在進入今天主題，我想問問：公司識別證、帳號密碼、指紋，到底重不重要？

平常上班進公司，可能刷一下識別證，就可以進入辦公區；登入電腦時輸入帳號密碼；甚至現在很多設備也可以直接用指紋或臉部辨識登入。

看起來都是很正常的事情，但其實這些都是在確認一件事情：「驗證是不是你」，避免我不是我。

假設今天要登入AD只需要帳號密碼，但你把帳號密碼貼在螢幕下方，我相信大家只要有眼睛看到都能登入，若登入AD需要識別證刷卡或是需要指紋辨識時，此時別人就算有你的帳號密碼也就無法登入了。

而上面的帳號密碼、識別證刷卡、指紋辨識等為：MFA（Multi-Factor Authentication，多因素驗證）。

簡單來說，不只靠一種方式證明你是本人。

可分為3種：
你知道的東西(Something you know)：密碼、PIN碼、安全問題。

你擁有的東西(Something you have)：識別證、接OTP手機、身分證、安全金鑰(相關Token)。

你本身的特徵(Something you are)：指紋、掌紋、臉部辨識。

當不同類型的驗證方式搭配起來，即使其中一項，例如密碼不小心外洩，攻擊者還需要通過其他驗證，才能真正完成登入。