什麼是多因素驗證
組合知識（密碼等）、持有物（智慧型手機、IC卡等）、生物特徵（指紋、臉部等）中兩種以上不同要素來確認本人的驗證。即使密碼外洩，沒有其他要素也無法登入。也稱為MFA。
日文名稱: 多要素認証
「多因素驗證」出現在1領域的6道練習題中（資訊安全基礎等）。
這個名詞所屬的領域: 資訊安全基礎
驗證的三要素
驗證的要素分為只有本人知道的事物（知識：密碼、PIN碼、安全提問等）、只有本人持有的事物（持有物：智慧型手機、IC卡、專用的驗證裝置等），以及本人身體或行為的特徵（生物特徵：指紋、臉部、靜脈、聲音等）。多因素驗證組合不同種類的要素，因此即使一種要素被竊，攻擊者只要沒有取得其他要素就無法登入。
不屬於多因素驗證的例子
密碼與安全提問的組合，即使確認了兩次，兩者都是知識要素，因此不是多因素驗證（有時稱為兩步驟驗證）。因為同種類的要素可能被同一種手法（例如網路釣魚）一併竊取。反之，以智慧型手機的指紋辨識啟用裝置內金鑰的方式，結合了裝置的持有與生物特徵，屬於多因素驗證。
不同方式的強度差異
以簡訊傳送的驗證碼與應用程式顯示的一次性密碼，比只用密碼安全得多，但無法完全防止讓使用者當場輸入到假網站的攻擊（即時網路釣魚）。FIDO2通行金鑰這類以裝置內的私密金鑰、建立與所存取網站綁定之簽章的方式，在假網站上無法完成驗證，因此被視為能抵抗網路釣魚，在2020年代中期其使用正逐漸普及。
練習多因素驗證的題目
下列驗證方法中，屬於多因素驗證的是哪一項？
- A輸入密碼後，再輸入本人智慧型手機的應用程式所顯示的一次性密碼
- B輸入密碼後，再輸入安全提問的答案
- C輸入長度加倍、更複雜的密碼
查看答案與解析
正確答案：A. 輸入密碼後，再輸入本人智慧型手機的應用程式所顯示的一次性密碼
多因素驗證是組合知識、持有物、生物特徵中兩種以上不同要素的驗證。密碼（知識）與本人智慧型手機產生的一次性密碼（持有物）的組合，使用了兩種不同的要素，因此是多因素驗證。即使密碼外洩，攻擊者沒有本人的智慧型手機也無法登入。密碼與安全提問都是知識要素，即使分兩個步驟確認，也不是多因素驗證（有時稱為兩步驟驗證）。重疊相同種類的要素，可能被同一種手法（例如以網路釣魚騙取）一併竊取。此外，一次性密碼也有讓使用者當場輸入到假網站而被冒用的攻擊，因此在2020年代中期，在假網站上無法完成驗證的方式（如FIDO2的通行金鑰）正逐漸普及。
常見問題
兩步驟驗證與多因素驗證有什麼不同？
兩步驟驗證是指確認的步驟有兩個，不論要素的種類。多因素驗證是指組合知識、持有物、生物特徵中不同種類的要素。在密碼之後輸入簡訊驗證碼的方式，兩者都符合。
設定多因素驗證後，密碼可以簡單一點嗎？
不可以。多因素驗證是即使一種要素被突破也能守住的機制，每個要素越強就越安全。密碼要長且不易猜到，也不要與其他服務重複使用。
解析中的「多因素驗證」
多因素驗證是組合知識、持有物、生物特徵中兩種以上不同要素的驗證。
下列驗證方法中，屬於多因素驗證的是哪一項？字典上的單字或重複使用的密碼，會比暴力法更早被找到，因此使用長且隨機的密碼，並在服務端搭配慢速雜湊方式、登入嘗試次數限制與多因素驗證，是很重要的。
以嘗試所有候選的暴力法搜尋8個字元的密碼。若每秒可嘗試1×10^10個候選，對於只以英文小寫字母（26種）組成的密碼，…持有物驗證在卡片遺失或遭竊時可能被他人使用，因此多半與PIN碼等知識搭配使用，這就構成多因素驗證。
在確認使用者身分的驗證三要素（知識、持有物、生物特徵）中，使用員工證IC卡的驗證屬於哪一項？然而IdP的帳號一旦遭盜用，所有串接的服務都會被入侵，因此在IdP實施多因素驗證特別重要。
下列何者正確描述單一登入（SSO）？對策的核心是修補作為入侵入口的漏洞、遠端存取採用多因素驗證、權限最小化，以及保存在與網路隔離之處的備份。
下列何者正確描述勒索軟體？
出現「多因素驗證」的題目（6題）
半導體、電子電路與資訊計算工具
相關名詞
網路釣魚 勒索軟體 公開金鑰加密 社交工程 訊息鑑別碼 最小權限原則 跨網站指令碼（XSS） 零時差攻擊 對稱式加密 數位簽章