[研究]圖形驗證(Captcha)、身分證、IP 算是 多因子驗證 MFA 的 因子嗎？

[研究]圖形驗證(Captcha)、身分證、IP  算是 多因子驗證 MFA 的 因子嗎？

2024-07-12、2024-07-18

多因子驗證/多因素驗證 (Multi-Factor Authentication, MFA)三種身分驗證類型

( Something you know, Something you have, Something you are )

( 所知之事、所有之物、所具之形）

( 所知因子、持有因子、生物因子）

至少包含2種。

註：雙因子驗證/雙因素驗證 (Two-Factor Authentication, TFA) 是剛好使用兩種因子。

********************************************************************************

NIST Special Publication 800-63-3 Digital Identity Guidelines

https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-63-3.pdf

The classic paradigm for authentication systems identifies three factors as the cornerstones of authentication:

• Something you know (e.g., a password).
• Something you have (e.g., an ID badge or a cryptographic key).
• Something you are (e.g., a fingerprint or other biometric data).

MFA refers to the use of more than one of the above factors. 

********************************************************************************

多重要素驗證的趨勢發展與分析 - 財團法人台灣網路資訊中心部落格 | TWNIC Blog

https://blog.twnic.tw/2022/12/20/25018/ 

目前主要的MFA身份驗證類型分別為：

• 知識資訊（Something you know）：例如使用者名稱、密碼
• 持有資訊（Something you have）：例如獨立的裝置、身分證、提款
• 生物資訊（Something you are）：例如臉部辨識、指紋辨識
• 位置資訊（Somewhere you are）：例如IP位址或地理資訊

MFA需要符合兩種以上「不同類型」的驗證方法，假設使用指紋辨識與臉部辨識登入，則因為皆屬於「生物資訊」而不符合MFA，最熟悉的方式莫過於在ATM提款時需要放入銀行卡片（Things you have）與輸入提款密碼（Things you know）。

********************************************************************************

圖形驗證(Captcha)  算是 多因素驗證(Multi-Factor Authentication, MFA) 的 所知資訊（Something you know）嗎 ?

ChatGPT

圖形驗證（Captcha）通常不被認為是多因素驗證（MFA）中的「Something you know」因素。這兩者在身份驗證安全性上有所不同：

1. 圖形驗證（Captcha）：這是一種用於區分人類和機器的技術，通常通過要求用戶識別圖片中的文字或圖形來進行驗證。Captcha確保正在進行操作的是真人而非自動化程式（如機器人）。
2. 多因素驗證（MFA）：MFA 是一種安全驗證方法，通常包括以下幾種因素之一或多種因素的結合：

• Something you know（你所知道的）：如密碼、PIN碼。
• Something you have（你所擁有的）：如智能卡、USB安全鍵、手機。
• Something you are（你所是的）：如生物特徵識別，例如指紋、視網膜掃描等。

Captcha主要是用來證明使用者是真人，並不涉及用戶特定的秘密信息或知識（something you know），因此它不屬於MFA中「Something you know」這個因素。

總結來說，Captcha和MFA都是用於增強身份驗證的安全性，但是它們解決的是不同的安全問題，並在驗證過程中使用不同類型的信息。

********************************************************************************

身分證號碼  算是 多因素驗證(Multi-Factor Authentication, MFA) 的 所知資訊（Something you know）嗎 ?

ChatGPT

身分證號碼通常被視為多因素驗證（MFA）中的「Something you know」因素的一部分，但這要視具體情況而定。

在某些情況下，身分證號碼確實可以被視為「Something you know」，因為它是一種具有唯一性和私密性的個人識別信息，只有合法的使用者才應該知道自己的身分證號碼。在這種情況下，當用戶輸入正確的身分證號碼時，可以作為驗證其身份的一部分。

然而，需要注意的是，單獨的身分證號碼可能不足以提供足夠的安全性，因此通常會將其與其他因素結合，例如密碼、PIN碼、生物特徵等，來實現更強大的多因素驗證（MFA）機制。

總結來說，身分證號碼可以被視為MFA中「Something you know」的一部分，但在實際應用中，建議與其他驗證因素結合，以提升安全性。

********************************************************************************

身分證號碼  算是 多因素驗證(Multi-Factor Authentication, MFA) 的 Something you have（你所擁有的）嗎 ?

ChatGPT

身分證號碼通常不算是多因素驗證（MFA）中的「Something you have」（你所擁有的）因素。

「Something you have」通常指的是具體的物理或虛擬物件，例如：

• 智能卡
• USB安全鍵
• 手機或其他設備
• 硬件驗證器（如硬體令牌）

這些物件是實體存在的，並且在驗證過程中可以被用戶控制和擁有。身分證號碼雖然是一種識別信息，但它本身不是用戶擁有或控制的具體物件，因此不符合「Something you have」這一因素的定義。

身分證號碼更適合作為「Something you know」（你所知道的）的一部分，因為它是用戶所知道的私密信息之一。

********************************************************************************

多重要素驗證 - 維基百科，自由的百科全書

https://zh.wikipedia.org/zh-tw/%E5%A4%9A%E9%87%8D%E8%A6%81%E7%B4%A0%E9%A9%97%E8%AD%89

• 知識要素：例如使用者名稱及密碼
• 持有的物件：例如獨立的裝置、安全權杖、身分證、提款卡等等
• 原生要素：生物特徵：例如臉部辨識、指紋辨識、語音辨識

********************************************************************************

身分證卡片  算是 多因素驗證(Multi-Factor Authentication, MFA) 的 Something you have（你所擁有的）嗎 ?

ChatGPT

身分證卡片通常可以被視為多因素驗證（MFA）中的「Something you have」（你所擁有的）因素。

多因素驗證（MFA）通常涉及以下幾種因素之一或多個因素的組合來確認使用者身份：

• Something you know（你所知道的）：例如密碼、PIN碼、安全問題的答案等。
• Something you have（你所擁有的）：例如智能卡、USB安全鍵、手機或身分證卡片等。
• Something you are（你所是的）：例如生物特徵識別，如指紋、視網膜掃描等。

身分證卡片作為一種具體的物理證件，可以被用戶擁有和控制，並且通常是由官方機構發放，具有一定的唯一性和可信度。因此，當身分證卡片用於身份驗證時，它可以被歸類為MFA中的「Something you have」因素。

總結來說，身分證卡片作為一種實體物件，通常能夠有效增強身份驗證的安全性，因此在MFA策略中常常被使用。

********************************************************************************

有讀卡機可以讀取身分證卡片中的身分證號碼嗎 ?

ChatGPT

是的，有讀卡機可以讀取台灣的身分證卡片中的身分證號碼。這些讀卡機可以透過內建的軟體來讀取內含的資訊，包括身分證號碼、姓名、生日等個人資料。通常使用這些讀卡機需要搭配特定的應用軟體，並且用戶可能需要授權才能讀取和使用這些資料。

如果你有任何特定的需求或問題，歡迎告訴我，我可以幫助你找到更多相關資訊。

********************************************************************************

自然人憑證讀卡機可以讀取台灣身分證卡片中的身分證號碼嗎 ?

ChatGPT

自然人憑證讀卡機主要設計用來讀取自然人憑證，這是一種含有數位憑證的智慧卡。台灣的身分證卡片（新版的 IC 身分證）也使用類似的智慧卡技術，但自然人憑證讀卡機能否讀取台灣身分證卡片中的身分證號碼，取決於讀卡機的軟體是否支援此功能。

大多數自然人憑證讀卡機硬體上應該是可以讀取身分證卡片的，但是你可能需要相應的軟體來解碼並提取身分證中的資料。一般來說，專門設計的 IC 身分證讀卡機和配套軟體會更適合這個用途。

簡而言之，自然人憑證讀卡機理論上可以讀取台灣身分證卡片中的身分證號碼，但需要確保你有相應的軟體支援和授權。

********************************************************************************

手機號碼驗證碼

登入時，輸入帳號密碼後，系統根據帳號密碼從資料庫找出該使用者手機號碼，寄出一個驗證碼到該手機號碼，於網頁上請使用者輸入驗證通過後才能登入成功，此手機號碼驗證碼算是MFA的 Something you have（你所擁有的） 嗎 ? Something you know（你所知道的）嗎 ? 不算 ?

ChatGPT

手機號碼驗證碼屬於多因素驗證（MFA）中的 "Something you have"（你所擁有的）。以下是詳細的解釋：

• Something you know（你所知道的）：這類包括密碼、PIN 碼等，是使用者頭腦中記住的信息。
• Something you have（你所擁有的）：這類包括實體令牌、智慧卡、手機等設備。手機驗證碼屬於這一類，因為它需要你擁有並能接收短信的手機。
• Something you are（你所代表的）：這類包括生物特徵識別，如指紋、面部識別、虹膜掃描等。

因此，當系統發送驗證碼到手機號碼並要求輸入該驗證碼時，這個驗證碼代表了 "Something you have"。

********************************************************************************

Email驗證碼

登入時，輸入帳號密碼後，系統根據帳號、密碼從資料庫找出該使用者Email，寄出一個驗證碼到該Email，於網頁上請使用者輸入驗證通過後才能登入成功，此Email中的驗證碼算是MFA的 Something you have（你所擁有的） 嗎 ? Something you know（你所知道的）嗎 ? 不算 ?

ChatGPT

當系統發送驗證碼到電子郵件並要求輸入該驗證碼時，這個驗證碼的類別有點複雜。根據多因素驗證（MFA）的分類：

• Something you know（你所知道的）：這類包括密碼、PIN 碼等，是使用者頭腦中記住的信息。
• Something you have（你所擁有的）：這類包括實體令牌、智慧卡、手機等設備。某些情況下，訪問電子郵件帳戶也可以被視為 "Something you have"。
• Something you are（你所代表的）：這類包括生物特徵識別，如指紋、面部識別、虹膜掃描等。

在這種情況下，電子郵件驗證碼既不完全屬於 "Something you know"（你所知道的），也不完全屬於 "Something you have"（你所擁有的）。它更傾向於 "Something you have" 的概念，因為它涉及訪問一個特定的電子郵件帳戶，就像訪問手機接收短信一樣。然而，這種分類在某些情況下可能會有所爭議，因為電子郵件本身是通過知道密碼來訪問的。

總結來說，電子郵件驗證碼更接近於 "Something you have"。

********************************************************************************

系統的來源 IP 限制

系統的來源 IP 限制，算是多因素驗證（MFA）的一種因子嗎？ Something you have（你所擁有的） 嗎 ? Something you know（你所知道的）嗎 ? 不算 ?

ChatGPT

系統的來源 IP 限制通常不被視為多因素驗證（MFA）的一種因子。以下是原因：

• Something you know（你所知道的）：IP 限制是基於系統設置，用戶不需要特別知道或記住任何額外信息，因此不符合這個分類。
• Something you have（你所擁有的）：這通常指實體設備、智慧卡、手機等，用戶必須擁有或可以控制這些因子。

IP 限制屬於一種訪問控制的技術，而非用戶身份驗證的因子。它通常用於增加安全性，限制從特定位置或網路訪問資源的範圍，但並不涉及用戶個人身份的驗證。

********************************************************************************

OTP(一次性密碼，One Time Password）設備，算是 MFA 因子？哪一種？

ChatGPT

OTP（一次性密碼，One Time Password）設備確實是多因素驗證（MFA）的一種因子。它屬於以下類別：

Something you have（你所擁有的）：OTP 設備是一個實體設備（如硬體令牌或手機上的 OTP 應用程式），使用者必須擁有這個設備來生成或接收一次性密碼。

總結來說，OTP 設備是多因素驗證中的 "Something you have（你所擁有的）" 因子。

********************************************************************************

如果根據使用者登入 AD 網域，由 DHCP 配給非固定 IP，算 MFA 的因子？哪一種？

如果根據 帳號 配給 固定 IP，算 MFA 的因子？哪一種？

如果根據 網路卡 MAC Address 配給 固定 IP，算 MFA 的因子？哪一種？

ChatGPT

關於 IP 和 MAC 地址在多因素驗證（MFA）中的角色，可以進一步分析如下：

• 根據使用者登入 AD 網域，由 DHCP 配給非固定 IP：這並不算是多因素驗證的一部分。DHCP 配給非固定 IP 是一種網絡管理技術，並不涉及用戶身份驗證。
• 根據帳號配給固定 IP：這種方法也不算是 MFA 的一個因子。配給固定 IP 是基於帳號的網絡配置方式，並不是一種用戶身份驗證因子。
• 根據網絡卡 MAC 地址配給固定 IP：這種方法可以被視為一種設備識別技術，但也不算作 MFA 的一個因子。雖然 MAC 地址可以唯一標識一個設備，但它不是傳統意義上的用戶驗證因子。

總結來說，這些方法主要是網絡管理和訪問控制技術，這些技術主要是用於增加安全性和控制訪問，而不是用戶身份驗證的一部分。

********************************************************************************

(完)