身份验证器应用程序如何增强安全性

自从身份安全和多因素身份验证（MFA）出现以来，开发了多种方法来验证用户身份。多年来，随着对用户身份的威胁升级，用于身份验证的安全机制也取得了进步。从像密码这样的基本方法，到像FIDO2密钥和生物识别技术这样的高级方法，如今的组织根据其安全策略、合规性要求和{BANNED}最佳终用户体验采用不同的身份验证方法，以防止基于身份的攻击。{BANNED}最佳近，如基于风险的身份验证的发展，进一步加强了身份和访问安全性，同时确保用户工作效率不受影响。

但并非所有身份验证方法都是平等的，某些身份验证方法用于验证用户身份的技术可能容易被绕过或受到威胁。例如，密码（{BANNED}最佳基本但使用{BANNED}最佳广泛的身份验证方法）容易受到各种形式威胁的影响，同样，安全问题和答案也可能在了解用户个人信息的恶意模仿者面前出现问题。尽管基于SMS的身份验证流行了一段时间，但它很容易受到SIM卡交换和SIM卡干扰的影响，电子邮件验证码也不能免于暴露。

另一方面，有一些身份验证技术可以抵御外部威胁，身份验证应用程序就是这样一种方法。

什么是身份验证应用程序，是如何工作的？

身份验证应用程序是为移动设备构建的身份验证平台，它们有助于包括额外的身份验证阶段，以创建安全的MFA流，用于访问网络端点和资源。身份验证器应用程序的常见示例包括Google Authenticator、Microsoft Authenticator、Authy和Duo Mobile，它们主要是免费提供给用户的，通常被开发用于多种类型的移动设备和操作系统平台。

身份验证应用程序主要提供基于时间的一次性密码（TOTP）作为身份验证方法。在设置过程中，用户将通过扫描终端客户端显示的QR码来配置身份验证器应用程序，在这个过程中，客户端和认证程序之间共享一个私钥，然后根据此共享密钥和设备时间在身份验证器应用程序中生成一次的验证码。然后使用它们来验证用户的身份，每个代码仅在生成新代码之前的短时间内保持有效。

以下是身份验证应用程序处理典型身份验证尝试的方式：

• 用户访问端点登录控制台并开始身份验证。
• 根据组织的身份验证策略，用户可能必须完成{BANNED}中国第一阶段的身份验证。
• 如果成功，系统会要求用户输入显示在组织指定的身份验证器应用程序上的一次性密码。
• 用户访问身份验证器应用程序，识别一次的验证码，并在规定的时间内将其输入到端点的登录控制台中。
• 如果一次的验证码正确，则用户身份验证通过。
• 根据策略的不同，可以完成更多的身份验证阶段，也可以登录到端点。

当用户无法访问应用程序或移动设备时，身份验证应用程序通常会提供备份代码，但是，用户必须在之前生成这些代码，才可以在没有应用程序或设备的情况下验证其身份。

为什么身份验证应用程序比其他方法更安全？

与其他身份验证方法（如密码、基于短信和电子邮件的验证码、安全问题和答案以及推送通知）相比，身份验证应用程序具有优势，原因如下：

• 动态质询-响应：身份验证应用程序会生成时效性强的一次性密码，这些密码的有效期很短（通常为30秒），这使得验证码即使被拦截也很难重复使用。
• 用户参与：TOTP 要求用户保持警惕并准确输入密码。用户不能忽视或意外地响应所提出的质询，就像推送通知的情况一样。
• 离线访问：身份验证应用程序在设置后不需要互联网连接即可生成验证码，与基于短信和电子邮件的验证码等其他方法相比，这减少了验证码被拦截或泄漏的可能。
• 安全技术：设置后，共享密钥永远不会在端点客户端和移动设备之间传输，更难以拦截和获取。
• 持续访问：身份验证应用程序能在多个设备之间安全地同步共享密钥，这可确保即使在丢失或更换设备，也可以访问您的帐户。
• 强加密：身份验证应用程序使用强大的加密技术将密钥安全地存储在您的设备上，从而保护它们免受未经授权的访问。

整合身份验证应用程序，实现全面的身份安全

为了{BANNED}最佳大限度地发挥身份验证应用程序所提供的好处，将它们作为整体身份安全策略的一部分是至关重要的。

ADSelfService plus身份安全解决方案具有MFA、SSO和自助密码管理功能，提供MFA来保护本地和远程机器登录、企业应用程序单点登录、VPN访问和OWA登录。支持以下MFA认证应用程序：

• 谷歌身份验证
• Microsoft 身份验证
• Zoho OneAuth
• Duo Security

除了这些应用程序，还支持集成任何自定义或内部TOTP提供商。管理员可以创建一个有效的身份验证策略，使企业所需的身份验证应用程序具有以下功能：

• 离线MFA用于Windows和macOS设备登录，以及外围Windows操作，如UAC提示和系统解锁。
• 配置MFA策略，除用户名和密码外，还提供其他身份验证层。
• 对基于 SAML、OAuth和OIDC的企业应用程序进行SSO访问的无密码身份验证。
• 为特定AD组和OU启用特定身份验证器。
• 自适应MFA，可以根据访问时间、IP地址、地理位置和使用的设备等风险因素加强或放宽身份验证流程。

身份安全解决方案，可以保护多个IT资源，包括身份、计算机和VPN，减轻IT服务台的负担，为用户提供自助服务功能，并获得对分布在本地、云和混合环境中的身份的可见性和控制。