自适应 MFA：基于风险的智能认证

多因素认证（MFA）是抵御账号接管的第一道防线，但传统 MFA 策略最大的问题是：它对所有人一视同仁。

一名员工每天从同一台笔记本、同一个 IP、同一座城市登录，遭遇的 TOTP 挑战，与一个突然从陌生设备和异地 IP 登录的用户完全相同。前者觉得烦琐，后者可能保护不足。

Autional 的自适应 MFA 正是为解决这一矛盾而生。

什么是自适应 MFA？

自适应 MFA 又称基于风险的认证（Risk-Based Authentication，RBA），核心思想很简单：

认证强度应当与当前登录的风险水平成正比。

系统在每次登录尝试时实时计算风险评分，再根据评分自动选择认证策略：

风险等级	评分区间	认证策略	用户体验
低	0 - 30	仅密码，跳过 MFA	无摩擦，一键登录
中	31 - 60	密码 + TOTP 或短信验证码	输入 6 位验证码
高	61 - 85	密码 + 硬件安全密钥（FIDO2）+ 短信	插入硬件密钥 + 输入验证码
极高	86 - 100	拒绝登录，触发告警	账号临时锁定

这不是静态规则，而是动态计算的结果。同一个用户在工作日上午从公司网络登录可能是低风险，但在周末午夜从另一个国家登录就变成高风险。

flowchart TD
    L["一次登录尝试"] --> S{"实时风险评分 0 - 100"}
    S -->|"低 0 - 30"| A["仅密码，跳过 MFA"]
    S -->|"中 31 - 60"| B["密码 + TOTP 或短信验证码"]
    S -->|"高 61 - 85"| C["密码 + 硬件密钥 FIDO2 + 短信"]
    S -->|"极高 86 - 100"| D["拒绝登录，触发告警"]

图 1：风险评分的决策流——一次登录尝试先打分，0-100 的四档区间直接决定这次登录要过几道验证。

Autional 的风险评估引擎：7 个维度

Autional 的自适应 MFA 引擎不依赖单一信号，而是综合 7 个维度的信息构建风险画像：

1. 设备指纹（权重：25%）

设备指纹：• 浏览器指纹  • 操作系统版本  • 屏幕分辨率  • 已安装字体
         • WebGL 渲染器  • Canvas 指纹  • 硬件并发数

首次出现的设备 → 评分 +20。此前成功登录过的设备 → 评分 -10（风险下调）。Autional 在登录页内嵌轻量级 JavaScript SDK，生成设备指纹并随请求发送。指纹哈希存储在 known_devices 表中，以保护用户隐私——我们只存哈希，绝不存原始指纹数据。

2. IP 信誉（权重：20%）

IP 信誉查询：→ 已知代理/VPN？→ 数据中心 IP？→ Tor 出口节点？
             → 该 IP 最近 24 小时登录失败次数 → GeoIP 数据库比对

Autional 接入 IP 信誉数据库，实时查询登录 IP 的风险标签。代理、VPN、Tor 出口节点会自动增加风险评分。系统还维护内部统计。当同一 IP 在 24 小时内的登录失败次数超过阈值时，该 IP 的风险评分会持续上升。

3. 地理位置（权重：15%）

地理位置分析：• 本次登录城市与历史城市对比
              • 两次登录之间的物理距离 / 时间差 → 是否可能？
              • 所在国家是否在管理员配置的高风险地区名单中？

如果用户上次登录在东京，15 分钟后却从纽约登录——物理上不可能——系统会自动将其标记为极高风险。Autional 的 GeoIP 解析可达城市级精度，管理员可以在 MFA 策略中配置高风险国家和白名单国家。

4. 行为模式（权重：15%）

行为分析：• 键盘输入节奏（打字速度、按键间隔）
          • 鼠标移动轨迹（加速度、方向变化频率）
          • 表单填写顺序（Tab 键使用、字段间停留时长）

这是最微妙却最有效的信号之一。即便攻击者窃取了正确的密码和 TOTP 种子，要模仿用户的输入节奏和鼠标移动模式也极其困难。Autional 的轻量级行为 SDK 在后台采集这些模式，并用简单的统计模型（而非复杂的机器学习）建立基线。偏离基线超过 2 个标准差 → 风险评分上升。

5. 时间因素（权重：10%）

时间分析：• 登录时间是否落在用户惯常的活跃时段内？
          • 是否处于周末或节假日？
          • 距上次登录的时长（休假归来 vs. 异常活动激增）

大多数用户的活动规律是固定的——周一到周五，8:00 - 22:00。凌晨 3 点的登录未必是攻击，但理应引起更高警觉。Autional 为每个用户维护基于 UTC 的活跃时段模型，可自动适配不同时区的用户。

6. 登录失败历史（权重：10%）

该账号在过去 30 分钟内：失败 ≥ 3 次 → +15 分；失败 ≥ 5 次 → +25 分；失败 ≥ 10 次 → 直接标记为极高风险。

这一维度采用线性加权，因为暴力破解攻击的特征非常明确——连续失败后的快速重试。

7. 敏感操作上下文（权重：5%）

并非所有操作的风险都相同。查看个人资料 → 低风险；更换绑定手机号 → 中风险；注销账号 → 高风险；大额资金转账 → 极高风险。

Autional 允许管理员为不同的 API 端点配置不同的风险阈值。同一用户在同一会话中访问不同功能，可能需要不同级别的认证。

风险评分算法

风险总分 = Σ（各维度得分 × 权重）
          + 对抗性加成（多次接近阈值的评估会累加）

最终得分区间：0 - 100

关键设计决策：评分偏向保守。当某个维度的数据不可用时（例如用户关闭了行为追踪），该维度的默认得分取中位数而不是零。宁可多要一步验证，也不能因为信息不足就放行。

对抗性加成机制

如果攻击者尝试一次 → 触发中风险 → 输入 TOTP。第二次尝试 → 同一设备 → 如果设备指纹看起来正常 → 风险可能反而下降。

为防范这种「缓慢试探」式攻击，Autional 引入了对抗性加成。当短时间内（15 分钟）出现多次需要 MFA 验证的登录时，即便单次风险评分低于阈值，系统也会累积加成分数，逐步推高总分。

flowchart LR
    T1["第 1 次尝试：触发中风险，输入 TOTP"] --> T2["第 2 次尝试：同设备、指纹正常，单次评分低于阈值"]
    T2 --> T3["15 分钟窗口内累积对抗性加成"]
    T3 --> T4["总分被逐步推高，认证要求升级"]

图 2：对抗性加成——单次看起来正常，但 15 分钟窗口内的多次近阈值登录会累加，把认证要求逐步推高。

MFA 策略配置：管理员的完全控制

Autional 的自适应 MFA 不是黑盒。管理员可以在 mfa-service 管理控制台中看到以下内容：

策略模板：三种预设——「宽松」（体验优先）、「标准」（平衡）、「严格」（安全优先）
自定义风险阈值：各风险等级（低/中/高/极高）的评分区间完全可配置
维度权重调整：如果企业全组织部署了硬件密钥，可降低设备指纹权重；如果员工经常出差，可降低地理位置权重
白名单与黑名单：IP 白名单（办公网络）、用户组白名单（管理员）、国家黑名单
审计日志：每次风险评估的详细记录——各维度得分、哪些维度触发了加分、最终决策

# MFA Policy Configuration Example
mfa_policy:
  name: "Enterprise Standard Policy"
  risk_thresholds:
    low: 30      # ≤30 skip MFA
    medium: 60   # 31-60 TOTP/SMS
    high: 85     # 61-85 hardware key
    critical: 100 # 86-100 deny
  dimension_weights:
    device_fingerprint: 25
    ip_reputation: 20
    geolocation: 15
    behavior_pattern: 15
    time_factor: 10
    login_failure_history: 10
    sensitive_operation: 5
  adversarial_bonus:
    enabled: true
    window_seconds: 900
    max_bonus: 25
  geo_rules:
    high_risk_countries: ["XX", "YY"]
    whitelist_countries: ["CN", "US", "SG"]
  ip_whitelist: ["10.0.0.0/8", "172.16.0.0/12"]

实际成效：三个案例

案例 1：电商平台

规模：日均 50 万次登录
采用自适应 MFA 前：所有登录都要求 TOTP，客服反馈登录体验很差
采用自适应 MFA 后：大部分登录被评估为低风险（跳过 MFA），用户体验显著提升
安全事件：账号接管率没有明显变化

案例 2：金融 SaaS

规模：低频但高价值的登录
MFA 策略：采用「严格」模板，高风险操作（转账、换绑）额外触发硬件密钥
结果：有效识别了账号接管攻击——即便攻击者拿到了正确密码和 TOTP，也会被异常设备指纹与行为模式触发的高风险要求硬件密钥所阻断

案例 3：全球化远程团队

挑战：员工遍布全球、时区各异，固定的 MFA 策略误报率极高
方案：启用行为模式与时间因素维度；Autional 自动学习每位员工的活跃时段
结果：精准识破一次社会工程攻击——攻击者利用 COO 公开的行程安排在「出差过夜」期间尝试登录。地理位置维度检测到异常城市，触发高风险评估，攻击失败

用户体验：如何避免用户摩擦

安全措施最大的敌人不是攻击者，而是用户。如果 MFA 太烦琐，用户就会想办法绕开——使用简单密码、关闭 MFA（如果可选），甚至转投竞品。

Autional 在用户体验上做了三个关键设计决策：

1. 渐进式引入 不要突然强制所有用户启用 MFA。先以「宽松」模式运行一周，只记录风险评估而不拦截。第二周开始对高风险登录触发 TOTP，中低风险保持不变。用户可以逐步适应，不会产生「突然被拦」的抵触。

2. 透明的风险提示 当中风险 MFA 被触发时，展示友好提示：「我们注意到您正在新设备上登录。为保护您的账号，请完成额外验证。」——解释清楚为什么需要 MFA，用户会更愿意配合。

3. 记住可信设备 用户可勾选「30 天内信任此设备」。在信任期内，同一设备会跳过设备指纹维度，但其他维度（IP、位置、行为）仍然生效。这样兼顾了安全与便利。

未来方向：AI 驱动的持续自适应认证

Autional 的自适应 MFA 目前仅在登录时评估风险。下一阶段，我们正在探索持续自适应认证：

会话内行为监控：登录后持续分析用户的操作模式。如果突然出现异常行为（如批量下载数据、访问从未用过的功能），动态提高风险评分并要求重新认证。
多模态生物特征：结合键盘/鼠标行为、触摸手势，甚至浏览器扩展的信号，构建更精确的用户画像。
联邦学习：在不共享原始数据的前提下，跨租户训练更准确的风险模型。每家企业的数据都留在自己的域内，但模型可以学习全局模式。

认证的未来不是「更复杂的密码」或「更多的验证码」——而是让合法用户感觉不到认证的存在，同时让攻击者寸步难行。这正是自适应 MFA 的核心理念。

Autional 的自适应 MFA 引擎属于商业核心能力。实现细节与集成文档请访问产品文档。