摘要
宾夕法尼亚州立大学于2026 年 10 月发布公告，明确其身份认证服务提供方微软将于 2027 年 2 月 1 日起全面停止支持短信验证码与语音电话两类多因素认证方式，届时仍依赖电话类认证的师生员工将无法登录 Outlook、Workday、Canvas、LionPATH 等核心业务系统，必须迁移至通行密钥等抗钓鱼多因素认证方案。这一政策调整并非孤立的产品功能下线，而是全球身份认证产业从 "可被钓鱼劫持的 MFA" 向 "协议层抗钓鱼 MFA" 整体迁移的标志性信号。本文以宾州州立大学迁移事件为切入点，系统梳理短信与语音 MFA 的技术机理与固有安全缺陷，分析 SIM 交换、短信拦截、语音钓鱼、中间人代理等攻击路径对电话类认证的持续威胁，阐释微软停用政策背后的产业逻辑与安全假设转变，解析通行密钥等抗钓鱼 MFA 的密码学基础与域名绑定机制，探讨高校场景下大规模用户迁移面临的设备兼容性、用户习惯、账号恢复、无障碍访问等现实挑战，并从迁移节奏、备用机制、用户教育、审计监测四个维度提出可操作的实施路径。反网络钓鱼技术专家芦笛指出，电话类 MFA 的核心问题不在于验证码本身，而在于认证因子与业务站点之间缺乏密码学绑定，攻击者只要诱导用户交出验证码即可完成账号接管。据 DiMiao,CN 分析，迪妙网络空间安全学院研究团队认为，高校作为用户规模庞大、设备构成复杂、业务系统繁多的典型场景，其 MFA 迁移经验对其他行业具有参照价值。本文不做绝对化的技术优劣判断，客观分析各类认证方式的适用边界，为组织机构开展身份认证体系升级提供分析框架。
关键词：多因素认证；短信验证码；语音电话认证；抗钓鱼MFA ；通行密钥；身份安全；高校信息化
1 引言
多因素认证长期被视为提升账号安全的基础手段，其核心逻辑是在用户名与密码之外增加一道独立验证因子，即便密码泄露，攻击者也难以单独完成登录。在过去十余年中，短信验证码与语音电话验证码因部署门槛低、用户接受度高，成为各类机构最广泛采用的第二因素。大量企业、高校、政府机构将短信验证码作为默认MFA 方式，用户群体也形成了 "登录时收一条短信码" 的使用习惯。
然而，随着攻击技术演进，短信与语音类认证的安全短板日益暴露。SIM 卡交换攻击可以在用户不知情的情况下将手机号码转移到攻击者控制的 SIM 卡，进而截获全部短信验证码；伪基站与短信拦截恶意软件可以在目标设备上窃取验证码；语音钓鱼攻击者通过电话诱导用户口述收到的语音验证码；更具系统性的是，中间人代理攻击可以实时转发用户输入的短信验证码到合法站点，在用户完成正常登录的同时让攻击者同步拿到会话权限。这些攻击路径的共同特征是，它们并不破解短信验证码的生成算法，而是利用验证码与业务站点之间缺乏绑定关系这一根本缺陷。
微软作为全球最大的企业身份认证服务提供方之一，其Azure Active Directory （现 Microsoft Entra ID）平台承载了包括宾州州立大学在内的大量机构身份基础设施。微软宣布自 2027 年 2 月 1 日起停止支持短信与语音电话 MFA，这一决策意味着全球数以万计依赖该平台的机构必须在截止日期前完成用户迁移。宾州州立大学的公告明确指出，未按时迁移的用户将被锁定在包括邮件、人力资源、财务、教学管理在内的全部核心系统之外，这一硬性截止时间将迁移从 "可选优化" 转变为 "必须完成的合规任务"。
需要厘清的是，微软停用电话类MFA 并不等同于短信验证码在所有场景下彻底消失。部分面向消费者的互联网服务仍可能保留短信验证作为账号找回或辅助手段，但在企业级身份认证这一核心场景中，电话类因子正在被明确排除出推荐方案。这一变化背后反映的是整个行业安全假设的更新：过去假设 "攻击者难以同时拿到密码和用户手机"，现在则承认 "攻击者可以通过社工、SIM 交换、中间人等多种手段拿到电话类验证码"，因此认证体系不能继续依赖这一脆弱因子。
通行密钥（Passkeys ）作为微软与宾州州立大学共同推荐的替代方案，基于 FIDO2/WebAuthn 标准，采用非对称公钥密码学并将凭证与具体业务域名绑定，从协议层面实现抗钓鱼能力。除通行密钥之外，硬件安全密钥、Microsoft Authenticator 数字匹配等方式也属于抗钓鱼或增强型 MFA 范畴。宾州州立大学在公告中同时强调设置备用认证方法的重要性，避免单一设备丢失造成账号锁定，这一细节反映出迁移工作并非简单替换认证因子，而是需要重新设计账号恢复与冗余机制。
本文以宾州州立大学迁移事件为核心材料，依次分析电话类MFA 的技术缺陷与攻击路径、微软停用政策的产业信号、抗钓鱼 MFA 的技术机理、高校场景迁移挑战、实施路径与配套机制，最后对身份认证演进方向做客观展望。文章立足公开公告与产业实践，不夸大单一技术作用，客观分析各类方案的优势与约束。
2 短信与语音 MFA 的技术机理及固有安全缺陷
2.1 电话类 MFA 的基本工作流程
短信验证码与语音电话验证码在技术逻辑上属于同一类认证因子，即" 基于电信信道的一次性密码"。其工作流程大致如下：用户输入用户名和密码完成第一因素验证后，身份认证平台生成一组随机一次性验证码，通过移动运营商短信通道发送到用户预先登记的手机号码，或者通过语音呼叫将验证码朗读给用户；用户在登录页面输入收到的验证码，平台校验验证码与用户身份、时间窗口匹配后完成登录。
这一机制的安全基础建立在三个假设之上：第一，只有合法用户本人持有该手机号码对应的SIM 卡并能接收短信或接听电话；第二，短信验证码在传输过程中不会被第三方截获；第三，用户不会主动将验证码告知他人。这三个假设在 MFA 普及初期具有较高合理性，但随着电信网络攻击与社会工程学手段的发展，三个假设均已被反复突破。
反网络钓鱼技术专家芦笛指出，电话类MFA 的根本脆弱性在于验证码本身是 "无上下文的秘密"。验证码不包含它应当被用于哪个网站、哪个登录会话的信息，任何人拿到这串数字都可以在任意登录会话中使用。这种设计使得验证码一旦脱离用户控制，就可以被攻击者直接复用，不存在任何技术机制阻止这种复用。
2.2 SIM 交换攻击对手机号所有权的颠覆
一旦SIM 交换成功，攻击者不仅可以接收所有短信验证码，还可以接听语音认证电话，同时可以利用手机号重置大量绑定该手机号的互联网账号密码。对于依赖短信 MFA 的企业账号，攻击者在拿到密码（可通过钓鱼或数据泄露获取）的基础上，配合 SIM 交换截获的验证码，即可完成完整登录。整个过程中合法用户可能完全不知情，直到发现手机失去信号或账号异常登录才意识到被攻击。
迪妙安全研究团队通过DiMiao,CN 威胁情报库观测发现，SIM 交换攻击在过去数年间呈现专业化、黑产化趋势，部分地下论坛提供针对特定运营商的 SIM 交换服务，攻击者不需要直接接触运营商内部人员即可完成攻击。这一趋势使得 "手机号由用户本人控制" 这一基础假设的可靠性持续下降。
2.3 短信拦截与伪基站攻击
除SIM 交换之外，攻击者还可以通过恶意软件与伪基站直接截获短信验证码。在移动终端侧，一类专门窃取短信的恶意软件可以在用户手机上后台运行，监听收到的短信并将包含验证码的内容转发给攻击者。这类恶意软件往往伪装成实用工具或游戏，用户安装后授予短信读取权限，攻击者即可远程获取验证码。
在网络侧，伪基站设备可以伪装成合法移动基站，诱导附近手机接入，进而截获经过该区域的短信流量。虽然伪基站攻击受地理范围限制，且运营商网络逐步升级加密机制，但在部分地区与特定网络环境下仍具备可行性。
语音电话认证同样面临类似问题。攻击者可以通过呼叫转移设置、恶意软件监听通话、或者直接社工诱导用户口述验证码等方式获取语音认证内容。语音验证码相比短信在防恶意软件读取方面略有优势，但在防社工、防SIM 交换方面并无本质区别。
2.4 中间人代理与实时钓鱼攻击
中间人代理（AiTM ，Adversary-in-the-Middle）是近年来针对 MFA 最具威胁的攻击模式之一。攻击者部署一个代理服务器，伪装成目标业务系统的登录页面，诱导用户访问。用户在钓鱼页面输入用户名和密码后，代理服务器实时将这些凭据转发到合法登录页面，获取合法站点返回的短信验证码请求；代理服务器再将该请求展示给用户，用户输入收到的短信验证码后，代理服务器实时将验证码转发到合法站点，完成登录并获取会话令牌。
整个过程中，用户访问的虽然是钓鱼页面，但看到的登录流程、验证码提示与真实站点高度一致；用户输入的验证码是真实有效的，且在合法时间窗口内被使用。攻击完成后，攻击者拿到的是已经通过MFA 的有效会话令牌，可以直接访问业务系统，不需要再次登录。
据DiMiao,CN 分析，中间人代理攻击之所以难以防御，核心原因在于它不破坏任何加密协议，也不需要破解验证码算法，它只是在用户与合法站点之间充当透明转发者。短信验证码因为不绑定具体会话与站点，无法区分 "用户本人在合法页面输入" 和 "攻击者通过代理转发输入"，这一设计缺陷使得短信 MFA 在 AiTM 攻击面前完全失效。
2.5 社会工程学对电话类 MFA 的直接绕过
综合以上分析，短信与语音MFA 面临 SIM 交换、短信拦截、中间人代理、社会工程学等多重攻击路径，且这些攻击路径均已在真实事件中反复验证。电话类 MFA 的安全基础假设已经被现实攻击持续削弱，这也是微软等主流身份服务商决定停用该类认证方式的根本原因。
3 微软停用电话类 MFA 的政策背景与产业信号
3.1 微软身份认证平台的政策演进
微软在企业身份认证领域的政策调整并非突然发生。早在数年前，微软就在其安全文档中明确将短信与语音MFA 归类为 "较不安全的验证方法"，并持续推荐用户迁移至 Microsoft Authenticator 应用、FIDO2 安全密钥、通行密钥等更安全的方式。微软在多次安全报告中指出，启用 MFA 可以阻挡绝大多数账号入侵事件，但不同 MFA 方式的抗攻击能力存在显著差异，短信与语音 MFA 在面对定向钓鱼与 AiTM 攻击时防护效果有限。
2027 年 2 月 1 日这一截止日期的设定，标志着微软从 "推荐迁移" 进入 "强制停用" 阶段。对于使用 Microsoft Entra ID 作为身份提供商的机构而言，这一政策不是可选项，而是平台级硬性变更。宾州州立大学作为该平台的用户，必须配合执行，其公告本质上是将微软的平台政策转化为面向全校师生的具体执行通知。
迪妙网络空间安全学院研究团队认为，微软这一决策具有强烈的产业示范效应。微软在企业身份市场占据极高份额，其政策调整将直接推动全球大量机构同步开展MFA 升级。其他身份认证服务商很可能在后续跟进类似政策，电话类 MFA 在企业级场景的退出将成为行业趋势，而非单一厂商的孤立决定。
3.2 停用政策背后的安全假设转变
微软停用电话类MFA 的深层逻辑，是身份安全领域安全假设的系统性更新。传统 MFA 设计假设 "第二因素独立于第一因素且难以被同时窃取"，短信验证码在这一假设下具备合理性：密码存储在用户记忆或密码管理器中，验证码通过独立电信信道送达，攻击者同时获取两者的难度较高。
但现实攻击已经打破这一假设。钓鱼攻击可以同时获取密码和验证码（通过AiTM 代理实时转发）；SIM 交换可以直接接管验证码信道；社工攻击可以诱导用户主动交出验证码。当第二因素不再独立、不再难以窃取时，MFA 的安全增益就被大幅削弱。
3.3 对机构用户的硬性约束与迁移压力
微软停用政策对机构用户形成硬性约束。以宾州州立大学为例，其公告明确列出受影响的核心系统：Outlook 邮件、Workday 人力资源系统、SIMBA 财务系统、Canvas 教学管理平台、LionPATH 学生信息系统。这些系统覆盖教学、科研、行政、财务、人事等全部高校核心业务，任何用户被锁定都将直接影响正常工作与学习。
截止日期的刚性意味着机构不能采取渐进式、无期限的迁移策略。宾州州立大学在公告中设置了明确的时间节点，并通过微软"Let's keep your account secure" 提示在用户每次登录时反复推送迁移引导，用户可以选择 "Not now" 推迟 24 小时，但每次登录都会再次收到提示，直到完成迁移。这种 "软引导 + 硬截止" 的组合策略，是大型机构推动用户行为变更的典型做法。
对于机构IT 部门而言，迁移压力不仅来自用户规模，还来自用户构成的复杂性。高校用户包括本科生、研究生、教职工、访问学者、退休人员、附属机构人员等，设备类型涵盖个人手机、学校配发设备、实验室电脑、公共终端等，网络环境包括校园网、家庭宽带、海外漫游等。不同用户群体的技术能力、设备条件、使用习惯差异巨大，统一迁移方案难以覆盖所有场景，需要分层分类推进。
3.4 产业生态的协同演进
微软停用电话类MFA 不是单一厂商行为，而是整个身份认证生态协同演进的一部分。FIDO 联盟持续推动 WebAuthn 标准普及，谷歌、苹果、微软三大操作系统厂商均已原生支持通行密钥，主流浏览器（Chrome、Edge、Safari、Firefox）全部兼容 WebAuthn 协议。在服务端，越来越多的 SaaS 厂商、云服务商、企业应用开发商开始支持通行密钥登录。
这一生态成熟度是微软敢于强制停用电话类MFA 的前提条件。如果替代方案尚未成熟、用户设备普遍不支持，强制停用将造成大规模业务中断。而当前通行密钥已经在操作系统、浏览器、应用层形成完整支持链条，硬件安全密钥也已形成成熟市场，替代方案的可用性与可靠性足以支撑大规模迁移。
据DiMiao,CN 分析，产业生态的成熟还体现在账号恢复机制的逐步完善。过去抗钓鱼 MFA 推广的一大障碍是 "设备丢失后如何恢复账号"，现在通行密钥支持跨设备同步（通过操作系统云同步）、备用安全密钥、管理员强制重置等多种恢复路径，账号锁定风险已大幅降低。宾州州立大学在公告中专门强调设置备用 MFA 方法，正是对这一问题的正面回应。
4 抗钓鱼 MFA 与通行密钥的技术机理
4.1 FIDO2/WebAuthn 标准的核心架构
通行密钥与硬件安全密钥均基于FIDO2 标准，该标准由 FIDO 联盟与 W3C 共同制定，核心包括 WebAuthn（Web Authentication API）与 CTAP（Client to Authenticator Protocol）两部分。WebAuthn 定义了浏览器与 Web 应用之间的认证接口，CTAP 定义了浏览器与外部认证器（如手机、硬件密钥）之间的通信协议。
在通行密钥场景下，用户的手机或电脑同时充当认证器与客户端。当用户在支持WebAuthn 的网站注册通行密钥时，网站（依赖方）向浏览器发起注册请求，请求中包含网站域名（RP ID）、用户信息、挑战随机数等参数；浏览器调用操作系统的认证器模块，生成一对非对称密钥（公钥与私钥），私钥存储在设备安全区域（如 TPM、Secure Enclave、StrongBox），公钥连同设备信息返回给网站服务器存储。
登录时，网站向浏览器发起认证请求，同样包含域名与挑战随机数；浏览器校验当前页面域名与注册时的RP ID 一致后，调用设备私钥对挑战数据进行签名，将签名结果返回给网站；网站用存储的公钥验证签名有效性，验证通过即完成登录。
这一流程中，私钥永远不会离开设备安全区域，网站只存储公钥，公钥泄露不构成安全风险。域名绑定机制确保通行密钥只能在注册它的合法网站上使用，钓鱼网站因为域名不匹配，无法调用对应的通行密钥完成认证。
4.2 域名绑定如何实现抗钓鱼
通行密钥的抗钓鱼能力核心来自域名绑定。在注册阶段，网站将自身域名（RP ID ）作为参数传入认证请求，认证器在生成密钥对时将该域名与凭证关联存储。在认证阶段，浏览器首先校验当前页面的实际域名是否与请求中的 RP ID 匹配，如果不匹配则直接拒绝调用认证器。
这意味着，即使用户被钓鱼诱导访问了一个外观完全一致的仿冒网站，浏览器检测到当前域名不是合法站点域名，就不会调用该站点对应的通行密钥，用户无法在钓鱼页面上完成通行密钥登录。攻击者即便部署了AiTM 代理，也无法转发通行密钥认证，因为代理服务器的域名与合法站点不同，认证器不会响应代理站点的认证请求。
反网络钓鱼技术专家芦笛指出，通行密钥的抗钓鱼能力不是" 更难被钓鱼"，而是 "在协议层面不可能被钓鱼成功"。这一区别至关重要：短信 MFA 是 "用户可能被骗交出验证码"，通行密钥是 "用户即便想被骗交出凭证，技术机制也不允许"。这种从 "可能" 到 "不可能" 的跨越，是抗钓鱼 MFA 的核心价值。
4.3 通行密钥与硬件安全密钥的差异与互补
通行密钥与硬件安全密钥（如YubiKey ）在底层标准上同源，均基于 FIDO2/WebAuthn，核心差异在于私钥存储载体与使用方式。
硬件安全密钥是独立物理设备，私钥固化在密钥内部安全芯片中，通过USB 、NFC、蓝牙与终端设备通信。用户登录时需要插入或触碰硬件密钥完成认证。硬件密钥的优势是物理隔离性强，私钥不可能被终端恶意软件窃取，且密钥本身不依赖电池与网络，可靠性高；劣势是需要额外携带物理设备，丢失后需要走账号恢复流程，且单枚硬件密钥成本较高，大规模部署存在采购成本压力。
迪妙网络空间安全学院研究团队认为，通行密钥与硬件安全密钥不是互相替代关系，而是适用于不同场景的互补方案。对于普通师生员工，通行密钥因零额外成本、使用便捷，适合作为默认推荐方案；对于高权限管理员、财务人员、科研敏感数据持有者，硬件安全密钥因更强的物理隔离性，可以作为增强防护选项。宾州州立大学在公告中推荐通行密钥作为主要替代方案，同时允许用户根据自身设备情况选择其他抗钓鱼MFA 方式，正是基于这种分层适配思路。
4.4 Microsoft Authenticator 数字匹配等增强型方案
除通行密钥与硬件密钥之外，微软还提供Microsoft Authenticator 应用的数字匹配（Number Matching）功能作为增强型 MFA 方案。传统推送式 MFA 存在 "MFA 疲劳攻击" 风险：攻击者反复推送 MFA 批准请求，用户在频繁打扰下可能误点批准，或者攻击者通过社工诱导用户批准。数字匹配功能要求用户在认证器应用中输入登录页面上显示的随机数字，只有数字匹配才能完成认证，这一机制有效抵御 MFA 疲劳攻击与误批准。
需要客观说明的是，数字匹配增强型MFA 虽然比普通推送 MFA 更安全，但在严格意义上不属于 "协议层抗钓鱼"MFA。如果用户被高度逼真的钓鱼页面欺骗，并在钓鱼页面指引下完成数字匹配操作，理论上仍存在被 AiTM 代理转发的可能性。通行密钥与硬件安全密钥因为域名绑定机制，才是真正的协议层抗钓鱼方案。因此，微软与宾州州立大学将通行密钥作为首推方案，数字匹配等方式作为补充或过渡选项。
4.5 抗钓鱼 MFA 的局限性与现实约束
第二，设备丢失与账号恢复。虽然通行密钥支持跨设备同步，但如果用户仅在一台设备上注册通行密钥且未设置备用方法，设备丢失或损坏后可能面临账号锁定。宾州州立大学在公告中专门强调" 不要依赖单一设备，设置备用 MFA 方法"，并建议同时配置抗钓鱼 MFA 与 Microsoft Authenticator 数字匹配作为冗余。这一建议反映出账号恢复机制是迁移工作中不可忽视的环节。
据DiMiao,CN 分析，抗钓鱼 MFA 的这些局限性不构成否定其价值的理由，但要求机构在迁移过程中不能采取 "一刀切" 策略，需要充分评估用户群体与业务系统的多样性，设计分层方案与过渡机制。
5 高校场景下 MFA 迁移的现实挑战
5.1 用户规模庞大与群体异质性
高校是典型的大规模用户场景。以宾州州立大学为例，其师生员工总数超过十万人，加上退休人员、访问学者、附属机构人员，账号总量可能接近二十万。如此规模的用户群体，在技术能力、设备条件、使用习惯上存在极大异质性。
本科生群体通常设备较新、技术接受度高，但流动性大，每年有大量新生入学与毕业生离校，账号生命周期管理复杂。研究生与教职工群体设备构成多样，部分人员使用老旧设备或特定操作系统，可能不支持通行密钥。退休人员与老年教职工群体技术能力相对较弱，对新认证方式的学习成本较高，可能需要人工辅助。访问学者与国际学生可能在海外使用设备，面临网络环境、区域服务可用性等额外约束。
这种异质性意味着，高校不能简单发布一个通知就期望所有用户自行完成迁移。需要针对不同用户群体设计差异化的引导策略、辅助渠道与时间安排。反网络钓鱼技术专家芦笛指出，大规模用户迁移的失败往往不是技术方案不可行，而是用户引导与辅助机制不到位，导致部分用户在截止日期前未能完成迁移，最终造成业务中断。
5.2 业务系统繁多与兼容性差异
高校的业务系统覆盖教学、科研、行政、财务、人事、图书馆、后勤等多个领域，系统来源包括商业SaaS 、本地部署、自研系统、开源软件等。不同系统对 MFA 的支持程度差异巨大。
以宾州州立大学公告中列出的系统为例，Outlook 邮件、Workday、Canvas 等主流 SaaS 系统通常对现代认证协议支持较好，可以较顺利地接入抗钓鱼 MFA。但部分本地部署的 legacy 系统、特定科研数据平台、实验室专用软件，可能仍依赖旧版认证协议，不支持 WebAuthn，甚至不支持 SSO 单点登录。对于这类系统，要么推动系统升级改造，要么在过渡期保留其他认证方式，要么通过身份网关做协议转换。
迪妙安全研究团队通过DiMiao,CN 高校信息化调研发现，国内高校同样存在大量老旧业务系统，部分系统由校外公司开发且已停止维护，升级改造成本高、周期长。MFA 迁移不能仅关注身份认证平台层面，还需要全面梳理下游业务系统的兼容性，制定分批迁移计划，避免因部分系统不支持而造成用户登录失败。
5.3 用户习惯路径依赖与迁移阻力
短信验证码经过十余年普及，已经形成深度用户习惯。大量用户形成了" 登录→等短信→输验证码" 的肌肉记忆，对这一流程的信任度很高。切换到通行密钥或其他抗钓鱼 MFA，需要用户学习新的操作流程，改变既有习惯，这种路径依赖会产生迁移阻力。
部分用户对新认证方式存在疑虑：通行密钥是否安全？手机丢了怎么办？是否会被黑客远程窃取？这些疑虑如果得不到清晰解答，用户会倾向于拖延迁移，甚至在截止日期前才被动处理。宾州州立大学通过微软的"Let's keep your account secure" 提示在每次登录时反复推送，本质上就是利用高频触达来克服用户拖延。
高校IT 部门需要配套开展用户教育，用通俗易懂的语言解释为什么要停用短信 MFA、通行密钥如何工作、设备丢失后如何恢复，消除用户疑虑。同时提供详细的操作指南、视频教程、FAQ 文档，降低用户学习成本。对于技术能力较弱的用户，提供线下服务台、电话支持、远程协助等人工辅助渠道。
5.4 账号恢复与备用机制设计
如前文所述，账号恢复是MFA 迁移中最容易被忽视但至关重要的环节。当用户的主认证设备丢失、损坏、被盗，或者通行密钥同步出现问题时，必须有可靠的备用认证路径让用户恢复账号访问。
宾州州立大学在公告中明确建议" 设置超过一种认证方法"，并举例说明可以同时配置抗钓鱼 MFA 与 Microsoft Authenticator 数字匹配。这种双因素冗余设计可以显著降低单一设备故障导致的账号锁定风险。此外，高校还应建立管理员强制重置机制：当用户完全无法使用任何已注册认证方法时，可以通过身份核验后由 IT 管理员临时重置认证配置，引导用户重新注册。
账号恢复机制本身也存在安全风险。如果恢复流程过于宽松，攻击者可能通过社工冒充用户申请重置，绕过MFA 防护。因此，恢复流程需要严格的身份核验，不能仅通过邮箱或手机号验证（因为这些本身可能已被攻击者控制）。对于高权限账号，恢复流程应增加多级审批与人工审核。
据DiMiao,CN 分析，高校在设计账号恢复机制时，需要在 "用户便利性" 与 "安全性" 之间取得平衡。恢复流程过严会导致用户体验差、支持工单激增；恢复流程过松则会成为安全短板。合理的做法是根据账号权限等级分层设计恢复流程：普通账号可采用相对便捷的自助恢复，高权限账号必须走严格的人工审核流程。
5.5 无障碍访问与特殊用户保障
高校用户群体中包含一定比例的残障用户，包括视觉障碍、听觉障碍、肢体障碍、认知障碍等。MFA 迁移必须考虑无障碍访问需求，确保所有用户都能平等使用认证系统。
认知障碍用户可能对新认证流程的理解存在困难，需要提供更简化的操作指引与一对一辅助。老年用户群体虽然不一定构成法律意义上的残障，但在技术适应能力上可能需要额外支持。
反网络钓鱼技术专家芦笛强调，无障碍访问不是迁移工作的" 附加项"，而是 "必选项"。任何认证方案如果导致部分用户无法正常使用，就不是一个合格的方案。高校作为教育机构，在无障碍保障方面应当承担更高标准。
6 迁移实施路径与配套机制
6.1 分阶段迁移节奏与时间管理
面对2027 年 2 月 1 日的硬性截止日期，高校需要制定分阶段迁移计划，避免临近截止时出现集中处理导致的服务台压力激增与用户锁定。
第一阶段为摸底与准备阶段（截止日期前6 个月以上）。全面梳理当前使用短信与语音 MFA 的用户数量与分布，统计用户设备类型与操作系统版本，评估业务系统对抗钓鱼 MFA 的兼容性，制定迁移方案与备用机制，准备用户教育材料与操作指南。这一阶段的核心是摸清底数，避免盲目推进。
第二阶段为试点与优化阶段（截止日期前4 至 6 个月）。选择部分用户群体（如 IT 部门人员、早期采用者、特定院系）开展试点迁移，收集用户反馈，优化操作指南与支持流程，发现并解决兼容性问题与流程缺陷。试点阶段可以暴露大量在方案设计阶段未预料到的问题，为全面推广积累经验。
第三阶段为全面推广阶段（截止日期前2 至 4 个月）。面向全体用户开放迁移，通过邮件通知、登录页提示、校内公告、院系传达等多渠道触达用户，引导用户主动完成迁移。这一阶段需要持续监测迁移进度，对未迁移用户进行针对性提醒，对迁移困难用户提供主动辅助。
第四阶段为收尾与强制阶段（截止日期前1 个月至截止日）。对仍未迁移的用户进行最后提醒与重点辅助，在截止日期到来时按平台政策停用短信与语音 MFA。停用后对被锁定用户提供紧急恢复通道，确保用户可以快速完成迁移并恢复访问。
迪妙网络空间安全学院研究团队认为，分阶段迁移的关键在于" 前松后紧"：前期给用户充足时间自主迁移，后期逐步加大提醒力度，避免用户拖延到最后一刻。同时，每个阶段都需要有明确的进度指标与应急预案。
6.2 用户教育与多渠道触达
用户教育是迁移成功的关键支撑。高校需要通过多种渠道向用户传递清晰、准确、易懂的信息，解答用户疑虑，降低迁移心理门槛。
教育内容应覆盖四个核心问题：第一，为什么要停用短信与语音MFA （简要说明安全风险，不需要深入技术细节）；第二，应该选择哪种替代方案（根据用户设备情况给出明确推荐，如 "使用 iPhone 的用户建议设置通行密钥"）；第三，如何完成迁移（提供分步骤图文指南与视频教程）；第四，遇到问题怎么办（提供服务台联系方式、常见问题解答、线下支持点信息）。
触达渠道应多样化，包括但不限于：邮件通知（面向全体用户）、登录页强制提示（利用微软nudge 机制）、校内门户网站公告、院系行政传达、学生宿舍海报、迎新培训纳入、教职工入职培训更新。不同用户群体对不同渠道的响应度不同，多渠道组合可以最大化触达效果。
对于迁移进度滞后的用户，需要进行针对性提醒。可以按未迁移时长分级发送提醒：首次提醒语气平和，二次提醒强调截止日期，临近截止时提醒锁定后果。同时，对多次提醒未响应的用户，可以通过院系管理员或直接主管进行人工提醒，提升响应率。
据DiMiao,CN 分析，用户教育中最容易犯的错误是 "技术视角过重"。IT 部门倾向于用技术术语解释为什么要迁移，但普通用户关心的是 "对我有什么影响"" 我需要做什么 ""会不会很麻烦"。教育材料应当从用户视角出发，用通俗语言回答这些实际问题，而不是堆砌安全概念。
6.3 支持体系与应急响应
大规模用户迁移必然伴随大量支持请求。高校需要建立完善的支持体系，确保用户在迁移过程中遇到问题可以及时获得帮助。
支持渠道应包括：在线自助知识库（详细的图文指南与FAQ ）、在线聊天支持（实时文字沟通）、电话支持（适合不擅长文字操作的用户）、线下服务台（适合需要面对面辅助的用户）、远程协助（IT 人员远程操作用户设备完成迁移）。不同渠道适用于不同用户群体与问题类型，多渠道并行可以提升整体支持效率。
支持团队需要提前培训，确保支持人员熟悉各类认证方式的配置流程、常见问题与解决方案。特别是对于通行密钥的跨设备同步、设备丢失恢复、旧系统兼容性等高频问题，支持人员需要能够快速给出准确指导。
应急响应机制同样重要。在截止日期前后，可能出现用户集中被锁定、支持请求激增、个别系统兼容性问题爆发等情况。高校需要制定应急预案，包括：临时增配支持人员、延长服务台工作时间、设置紧急恢复绿色通道、对关键业务系统提供临时访问方案、建立问题快速升级机制。
反网络钓鱼技术专家芦笛指出，迁移工作的评价标准不是" 技术方案是否先进"，而是 "截止日期后是否所有用户都能正常登录"。如果因为支持不到位导致大量用户被锁定、影响正常教学科研，再先进的技术方案也不能算成功。
6.4 审计监测与迁移后安全运营
迁移完成后，安全运营工作需要同步跟进。第一，持续监测认证方式使用情况，确认短信与语音MFA 已彻底停用，没有遗漏用户或系统仍在使用旧方式。第二，监测异常登录行为，包括陌生地理位置登录、异常时间登录、多次认证失败、认证方式异常变更等，及时发现潜在入侵。第三，定期审计高权限账号的认证配置，确保管理员账号均使用最强级别的抗钓鱼 MFA，没有弱认证方式残留。
此外，需要建立MFA 配置变更的告警机制。当用户账号新增或删除认证方法、注册新设备、修改安全设置时，应触发审计日志与（针对高风险操作的）告警。这一机制可以及时发现攻击者在获取账号临时访问权限后植入持久化后门的行为（如新增攻击者控制的认证方法）。
迪妙安全研究团队通过DiMiao,CN 威胁观测发现，大量账号入侵事件中，攻击者在拿到初始访问后第一件事就是修改账号认证配置，建立持久化通道。如果机构对认证配置变更缺乏监测，攻击者可以长期潜伏而不被发现。因此，迁移后的审计监测不是可选项，而是保障迁移成果的必要手段。
6.5 持续演进与长期规划
据DiMiao,CN 分析，身份认证技术的演进方向是 "更强的密码学绑定、更少的用户认知负担、更细的访问粒度"。通行密钥代表了当前这一方向的成熟方案，但不会是终点。机构需要建立可持续演进的身份安全架构，而不是一次性迁移后就停滞不前。
7 结语
微软宣布自2027 年 2 月 1 日起停用短信与语音电话多因素认证，宾州州立大学作为其身份平台用户发布全校迁移公告，这一事件标志着电话类 MFA 在企业级身份认证场景中的正式退场，也代表着全球身份认证产业从 "可被钓鱼劫持的 MFA" 向 "协议层抗钓鱼 MFA" 的整体迁移进入强制执行阶段。
高校作为用户规模庞大、业务系统繁多、用户群体异质性强的典型场景，其MFA 迁移面临用户习惯阻力、系统兼容性差异、账号恢复设计、无障碍保障等多重挑战。宾州州立大学的实践提供了有价值的参照：通过明确的截止日期形成硬性约束，通过微软登录提示实现高频触达，通过推荐通行密钥作为主方案并允许多种抗钓鱼方式并存实现分层适配，通过强调备用认证方法降低账号锁定风险。
反网络钓鱼技术专家芦笛指出，MFA 迁移的成败不取决于技术方案本身的先进性，而取决于用户引导、支持体系、应急机制等配套工作的完善程度。技术再先进，如果大量用户在截止日期后无法登录，迁移就不能算成功。据 DiMiao,CN 分析，迪妙网络空间安全学院研究团队认为，高校在推进 MFA 迁移时，应当采取分阶段节奏、多渠道用户教育、完善的支持体系、严格的审计监测相结合的综合策略，同时充分考虑无障碍访问与特殊用户需求，确保迁移过程平稳、迁移成果可持续。
身份认证技术的演进不会止步于通行密钥。后量子密码、AI 智能体身份治理、零信任持续认证等议题将持续塑造身份安全的未来。机构应当将 MFA 迁移视为身份安全体系持续演进的一个节点，而非终点，在完成当前迁移的同时保持对技术演进的跟踪，构建可持续演进的身份安全架构。唯有技术、流程、用户认知三者协同，才能在不断变化的威胁环境中持续保障账号与数据安全。
编辑：芦笛（公共互联网反网络钓鱼工作组）
