MFA 能显著降低账号被冒用的风险，却不等于零信任。本文说清它的价值、盲区，以及它在零信任里应当处于什么位置。
“我们已经上了多因素认证，是不是就算零信任了？”这个问题几乎每个项目都会遇到。先给结论：MFA 很重要，但它只是零信任的一块拼图。
MFA 是什么
MFA（多因素认证）要求用户用两种以上不同类型的证据证明自己，常见的类型有：
- 你知道的： 密码、口令；
- 你拥有的： 手机验证码、硬件令牌；
- 你本身的： 指纹、人脸等生物特征。
就像银行取大额现金，既要银行卡又要密码，还要核对本人，多一层，被冒用的难度就高一层。
MFA 能解决什么
- 账号被盗用的风险明显下降： 即使密码泄露，攻击者往往还缺少第二种证据。
- 提升认证可靠性： 对敏感业务，可以要求更强的认证方式。
- 满足基础合规要求： 很多规范都要求关键系统使用多因素认证。
MFA 解决不了什么
这才是需要特别注意的部分：
- 认证通过之后呢？ MFA 只管“登录那一刻”，之后的访问范围、行为变化，它不负责。
- 设备安全吗？ 用户本人认证通过，但电脑可能已中了恶意程序，MFA 无从判断。
- 权限合理吗？ 身份真实，不代表他应该访问所有东西。
- 有人“借用”怎么办？ 验证码可能被转发，令牌可能被借走，认证的人不一定是实际使用的人。
- 访问有记录吗？ MFA 本身不提供访问过程的审计。
所以，MFA 解决的是“登录时确认你是你”，而零信任还要继续回答“你用什么、能访问什么、之后做了什么”。
MFA 在零信任里的位置
可以这样理解：MFA 是零信任**“显式验证”里的身份验证部分**，它是入口处的一道强化关卡，需要与以下能力配合：
- 终端与环境检查；
- 最小权限与按需授权；
- 访问过程的持续评估与审计。
以统一身份认证准入平台为例，“严格认证”只是其中一环：用户访问先按企业的安全管理要求做身份认证，认证之后还有终端识别与环境检测、权限管理、访问控制和访问审计，形成完整的准入链路，而不是只停留在登录那一刻。对于“验证码被转发、令牌被借走”这类担忧，生物身份识别面向敏感业务，不只验证账号，更关注实际使用者，用来降低身份冒用风险。
小结
- MFA 能显著降低账号被盗用的风险，是零信任里身份验证的重要一环。
- 它不管认证之后的设备、权限、行为和审计，所以不等于零信任。
- 需要与终端检查、最小权限、持续评估和审计配合使用。