强制要求 MFA 与向通行密钥过渡：最佳实践

1. 简介：强制要求 MFA 的新现实#

多因素身份验证 (MFA) 已经果断地从针对主动用户的安全功能转变为全球组织不可谈判的强制现实。这种转变并非出于选择，而是出于必要，是由无情的基于凭据的网络攻击和不断增加的监管压力推动的。从金融服务到公共部门的各个行业现在都在将 MFA 作为合规基准的框架下运营。在这个强制执行而非主动提供 MFA 的新时代，引入了一系列复杂的挑战，这些挑战远远超出了最初的技术实施范畴。

当每个用户都必须使用 MFA 时，每个组织都必须回答一系列新的关键问题。本文将深入探讨这些挑战，并提供清晰的前进路径。我们将解决：

1. 大规模强制执行 MFA 的隐藏运营成本和用户体验陷阱是什么？

2. 当给予选择时，用户实际采用哪些 MFA 方法？这会产生哪些安全风险？

3. 在强制环境中，账户恢复如何成为新的主要挑战，在解决它时有哪些权衡？

4. 为什么通行密钥不仅是另一种选择，而且是解决 MFA 强制规定所产生问题的战略解决方案？

5. 成功从强制的传统 MFA 过渡到通行密钥卓越的安全性和用户体验的实用、循序渐进的蓝图是什么？

该分析将为从单因素身份验证成功过渡到强制 MFA（再到强制通行密钥）提供清晰、可操作的蓝图。

2. 安全的转变：了解强制要求 MFA 的背景#

在探讨强制执行的挑战之前，至关重要的是要清楚地了解身份验证的格局以及为什么强制规定会从根本上改变它。术语本身可能会造成混淆，但这些区别对于任何安全或产品战略都至关重要。

2.1 快速回顾：SFA、2SV 和真正的 MFA#

身份验证的演变是对其最基本形式固有弱点的直接回应。

• 单因素身份验证 (SFA)： 熟悉的用户名和密码组合。它依赖于单一的“知识”因素，即用户知道的东西。它容易受到网络钓鱼、凭据填充和暴力攻击的影响，这是推动更强方法的主要驱动力。

• 两步验证 (2SV)： 经常与 MFA 互换使用，2SV 是一个不同且较弱的过程。它需要两个验证步骤，但可能使用同一类别的两个因素。一个常见的例子是密码后跟安全问题，两者都是“知识”因素。虽然比 SFA 更好，但它不符合真正的多因素安全标准。

• 多因素身份验证 (MFA)： 安全的黄金标准，MFA 需要至少两个不同类别的身份验证因素进行验证。三个主要类别是：

  • 知识： 用户知道的东西（例如，密码、PIN）。

  • 拥有物： 用户拥有的东西（例如，接收代码的手机、硬件安全密钥）。

  • 固有特征： 用户的固有属性（例如，指纹、面部识别）。

2.2 为什么强制规定改变了一切#

从可选 MFA 到强制 MFA 的过渡是一种范式转变。可选系统允许最有安全意识的用户逐步采用，从而隐藏了真正的摩擦点。强制规定迫使整个用户群，从精通技术的到厌恶技术的，同时使用新系统，暴露出用户体验和支持结构中的每一个缺陷。

全球的监管催化剂加速了这种转变。最值得注意的是，欧洲第二版支付服务指令 (PSD2) 及其对强客户身份验证 (SCA) 的要求，通过强制对大多数在线交易使用 MFA，从根本上重塑了欧洲的支付格局。通过迫使金融机构采用开放 API 和更强的安全性，PSD2 提供了一个强制身份验证的大规模真实案例研究。

SCA 的主要目标是通过要求电子支付有两个独立的身份验证因素来减少欺诈。然而，最初的推广造成了巨大的摩擦，一些欧洲商户因用户困惑和放弃购物车而损失了近 40% 的交易。随着时间的推移，生态系统适应了，欧洲中央银行 2024 年 8 月的一份报告证实，经过 SCA 身份验证的交易现在欺诈率显著降低。这证明了长期的安全益处，但也突显了平衡安全性与用户体验的关键需求。

全球都在建立类似的监管势头。在澳大利亚，金融部门在澳大利亚审慎监管局的 CPS 234 框架下运营，该框架为金融机构设定了安全标准。在 2025 年初爆发一波凭据填充攻击之后，APRA 致函所有超级年金基金董事会，明确期望他们实施 MFA 或等效保护以应对高风险活动。监管机构指出，澳大利亚金融部门大约 20% 的网络事件是凭据填充攻击，这使得 MFA 成为一项关键控制措施。此外，根据澳大利亚通信和媒体管理局的 2022 年客户身份认证决定，澳大利亚的电信行业面临着对所有高风险客户交易强制执行 MFA 的要求。在多起备受瞩目的 SIM 卡交换欺诈案件发生后，该规定要求运营商对 SIM 卡更换、密码重置和添加服务使用 MFA。

虽然这些规定最初会产生摩擦，但它们也产生了一个非自愿的大众教育环境。当数百万用户被其银行强制要求使用指纹或代码批准交易时，他们就会熟悉第二因素的概念。这种由监管驱动的常态化，矛盾地为其他组织铺平了道路。对话可以从“什么是 MFA 以及为什么我需要它？”演变为“这是我们执行您已经知道的安全步骤的更简单的新方法。”这为引入通行密钥等卓越体验奠定了完美的基石。

如果您想阅读更多关于这些法规的具体细节及其与通行密钥的关系，可以探索以下资源：

• 对 PSD2 和 SCA 要求的分析

• SCA 要求对通行密钥意味着什么

• PSD2 通行密钥：抗网络钓鱼且符合 PSD2 标准的 MFA

• SD3 / PSR 对通行密钥的影响

• PSD3 / PSR 下的委托身份验证与通行密钥

2.3 当安全漏洞迫使采取行动时：事件后的强制规定#

虽然监管框架推动了主动采用 MFA，但安全事件往往会引发最紧急和最引人注目的强制规定。当组织遭遇违规时，实施强制 MFA 不再是合规规划的问题，而是一种紧急危机响应。

澳大利亚的超级年金部门在 2025 年 3 月深刻地经历了这一点。在一场复杂的凭据填充活动中，网络犯罪分子利用从外部数据泄露中窃取的用户名和密码组合，系统地攻击了退休基金账户。据路透社和美国广播公司新闻报道，拥有超过 300 万会员的澳大利亚最大基金 AustralianSuper 证实，攻击者访问了多达 600 个会员账户，并在被发现之前成功从 4 名会员的余额中耗尽了 500,000 澳元。该事件蔓延到多个基金，Rest Super 发现约 20,000 个账户存在可疑活动，Insignia Financial 报告称约 100 个账户遭到尝试攻击。

攻击媒介是教科书式的凭据填充：使用从不相关的数据泄露中收集的凭据进行自动登录尝试。接受美国广播公司新闻采访的安全专家将此次攻击定性为“不复杂”，并指出其成功完全归因于缺乏 MFA。形成鲜明对比的是，另一家主要基金 HostPlus 报告称未因同一活动造成财务损失，具体原因在于其已经对会员账户实施了 MFA。这种现实世界的比较为 MFA 的保护价值提供了明确无误的证据。

在违规事件发生之前，AustralianSuper 客户曾明确要求将 MFA 作为安全选项，但被告知不可用。事件发生后，该基金立即锁定了受影响的账户，并加速了 MFA 的部署。APRA 随后致函所有超级年金董事会主席，明确了监管预期：实施 MFA 现已成为一项紧急义务，而非未来的考虑事项。

事件后的强制规定也源于损害组织凭据的网络钓鱼活动。2020 年 3 月，新南威尔士州政府（Service NSW）州政府服务门户网站遭遇网络钓鱼攻击，暴露了 736 GB 的数据，导致约 103,000 名客户的个人信息被泄露。调查人员发现，员工电子邮件账户上缺乏 MFA 是导致违规严重程度的关键因素。作为回应，Service NSW 在所有外部电子邮件系统上实施了 MFA，并到 2021 年 8 月，在 500 万澳元的安全投资支持下，在 95% 的面向外部的系统上启用了 MFA。继 2022 年单独发生的 Optus 电信数据泄露事件之后，Service NSW 进一步扩大了努力，试点并随后规定到 2026 年为所有 MyServiceNSW 账户持有人强制执行 MFA。

这些事件说明了一个关键模式：违规行为会产生政治和运营压力，从而绕过主动合规中典型的渐进式规划周期。问题从“我们应该强制要求 MFA 吗？”转变为“我们能多快部署它？”这种压缩的时间表通常会加剧本文后面讨论的用户体验和运营挑战，使得 MFA 方法的选择和推出的设计变得更加重要。

3. 隐藏的复杂性：强制要求 MFA 在实践中意味着什么#

在整个用户群中强制执行 MFA 揭示了一系列实际挑战，这些挑战在最初规划时经常被低估。这些问题会影响用户体验、安全态势和运营成本。

3.1 入门障碍：大规模注册#

当注册成为强制性要求时，糟糕的用户体验就不再仅仅是一种烦恼；它直接成为业务运营的障碍。组织通常在两种策略之间进行选择：强制注册（要求在下次登录时设置 MFA）或渐进式注册（随着时间的推移提示用户）。虽然强制注册能更快实现合规，但如果过程不够顺畅，可能会导致更高的用户挫败感和流失率。成功取决于遵循用户体验最佳实践，例如提供多种身份验证方法、提供清晰的说明并确保所有用户均可访问，例如，除了身份验证器应用程序的二维码外，还提供基于文本的密钥。

3.2 恢复噩梦：新的第一大支持问题#

一旦账户上激活了 MFA，丢失第二因素就意味着被完全锁定。在强制的环境中，这不再是少数具有安全意识的用户的孤立事件；它已成为整个用户群及其服务支持团队普遍面临的关键挑战。这使得账户恢复成为最大的单一挑战。

财务风险很高：一次由帮助台主导的密码或 MFA 重置可能会使公司平均花费 70 美元。对于拥有数十万用户的组织，即使是需要恢复的一小部分也会转化为数百万美元的运营成本和生产力损失。

组织需要在安全性、成本和便利性之间进行艰难的权衡：

• 帮助台主导的恢复： 支持代理可以通过视频通话或其他方式验证用户的身份。这是一个安全、经过人工验证的过程，但成本过高且难以扩展，使得大多数企业无法持续采用。

• 基于电子邮件/短信的恢复： 由于成本低且用户熟悉，这是最常见的方法。然而，这也是一个关键的安全漏洞。如果攻击者已经入侵了用户的电子邮件账户（这通常是其他攻击的前兆），他们可以轻松拦截恢复代码并完全绕过 MFA。这种方法实际上抵消了该强制规定旨在提供的安全优势。

• 预注册的备用代码： 用户在注册期间会获得一组一次性备用代码。虽然比电子邮件恢复更安全，但这种方法增加了初始设置的摩擦。此外，用户经常未能安全地存储这些代码或丢失它们，这最终又使他们回到同样的锁定问题上。

• 自拍 ID 验证： 这种高保证方法要求用户进行实时自拍并提供由政府颁发的 ID（如驾照或护照）的照片。然后，人工智能驱动的系统将面部与 ID 进行匹配以确认身份。虽然在银行和金融服务中很常见（在此类服务中，身份在入门时会进行验证），但它引发了一些用户的隐私担忧，并要求他们手头有物理 ID。

• 数字凭据和钱包： 一种新兴的、具有前瞻性的选择涉及使用存储在数字钱包中的可验证数字凭据。用户可以出示来自受信任的发行者（如政府或银行）的凭据来证明其身份，而无需经过特定于服务的恢复流程。这种方法仍处于早期阶段，但指向了一个更具可移植性和由用户控制的身份验证的未来。

3.3 设备生命周期问题：新手机，失去访问权限#

任何 MFA 系统中常见且关键的故障点都是设备生命周期。当用户获得新手机时，其身份验证方法的连续性至关重要。

• 短信： 这种方法相对便携，因为可以通过新的 SIM 卡将电话号码转移到新设备上。然而，这个过程正是 SIM 卡交换攻击中被利用的攻击媒介，在此类攻击中，欺诈者说服移动运营商将受害者的号码转移到他们控制的 SIM 卡上。

• 身份验证器应用程序 (TOTP)： 这是造成用户摩擦的主要原因。除非用户已在身份验证器应用程序中主动启用了云备份功能（该功能并非普遍存在，也不总是被使用），否则生成代码的密钥将随旧设备一起丢失。这迫使用户对他们保护的每一项服务都进行全面、且往往是痛苦的账户恢复过程。

• 推送通知： 与 TOTP 应用程序类似，基于推送的 MFA 绑定到注册设备上的特定应用程序安装。新手机需要重新注册，从而引发相同的恢复挑战。

3.4 用户偏好悖论：阻力最小的路径#

当组织强制要求 MFA 并提供多种方法选择时，就会出现一种可预测的模式：超过 95% 的用户倾向于最熟悉、感觉最简单的方法，而这通常是基于短信的一次性密码 (OTP)。这种行为产生了一个悖论。CISO 可以强制执行 MFA 以提高安全性。然而，如果许多用户继续依赖像短信这样容易遭受网络钓鱼攻击的方法，组织可以在表面上实现 100% 合规，而无法实质上改善其防御复杂攻击的能力。

2025 年 3 月的澳大利亚超级年金违规事件为这个问题提供了严酷的现实证据。在该事件中，缺乏任何 MFA 是决定性的漏洞。然而，更广泛的教训不仅仅是“有 MFA 或没有 MFA”的二元对立，还延伸到部署的 MFA 质量。仅将基于短信的 MFA 作为主要或唯一选项提供的组织仍然容易受到网络钓鱼、社会工程和 SIM 卡交换攻击的影响。澳大利亚案件中的攻击者利用了弱凭据；如果这些账户仅仅受到短信 OTP 的“保护”，那么能够访问受损电子邮件账户的攻击者可能会拦截密码重置流程并触发 SIM 卡交换，从而也绕过该因素。

认识到这一点，像微软这样的平台引入了“系统首选 MFA”，它积极引导用户转向更安全的选项，如身份验证器应用程序，而不是短信或语音通话。这凸显了一个关键教训：仅仅强制要求 MFA 是不够的。MFA 的类型至关重要，组织必须积极引导用户远离较弱、易受网络钓鱼攻击的因素。

3.5 运营代价：受困的帮助台#

强制实施 MFA 的决定对运营资源有直接且可衡量的影响。它不可避免地引发大量与注册问题、丢失身份验证器和恢复请求相关的帮助台工单。Gartner 的研究表明，所有 IT 支持电话中有 30-50% 已经是针对密码相关问题；强制要求 MFA，特别是在与繁琐的恢复流程相结合时，显著加重了这一负担。这转化为首席技术官 (CTO) 和项目经理必须预料到的直接成本。此外，帮助台本身成为了社会工程攻击的主要目标，攻击者会冒充沮丧的、被锁定的用户来欺骗支持代理，让他们代表自己重置 MFA 因素。

4. 大规模 MFA 强制规定的重要经验教训#

研究强制要求 MFA 的大规模真实实施案例，可以为哪些方法有效、哪些方法会产生重大摩擦提供宝贵的经验教训。通过分析欧洲 PSD2 等主动监管推出和澳大利亚金融部门违规后被动强制规定的经验，我们可以提炼出几个普遍的真理。

• 最初的摩擦不可避免，但可控： 欧洲 SCA 的推出表明，迫使用户行为发生重大改变（即使是为了安全）最初也会损害转化率。然而，它也表明，随着流程的改进和用户习惯的养成，这些负面影响可以随着时间的推移得到缓解。关键是要预料到这种摩擦，并从一开始就设计尽可能精简、用户友好的流程。

• 用户选择是一把双刃剑： 当有选择时，用户总是选择阻力最小的路径，这通常意味着选择熟悉但安全性较低的 MFA 方法，如短信。这导致了“合规表演”的状态，即组织符合该指令的字面要求，但不符合其精神，仍然容易受到网络钓鱼攻击。2025 年 3 月的澳大利亚超级年金攻击事件从反面证明了这一原则：没有任何 MFA 的组织遭受了重大损失，而那些即使实施了基本 MFA（如 HostPlus）的组织也防止了财务盗窃。然而，教训远不止于此；完全基于短信的弱 MFA 实施仍然容易受到坚定的攻击者利用 SIM 卡交换和社会工程学进行攻击。成功的策略必须积极引导用户采用更强、抗网络钓鱼的选项。

• 恢复成为致命弱点： 在一个强制执行的环境中，账户恢复从一个边缘案例转变为主要的运营负担和关键的安全漏洞。依赖电子邮件或短信进行恢复会破坏整个安全模型，而由帮助台主导的恢复在财务上是不可持续的。强大、安全且对用户友好的恢复过程并不是事后的想法；它是任何成功强制规定的核心要求。

• 事件后的强制规定压缩了时间表并放大了风险： 当强制规定由安全事件而不是计划中的合规性举措引发时，实施时间表将被极大地压缩。澳大利亚的超级年金部门在违规行为发生后的几周内，从“客户要求实施 MFA”变成了“监管机构期望立即部署”。这种加速的时间表减少了用户测试、分阶段推出和迭代改进的空间，使得技术和用户体验设计的选择变得更加关键。在发生违规之前主动实施 MFA 的组织可以奢侈地进行仔细规划；而在事件发生后被迫做出反应的组织则不然。

• 分阶段推出可大幅降低风险： 试图向整个用户群进行“大爆炸式”推出是一种高风险策略。大型企业部署证明了一种更稳妥的方法，即首先在较小、非关键的用户组中试行新系统。这允许项目团队在全面部署之前，在受控环境中识别并解决错误、改善用户体验并收集反馈。

• 集中式身份平台是强大的推动力： 拥有预先存在的集中式身份和访问管理 (IAM) 或单点登录 (SSO) 平台的组织能够更好地实现顺利推出。集中式身份系统允许在成百上千个应用程序中快速一致地应用新的身份验证策略，从而显着降低项目的复杂性和成本。

5. 不可避免的下一步：为什么通行密钥解决了强制规定的问题#

建立在 FIDO 联盟 WebAuthn 标准之上的通行密钥，不仅是对传统 MFA 的渐进式改进。其基于公钥加密的底层架构专门用于解决 MFA 强制规定引起的最令人痛苦和最持久的问题。

• 解决恢复噩梦： 强制要求 MFA 的最大挑战是账户恢复。通行密钥直面这一问题。通行密钥是一种加密凭据，可通过其平台生态系统（如 Apple 的 iCloud 钥匙串或 Google 密码管理器）在用户的设备之间同步。如果用户丢失了手机，其通行密钥仍然可以在笔记本电脑或平板电脑上使用。这极大地减少了被锁定的频率，并减轻了对电子邮件等不安全的恢复渠道或昂贵的帮助台干预的依赖。

• 解决设备生命周期问题： 由于通行密钥已同步，因此获取新设备的体验从高度摩擦转变为无缝过渡。当用户在新手机上登录其 Google 或 Apple 账户时，其通行密钥将自动恢复并可供使用。这消除了传统的绑定设备的身份验证器应用程序所需的痛苦、逐个应用程序重新注册的过程。

• 解决用户偏好悖论： 通行密钥解决了安全与便利之间典型的权衡问题。目前可用的最安全的身份验证方法，抗网络钓鱼的公钥加密，也是对用户来说最快、最简单的。只需一次生物特征识别手势或设备 PIN。用户没有动力去选择更弱、不太安全的选项，因为最强大的选项也是最方便的。

• 解决网络钓鱼漏洞： 通行密钥在设计上是抗网络钓鱼的。在注册期间创建的加密密钥对绑定到网站或应用程序的特定来源（例如，corbado.com）。由于浏览器和操作系统将识别来源不匹配并拒绝执行身份验证，因此无法诱骗用户在外观相似的钓鱼网站（例如，corbado.scam.com）上使用其通行密钥。这提供了一种基本的安全保证，这是任何基于共享机密（如密码或 OTP）的方法都无法提供的。

• 解决 MFA 疲劳： 单一、简单的用户操作，如面容 ID 扫描或指纹触摸，可同时证明拥有设备上的加密密钥（“你拥有的东西”），并具有通过生物特征进行识别的固有属性（“你是什么样的人”）。对用户来说，这感觉就像一个单一、不费力的步骤，但在加密方面满足了多因素身份验证的要求。这使组织能够满足严格的合规性标准，而不会增加与传统 MFA 相关的额外步骤和认知负荷。

6. 战略转向：转向强制使用通行密钥的蓝图#

从传统的 MFA 过渡到以通行密钥优先的战略需要一种有条不紊、多阶段的方法，以解决技术、用户体验和业务目标的问题。

6.1 第 1 步：审核设备准备情况#

在您可以强制要求通行密钥之前，您必须了解您的用户群采用通行密钥的技术能力。这是衡量推广的可行性和时间表的第一步，且至关重要。

• 分析您的设备概况： 使用现有的网络分析工具，收集有关用户偏好的操作系统（iOS、Android、Windows 版本）和浏览器的数据。

• 部署通行密钥就绪状态工具： 如需获得更精确的数据，可以利用诸如 State of Passkeys 等轻量级的数据资源，以深入了解支持平台身份验证器（如面容 ID、触控 ID 和 Windows Hello）以及关键用户体验增强功能（如条件 UI（允许通行密钥自动填充））的用户设备百分比。此数据对于建立现实的采用模型至关重要。

6.2 第 2 步：设计混合后备架构#

向通行密钥的过渡将是渐进的，而不是一蹴而就的。成功的策略需要一个混合系统，该系统将通行密钥推广为主要的首选方法，同时为不兼容设备上的用户或尚未注册的用户提供安全的后备方案。

• 选择集成模式：

  • 标识符优先： 用户输入其电子邮件或用户名。然后，系统检查是否为该标识符注册了通行密钥，如果是，则启动通行密钥登录流程。如果不是，系统将无缝退回到密码或其他安全方法。这种方法提供了最佳的用户体验，并且通常会带来更高的采用率。

  • 专用的通行密钥按钮： 在传统登录表单旁边放置一个“使用通行密钥登录”按钮。这种实现更为简单，但将选择新方法的责任交给了用户，这可能会导致使用率降低。

• 确保后备方案安全： 您的后备机制绝不能破坏您的安全目标。避免退回到短信 OTP 等不安全的方法。一个更强的替代方案是将对时间敏感的一次性代码或魔法链接发送至用户已验证的电子邮件地址中，对于特定会话来说，这将作为一种占有因素。

6.3 第 3 步：制定以用户为中心的教育和推广计划#

有效的沟通对于顺利推出至关重要。目标不是将通行密钥定义为另一种安全麻烦，而是将其作为对用户体验的重大升级。

• 以利益为导向的传达方式： 使用清晰、简单的语言来突出用户的利益：“更快、更安全地登录”、“告别忘记密码”和“您的指纹现在就是您的钥匙”。持续使用官方 FIDO 通行密钥图标以建立认知度。

• 分阶段的推广策略：

  1. 从“拉动式”采用开始： 最初，在用户的账户设置页面中提供创建通行密钥的选项。这允许早期采用者和精通技术的用户选择加入，而不会破坏其他所有人的操作流程。

  2. 转向“推送式”采用： 系统稳定后，在用户使用旧密码成功登录后立即主动提示用户创建通行密钥。当用户已经处于“身份验证心态”时捕获他们。

  3. 整合到入门中： 最后，使通行密钥创建成为所有新用户注册的首选、推荐的选项。

6.4 第 4 步：监控、衡量和迭代#

数据驱动的方法对于验证在通行密钥上的投资并不断优化体验至关重要。所有团队应追踪与其角色相关的指标。

• 采用和参与指标：

  • 通行密钥创建率： 创建通行密钥的合格用户的百分比。

  • 通行密钥使用率： 使用通行密钥执行登录占总登录次数的百分比。

  • 首次关键操作时间： 新用户在采用通行密钥后执行关键操作的速度。

• 业务和运营指标：

  • 密码重置工单减少量： 衡量帮助台成本降低的直接标准。

  • 短信 OTP 成本降低： 通过消除传统因素带来的有形成本节省。

  • 登录成功率： 比较通行密钥登录与密码/MFA 登录的成功率。

  • 帐户接管事件的减少： 衡量安全有效性的最终指标。

下表提供了一个简明摘要，比较了身份验证方法，并将通行密钥解决方案直接映射到常见的业务痛点。

通行密钥如何解决强制要求 MFA 的痛点

结论：将合规转化为竞争优势#

强制实行多因素身份验证的时代已经到来并扎根。虽然这些强制规定源于防范凭据攻击的迫切需求，但无意中也带来了新的挑战。

我们已经看到，强制执行 MFA 引入了巨大的运营负担，从短信费用的直接成本到由于用户在注册和更换设备时遇到困难而导致的帮助台工单激增。我们了解到，当给予选择时，用户倾向于选择熟悉但易受网络钓鱼攻击的方法（如短信），从而在纸面上实现了合规，却使组织面临现实世界攻击的风险。最关键的是，我们已经确定，在强制环境中，帐户恢复成为最大的单点故障点，这是令用户极其沮丧的根源，如果在处理时不当则会成为一个巨大的安全漏洞。

传统的 MFA 方法无法解决这些问题。但通行密钥可以。我们已经证明，通行密钥是最终答案，可直接解决相互关联的恢复、用户摩擦和安全问题。它们同步的特性消除了大多数帐户锁定情况，它们的生物识别易用性消除了选择较弱选项的动机，而且它们加密的设计使其对网络钓鱼免疫。最后，我们制定了清晰的四步蓝图（从审核就绪状态到衡量成功），为任何组织进行这一战略过渡提供了一条实用的道路。

如果仅仅将这种转变视为为了合规而带来的麻烦，就会错失其所代表的战略机遇。欧洲银行业实施强客户身份验证的先驱，尽管最初面临重重困难，但最终塑造了整个行业对用户体验的期望。如今，通行密钥的先驱也迎来了同样的机遇。通过拥抱这一转变，组织可以将安全规定从一项繁重的义务转变为一项强大而持久的竞争优势。从强制执行走向顺势发展，如今正当其时。

关于 Corbado

Corbado 是面向大规模运行 consumer 身份验证的 CIAM 团队的Authentication Intelligence Platform。我们让你看到 IDP 日志和通用 analytics 工具看不到的内容：哪些设备、操作系统版本、浏览器和 credential manager 支持 passkey，为什么注册没有转化为登录，WebAuthn 流程在哪里失败，以及什么时候操作系统或浏览器更新会悄悄破坏登录 — 而且无需替换 Okta、Auth0、Ping、Cognito 或你自有的 IDP。两款产品：Corbado Observe 提供 针对 passkey 及任何其他登录方式的 observability。Corbado Connect 提供 内置 analytics 的 managed passkey（与你的 IDP 并存）。VicRoads 通过 Corbado 为 500 万以上用户运行 passkey（passkey 激活率 +80%）。 与 Passkey 专家交谈 →

常见问题解答#

当向所有用户强制要求使用 MFA 时，账户恢复如何运作？#

强制要求 MFA 使帐户恢复成为主要运营挑战，并具有四个主要选项：帮助台主导的验证（安全但昂贵）、电子邮件或短信恢复（廉价但如果电子邮件遭到入侵则易被利用）、预注册的备用代码（常被用户丢失）以及需要政府颁发 ID 的自拍 ID 验证。每个选项都涉及安全性、成本和可扩展性之间的权衡。

为什么强制要求基于短信的 MFA 仍会使组织面临网络钓鱼的漏洞？#

短信 OTP 容易遭受实时网络钓鱼、SIM 卡交换和通过受损电子邮件账户绕过恢复的攻击。即使实现了 100% 的 MFA 注册，依赖短信意味着组织只符合该规定的字面要求而不符合其精神。微软引入了“系统首选 MFA”，通过主动促使用户使用身份验证器应用程序而不是短信，承认了这一问题。

2025 年澳大利亚超级年金凭据填充攻击期间发生了什么？这证明了关于 MFA 的什么？#

2025 年 3 月，攻击者利用被盗的凭据访问了多达 600 个 AustralianSuper 账户，并从四名会员的余额中耗尽了 50 万澳元。已经实施 MFA 的 HostPlus 报告称，同一活动中的财务损失为零。APRA 随后致函所有超级年金董事会主席，将实施 MFA 作为一项紧急的监管义务，而不是未来的考虑事项。

通行密钥处理新设备注册与 TOTP 身份验证器应用程序有何不同？#

通行密钥通过平台生态系统（如 Apple 的 iCloud 钥匙串和 Google 密码管理器）进行同步，在新设备上自动恢复，无需针对每项服务重新注册。除非提前手动启用了云备份，否则更换设备时，TOTP 身份验证器应用程序会丢失所有密钥，这使得在强制要求 MFA 下，更换设备成为引发帮助台工单和帐户锁定的主要驱动因素。

引导用户从传统 MFA 转向通行密钥，推荐的分阶段推出策略是什么？#

分为三个阶段的采用方法可降低推出风险。首先，在帐户设置中将创建通行密钥作为选择加入提供，在不干扰现有流程的情况下吸引早期采用者。其次，在用户成功使用密码登录后，趁着他们已处于进行身份验证的状态，立即提示用户创建通行密钥。第三，在对新用户进行培训指导时，使创建通行密钥成为主要的推荐选项。