
你 -> 网络 -> 你 ← 中间任何一跳，都可能被截、被转发不能"传"的钥匙（硬件密钥、Passkey）
你 -> 设备内部签名 -> 服务器 ← 钥匙本体从不出门
- 能传来传去的，就能被截、被转发。
- 钥匙不上网的（硬件密钥、Passkey），钓鱼网站拿不到能用的凭证。它骗到的，是一张用不出去的废纸。
六、数据怎么说
- Google（2017）：8.5 万+ 员工启用硬件密钥后，没有一起成功的钓鱼。
- NIST SP 800-63B-4：把短信 / 语音列为当前唯一受限的认证器。
这两条合起来说明一件事：不是所有"多问一步"都一样强。
七、那到底怎么选
| 你是谁 | 建议 |
|---|---|
| 普通用户 | 先用门槛低的：短信 / 邮件 / TOTP |
| 企业日常 | TOTP 或推送确认 |
| 要紧岗位 / 高敏账号 | 钥匙不上网：Passkey / 硬件密钥 |
八、最后一件最容易忘的事
越结实的锁，越怕丢钥匙。
所以：把恢复码单独收好。不要和密码放在同一个地方。
没有哪一种方式永远保险。 但你可以选"更适合你的那一种"。
九、四个常见误解
| 误解 | 事实 |
|---|---|
| "开了 MFA，就绝对安全" | 不是。它只是让攻击更难，不是不可能。 |
| "短信就够了，谁都发得起" | 看场景。低敏感账号可以；要紧账号不行。 |
| "验证码发给客服没关系" | 永远不要。没有一家正规公司会向你要验证码。 |
| "Passkey 一定最适合我" | 看设备。换生态时可能不方便；先想好备份。 |
十、怎么开启（五步）
- 打开账号的"安全设置"。
- 找到"两步验证"或"多因素认证"。
- 选一种第二因素。先选你用得顺手的。
- 把恢复码单独存好。
- 实际登录一次，确认能用。
十一、一句话带走
"多问一步"不等于"更安全"。真正决定强弱的，是那把钥匙——它上不上网。
出处（外部资料）
- FFIEC，《Authentication in an Internet Banking Environment》（2005）及补充（2006）。
- NIST，SP 800-63B《Digital Identity Guidelines》（及其修订 800-63B-4）。
- IETF，RFC 6238（TOTP）、RFC 4226（HOTP）。
- W3C，WebAuthn；FIDO Alliance，FIDO2。
- Google Security Blog（2017），关于硬件密钥与钓鱼的结果。
- 公开报道：Uber"推送疲劳"攻击（2022）；RSA SecurID 事件（2011）。
