多重要素驗證 (MFA, Multi-factor authentication)
什麼是 MFA？
多重要素驗證 (MFA, Multi-factor authentication) 是一種在登入過程中增加額外保護層的安全方法。它要求使用者提供多項憑證以建立其數位身分。
驗證 (Authentication) 主要有兩種類型：
- SFA/1FA（單一因素驗證，Single-Factor Authentication）：這是最基本的登入方式，通常需要 使用者名稱 / 電子郵件 / 電話與密碼 或 社交登入。
- MFA/2FA（多重要素驗證 / 雙因素驗證，Multi-Factor Authentication / Two-Factor Authentication）：MFA 要求至少兩種不同的驗證方式才能存取帳號，有效強化防止未經授權存取的防禦力。
驗證因素是用來驗證你身分的措施。這些因素依屬性分類，常見選項如下：
| 類型 | 意義 | 驗證因素（Logto 支援） |
|---|---|---|
| 知識 (Knowledge) | 你知道的資訊 | 密碼、電子郵件驗證碼、備用代碼 |
| 持有 (Possession) | 你擁有的物品 | 簡訊驗證碼、驗證器 App OTP、硬體 OTP（安全金鑰） |
| 特徵 (Inherence) | 你本身的特徵 | 生物特徵如指紋、臉部辨識 |
在 MFA 流程中，第二步驗證必須使用與第一步不同屬性的因素（知識 / 持有 / 特徵）。例如，第一因素使用「密碼（知識）」、第二因素使用「驗證器 App OTP（持有）」即可有效降低多種攻擊風險。
為什麼需要 MFA？
MFA 是關鍵的安全措施，特別適用於 B2B 與 B2E 服務。現今數位環境中廣泛採用 MFA，原因包括：
- 帳號駭入：未經授權的帳號存取仍是重大安全威脅。然而，MFA 能有效阻擋 99.9% 的帳號駭入，特別是因密碼外洩導致的攻擊。這是提升安全性的高性價比方案，可搭配無密碼登入、強密碼政策、密碼管理器及防禦措施共同使用。
- SaaS 採用：許多企業日益推行 MFA，以保護員工並確保公司敏感資料與資產安全。根據 LastPass 調查，全球已有 57% 的企業採用 MFA，較前一年成長 12%。
- 法規遵循：MFA 協助組織符合 GDPR、NIST 等資料保護法規，確保使用者資料安全。
Logto 支援
Logto 讓 MFA 啟用變得簡單，只需一鍵切換，無需繁瑣設定。請參考我們的快速指南：啟用驗證因素。
支援的 MFA 因素：
- Passkeys（WebAuthn）：使用安全金鑰或生物辨識，實現無密碼體驗。
- 驗證器 App OTP：使用如 Google Authenticator 或 Authy 等驗證器 App 產生的 TOTP（時間型一次性密碼）。
- 簡訊驗證：透過簡訊發送一次性驗證碼進行驗證。
- 電子郵件驗證：透過電子郵件發送一次性驗證碼進行驗證。
- 備用代碼：產生一次性使用的備用代碼以備緊急存取。