D5-02 9–11 分钟 重要程度：高
认证因素、MFA、密码、令牌与生物识别
多因素认证必须来自不同因素。两个密码或密码加 PIN 仍只是同一因素。生物识别要会 FAR、FRR、CER。
一、必须记住
- Type 1 是你知道的东西，例如密码、PIN。
- Type 2 是你拥有的东西，例如智能卡、硬件令牌。
- Type 3 是你是谁或你做了什么，例如指纹、虹膜、声纹、签名、击键动态。
- 多因素必须使用不同类型因素；密码 + PIN 不是 MFA。
- 密码强度主要由长度驱动。
- 同步令牌通常基于时间；异步令牌通常使用挑战-响应。
- CER 越低，生物识别系统整体准确度越好。
二、核心概念
多因素认证
MFA 要求至少两个不同认证因素。知道密码和 PIN 都属于“你知道什么”，不构成真正多因素。
令牌
同步动态密码令牌与服务器时间同步，定期产生新码；异步令牌用挑战-响应和递增计数器，不依赖时钟。
生物识别误差
FRR 是错误拒绝有效用户，FAR 是错误接受无效用户。FRR 和 FAR 相等的点是 CER，可比较不同生物识别系统准确度。
三、CISSP 判断规则
- 问密码、PIN，选 Type 1。
- 问智能卡、令牌，选 Type 2。
- 问指纹、虹膜、击键动态，选 Type 3。
- 问有效用户被拒绝，选 FRR。
- 问攻击者被接受，选 FAR。
四、常见陷阱
- 密码复杂度有用，但长度通常是抵御暴力破解的关键。
- 生物识别不是秘密，泄露后不可像密码一样轮换。
- 位置和上下文可增强认证，但题目要看是否算正式因素。
五、英文关键字
MFA （多因素认证） 定义：使用两个或多个不同类型认证因素。 Password （密码） 定义：你知道的认证因素。 Passphrase （密码短语） 定义：较长的密码形式，通常比短密码更抗暴力破解。 PIN （个人识别码） 定义：你知道的认证因素。 Smart card （智能卡） 定义：嵌入芯片的实体凭据，属于你拥有的因素。 Token （令牌） 定义：生成一次性密码或保存凭据的实体或软件装置。 Synchronous token （同步令牌） 定义：基于时间并与服务器同步的一次性密码令牌。 Asynchronous token （异步令牌） 定义：使用挑战-响应或计数器的一次性密码令牌。 Biometrics （生物识别） 定义：使用指纹、虹膜、声纹、击键动态等验证身份。 FAR （错误接受率） 定义：无效主体被错误接受的比例。 FRR （错误拒绝率） 定义：有效主体被错误拒绝的比例。 CER （交叉错误率） 定义：FAR 与 FRR 相等的点，越低通常越准确。
小测验
1. 密码加 PIN 是否构成多因素认证？
密码和 PIN 都是 Type 1 因素，不构成真正 MFA。
2. 无效用户被系统错误接受，称为？
FAR 是错误接受率，表示无效主体被接受。
3. 基于时间定期产生一次性密码的硬件令牌是？
同步令牌与服务器时间同步并定期生成代码。
本节进度
完成后会保存在当前浏览器。线上版可保存；不同手机、平板之间暂不自动同步。
尚未完成