MFA在迷茫中前行

根据Yubico和451 Research的最新调查，虽然市场规模在稳步成长，但是企业对MFA（多因素认证）的最佳实践和方法依然感到迷茫。

调查结果表明，MFA在企业内部的采用和支出有所增加，其原因主要如下：越来越多的人意识到，账户被盗和网络钓鱼攻击是大多数安全漏洞的根源；新冠病毒大流行，远程办公的兴起；采用现代身份验证标准（例如快速身份在线U2F、FIDO2和WebAuthn）来支持双因素（2FA）和无密码身份验证的新进展。

但是，研究还凸显了MFA广泛普及的各种障碍，如便利性、复杂性和成本。此外，许多企业仍未意识到在更常见的移动MFA格式因素（例如基于SMS的身份验证）中发现的安全缺陷，这种安全缺陷已被广泛曝光多年。

“新冠病毒大流行，基于云的远程办公常态化成为刺激企业实施和更新多因素认证的一个转折点。”

“这项研究表明，尽管人们在渴望获得更强的安全性的同时能拥有更好的用户体验，但许多公司仍坚持无效的旧习惯和技术。”Yubico首席执行官斯蒂娜说道。

针对MFA的调查结果具体如下：

对MFA的投资在增加

MFA支出趋势令人鼓舞，大部分的受访者计划增加MFA支出。由于COVID-19以及后来向远程办公的迁移（49％），MFA是企业优先采用的安全技术之一。

采用MFA作为安全事件的应对措施

在过去的一年中，所有受访者中有53％经历过安全事件或安全漏洞，MFA是针对安全漏洞采取的三大安全技术之一。

采用MFA的障碍

57%的受访者表示提高安全性是企业采用MFA的第一原因，其中， 用户体验（43％）、复杂性（41％）和成本（36％）仍然是采用MFA的主要障碍，这些障碍在预料之中，不足为奇。

长期以来，尽管已证明诸如生物识别和安全密钥之类的现代身份验证技术比传统的MFA技术可提供更好的安全性和可用性，但上述挑战依然是MFA难以逾越的障碍。

尽管基于SMS短信的MFA的安全漏洞有所增加，但移动OTP身份验证器（58％）、基于移动网络推送的MFA（48％）和基于SMS的MFA（41％）仍是最受欢迎的MFA。这表明，与其他MFA选项相比，企业可能仍认为移动MFA对用户更加友好和可访问性更强，并且尽管有很多报告发出警告，但企业仍将用户体验置于安全优势之上。

许多组织仍然严重依赖基于SMS的身份验证，但是尽管有越来越多的证据表明利用移动或基于SMS的身份验证方法破坏和攻击，但是只有22％的组织将这种形式的安全性视为问题。

当使用MFA时，企业会停止使用特权用户，但屡次遭遇攻击表明，低级员工成为攻击者对企业发动攻击的突破口。研究表明，特权用户和第三方（承包商、顾问、合作伙伴）最可能使用MFA，而最终客户则最不可能使用。

作为解决传统MFA痛点的方法，FIDO2（线上快速身份验证）和无密码身份验证正在蓬勃发展，因为接受调查的组织中有61％已在试点中部署或采用了无密码身份验证，其中34％的受访者已经部署了无密码技术，这在试点中所占比例为27％。