MFAvsZero Trust

MFA

MFA 要求用户提供两种或以上的身份验证因素：你知道的（密码）、你拥有的（手机）、你是谁（指纹）。开启 MFA 可以阻止 99.9% 的账户劫持攻击。

Zero Trust

Zero Trust 颠覆了传统的「城堡护城河」安全模型——不再假设内网是安全的，而是对每个访问请求都进行身份验证和授权，无论请求来自内网还是外网。

MFA

• 阻止 99.9% 的账户劫持攻击
• 三种因素：知识、持有、生物特征
• TOTP 和 FIDO2/WebAuthn 是主流方案

Zero Trust

• 核心原则：永不信任，始终验证
• Google BeyondCorp 是零信任的先驱实践
• 远程办公加速了零信任的普及

MFA

要求用户提供两种或以上不同类型身份验证因素的安全认证机制

Zero Trust

基于「永不信任、始终验证」原则的安全架构理念

MFA

• 企业账户的安全加固
• 云服务的访问保护
• 合规要求的认证基线

Zero Trust

• 远程办公环境的安全架构
• 云原生应用的访问控制
• 替代传统 VPN 的安全方案

MFA

MFA 是对抗凭证泄露最有效的安全措施。即使密码被窃取，攻击者没有第二因素也无法登录。MFA 的实现方式包括：短信验证码（最弱，易被 SIM Swap 攻击）、TOTP 应用（Google Authenticator）、硬件密钥（YubiKey）、以及 FIDO2/WebAuthn（最强，抗钓鱼）。微软数据显示，启用 MFA 可以阻止 99.9% 的自动化账户攻击。但 MFA 也不是万能的——高级攻击者可以通过实时钓鱼代理（如 Evilginx）绕过 TOTP。

Zero Trust

Zero Trust 由 Forrester 分析师 John Kindervag 在 2010 年提出，核心理念是：网络位置不应作为信任的依据。传统安全模型假设内网是安全的（城堡护城河），但 APT 攻击和内部威胁证明这一假设是错误的。Zero Trust 要求：验证每个用户和设备的身份、最小权限访问、持续监控和评估。Google 的 BeyondCorp 是最早的大规模零信任实践。远程办公的普及加速了零信任的采用，因为传统的 VPN + 防火墙模型已无法适应分布式办公环境。