昨天我們探討了密碼回寫與裝置同步，讓地端與雲端的防禦陣線開始連動，今天我們要來面對一個在微軟 Entra ID 時代終於成為現實的殘酷真相：「密碼已經死了 (Passwords are dead)。」
如果你現在還在依靠「強制員工每 90 天換一次包含大小寫與特殊符號的複雜密碼」來防禦暗影神偷，那你可能已經落後攻擊者好幾條街了，今天我們就來徹底拆解現代身分驗證的兩大防禦神器：MFA 與 Passwordless。

1. 為什麼密碼非死不可？
   在傳統觀念裡，密碼就像是家裡鑰匙，但這把鑰匙卻有著致命的缺陷：

• 人類的惰性與小聰明
  大腦天生不適合記憶無意義的亂碼，為了應付公會「高複雜度」與「定期更換」的規定，村民通常會發展出以下幾種「偽複雜密碼」：
  • 大小寫平移：這個月是 MYseclab@2026，下個月變 mysecLAB@2026。
  • 鍵盤走路：看著鍵盤盲打 1qaz@WSX3edc (小大小)，下次換密碼改成 !QAZ2wsx#EDC (大小大)。
  • 注音輸入法密碼：把「我的密碼」打成 Ji32k7au4a83!。
  • 終極大絕招：記不住？直接寫在便利貼上，貼在螢幕旁邊（資安防禦瞬間歸零）。
• 重放與撞庫攻擊
  員工極度容易在公會內部與外部網站使用「同一組密碼」，一但他們註冊的某個電商網站或論壇被駭，暗影神偷就會拿著這組外洩的帳密，寫腳本自動來「撞擊」公會的系統大門。
• 釣魚攻擊
  無論你的密碼設定得多長、多複雜，只要員工被一封偽造的「微軟信箱容量不足」釣魚信件騙到，親自在假網頁上輸入了那串複雜密碼，你的防護網就會在一秒內徹底瓦解。

2. 多因素驗證 (MFA)：防禦的第一道護城河
   既然密碼靠不住，我們就必須加入第二道、甚至是第三道鎖，這就是 MFA (Multi-Factor Authentication)。有效的驗證必須由以下三個要素中的「至少兩個」組合而成：
   • 你知道什麼 (Something you know)：你的密碼、PIN 碼。
   • 你擁有什麼 (Something you have)：你的手機、Authenticator App、簡訊、實體安全金鑰。
   • 你是什麼 (Something you are)：指紋、人臉辨識、聲紋等生物特徵。
3. 無密碼登入 (Passwordless)：終極的防禦型態
   如果密碼這麼危險，那如果我們「一開始就不用密碼」呢？
   無密碼登入絕對不是指登入不設防，而是把驗證的基礎，從「人類大腦記憶的弱字串」轉換為「硬體晶片與加密金鑰」。在微軟的生態系中，有三大 Passwordless 神器：
   a. Windows Hello for Business (WHfB)
   當員工設定WHfB，電腦裡面的信賴平台模組(TPM)安全晶片會生成一對非對稱金鑰，公鑰丟給雲端Entra ID，私鑰鎖死在TPM晶片裡。
   • 登入驗證：員工看一眼視訊鏡頭或摸一下指紋。
   • 底層邏輯：生物辨識只是用來解鎖晶片，真正跟雲端驗證的是那把私鑰。
     b. Microsoft Authenticator (Phone Sign-in)
     把你的手機變成鑰匙。
   • 登入驗證：員工在網頁輸入帳號後，畫面完全不會出現輸入密碼的框框，而是直接跳出數字，員工拿起手機輸入對應數字，登入完成！
   • 優勢：因為根本沒有輸入密碼的環節，徹底消滅了「鍵盤被側錄」或是「釣魚網頁騙走密碼」的可能性。
     
     c. FIDO2 安全金鑰 (Security Keys)
   • 登入驗證：員工拿著一個像隨身碟的硬體，插進電腦的USB孔，碰一下上面的金屬接點，登入成功！
   • 優勢：對於擁有全域管理員權限的超級帳號，強制使用FIDO2金鑰是相對好的做法。