基于 PKI 和证书的抗钓鱼 MFA
了解基于证书的身份验证和硬件保护密钥如何降低 Zero Trust 环境中的钓鱼和凭据窃取风险。
基于证书的抗钓鱼 MFA 概述
传统 MFA 方式（例如短信验证码、电子邮件 OTP 和推送通知）可能受到复杂钓鱼攻击、中间人攻击和用户疲劳攻击（如 MFA bombing）的影响。在分布式、云优先且设备类型多样的组织中，风险可能更高。
抗钓鱼身份验证的关键要点
- 可提供较高的身份保证，并可支持合规要求；具体取决于实施方式。
- 减少对密码、一次性验证码和共享秘密的依赖。
- 身份验证可与站点来源及设备关联密钥绑定。
- 使用 PKI、非对称密码学、私钥保护和密码学挑战-响应机制。
- 可支持基于证书验证身份及其属性的 Zero Trust、RBAC 和 ABAC 控制。
Entra ID 和 Okta 的 PKI
Microsoft Entra ID（原 Azure AD）和 Okta 支持基于证书的身份验证 (CBA) 以及 YubiKey、Thales/IDPrime 等 FIDO2 硬件密钥。这些方式使用非对称密码学和设备绑定凭据，减少可重复使用的秘密。实际兼容性取决于身份提供商、设备和策略配置。
FIDO2 硬件密钥可能增加每位用户的成本。根据现有基础设施，基于证书的身份验证可使用现有 PKI 以及由 TPM、智能卡、PIV 或 CAC 保护的证书。Securetron PKI 支持 TPM、PIV、Smartcard、CAC、YubiKey 和 Thales IDPrime 等方式，也可与第三方身份提供商集成。
PKI MFA 与 TOTP MFA
| 方面 | TOTP MFA | PKI MFA |
|---|---|---|
| 身份验证方式 | 共享秘密生成限时验证码 | 使用公钥/私钥对进行非对称密码学验证 |
| 凭据存放位置 | 共享秘密存放在验证器应用或服务器中 | 私钥存储在 TPM、智能卡或 HSM 中，具体取决于配置 |
| 用户操作 | 输入 6 位验证码 | 设备对挑战进行签名；无需输入可重复使用的代码 |
| 抗钓鱼和重放能力 | 某些攻击可能窃取或重放验证码 | 在正确配置时，挑战签名及其服务绑定可帮助缓解此类攻击 |
| 适用场景 | 一般 MFA | 高保证访问、Zero Trust 和受监管环境 |
可用性与架构
原文将本地 PKI 或高可用 PKI 描述为不同于完全依赖 SaaS 身份提供商的架构。但 Entra ID 或 Okta 服务中断时能否保持可用，取决于具体架构、身份验证依赖和组织的业务连续性流程；未经专项测试不能保证。
私钥保护与持有证明
私钥可存放于 TPM、Secure Enclave、智能卡或由 HSM 支持的密钥库等安全硬件中。硬件保护密钥旨在防止导出，但实际保护程度取决于设备和配置。
在 CBA 中，服务器发送密码学挑战，客户端使用私钥签名，服务器使用公钥验证签名。这有助于证明客户端持有对应密钥。与密码、OTP 或推送审批不同，该流程不依赖用户输入、读取或批准共享秘密。
挑战可与 TLS 会话、服务器证书链和依赖方身份绑定。能否防御 MITM 取决于 TLS 验证和 CBA 的正确实现。
了解更多
如需评估抗钓鱼 MFA 并使用 PKI 保护特权身份，请联系 Securetron，讨论您的环境需求。