การพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่าง

การพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่าง
( ตัวย่อ MFA ),
การพิสูจน์ตัวจริงด้วยปัจจัยสองอย่าง ( ตัวย่อ 2FA) และคำทำนองเดียวกันอื่นๆ
เป็นการพิสูจน์ตัวผู้ใช้ทางอิเล็กทรอนิกส์เพื่อลงชื่อเข้าใช้บัญชีทางเว็บไซต์หรือทางแอป 
ซึ่งผู้ใช้ต้องให้หลักฐานหรือปัจจัยสองอย่างหรือยิ่งกว่าแก่กลไกการพิสูจน์ตัวผู้ใช้
เอ็มเอ็ฟเอจะช่วยรักษาความปลอดภัยของข้อมูลส่วนตัว ซึ่งอาจรวมข้อมูลที่ระบุตัวบุคคลได้หรือทรัพย์สินทางการเงิน ไม่ให้บุคคลที่สามเข้าถึงได้ เปรียบเทียบกับเมื่อใช้ปัจจัยเดียว เช่น รหัสผ่าน ที่อาจจะป้องกันไม่ได้

แอปออเทนทิเคเตอร์จากบริษัท/บุคคลที่สามมักใช้เป็นปัจจัยที่สองเพื่อพิสูจน์ตัวจริง แอปปกติจะแสดงเลขสุ่มที่เปลี่ยนไปเรื่อยๆ ที่ผู้ใช้จะลงบันทึกในระบบเพื่อพิสูจน์ตน

ปัจจัยต่างๆ 
การพิสูจน์ตัวผู้ใช้จะเริ่มเมื่อพยายามจะลงชื่อเข้าใช้บัญชีคอมพิวเตอร์ (เช่น เครือข่ายคอมพิวเตอร์ อุปกรณ์ หรือแอป)
ซึ่งอาจกำหนดให้ระบุข้อมูลบุคคลที่บริการนั้นรู้จัก บวกกับข้อมูลพิสูจน์ว่าเป็นผู้ใช้นั้นจริงๆ 
ข้อมูลพิสูจน์ธรรมดาจะมีแค่ปัจจัยเดียว ซึ่งทั่วไปก็คือรหัสผ่าน
แต่เพื่อเพิ่มความปลอดภัย บริการนั้นอาจบังคับให้มีปัจจัยยิ่งกว่าหนึ่งอย่าง เพื่อพิสูจน์ตัวผู้ใช้ด้วยปัจจัยหลายอย่าง หรือด้วยสองอย่างถ้าต้องให้หลักฐานสองอย่าง

การใช้ปัจจัยหลายอย่างเพื่อพิสูจนตัวมีแนวคิดว่า ผู้ไม่ได้รับอนุญาตไม่น่าจะแสดงปัจจัยต่างๆ ที่ใช้เพื่อลงชื่อเข้าบัญชีได้
เพราะถึงแม้จะมีปัจจัยหนึ่งอย่าง แต่ถ้าไม่มีปัจจัยที่เหลือ ก็ยังไม่สามารถเข้าบัญชีที่ป้องกันความปลอดภัยด้วยวิธีนี้ได้
ปัจจัยที่ใช้อาจรวม
 สิ่งที่ผู้ใช้มี คือสิ่งของที่ผู้ใช้มี เช่น โทเค็นความปลอดภัย (security token เช่น ยูเอสบีแฟลชไดรฟ์) บัตรเอทีเอ็ม หรือกุญแจความปลอดภัย (security hardware key)
 สิ่งที่ผู้ใช้รู้ คืออะไรบางอย่างที่ผู้ใช้เท่านั้นรู้ เช่น รหัสผ่าน, รหัส PIN
 สิ่งที่ผู้ใช้เป็น คือลักษณะทางชีวมิติของผู้ใช้ เช่น ลายนิ้วมือ ลายม่านตา เสียงพูด ลักษณะการพิมพ์คีย์บอร์ด 

ตัวอย่างของการพิสูจน์ผู้ใช้ด้วยปัจจัยสองอย่างก็คือการถอนเงินจากตู้เอทีเอ็ม
ต่อเมื่อมีทั้งบัตรเอทีเอ็มที่ถูกต้อง (สิ่งที่ผู้ใช้มี) และรหัส PIN (สิ่งที่ผู้ใช้รู้) จึงจะสามารถทำธุรกรรมได้
ตัวอย่างอื่นๆ ที่บูรณาการความปลอดภัยการใช้รหัสผ่านก็คือ รหัสผ่านใช้ครั้งเดียว (OTP, one-time password) หรือเลขรหัสที่ได้รับหรือระบุ (เช่นที่พบในโทเค็นความปลอดภัยหรือสมาร์ทโฟน) ซึ่งเป็นวัตถุที่ผู้ใช้เท่านั้นมี

ส่วนแอปออเทนทิเคเทอร์ของบริษัท/บุคคลที่สามปกติจะแสดงเลขรหัสสุ่มที่เปลี่ยนไปเรื่อยๆ 
โดยไม่ได้ส่งมาทางข้อความเอสเอ็มเอสหรือวิธีอื่นๆ และผู้ใช้สามารถลงบันทึกเลขนั้นเพื่อพิสูจน์ตัวได้
ข้อดียิ่งของแอปชนิดนี้ก็คือทำงานได้โดยไม่ต้องมีอินเทอร์เน็ต
ตัวอย่างแอปรวมทั้ง Google Authenticator, Authy และ Microsoft Authenticator
ตัวจัดการรหัสผ่านบางแอป เช่น Bitwarden ก็มีบริการนี้เช่นกัน

สิ่งที่รู้ 
สิ่งที่รู้ก็สามารถเป็นปัจจัยเพื่อพิสูจน์ผู้ใช้เช่นกัน
คือต้องรู้ความลับอะไรบางอย่างเป็นการพิสูจน์

รหัสผ่านเป็นคำลับหรือเป็นชุดอักษรที่ใช้พิสูจน์ตัวจริงได้
นี่เป็นปัจจัยพิสูจน์ตนที่มีใช้อย่างสามัญที่สุด
การพิสูจน์ตัวผู้ใช้ด้วยปัจจัยหลายอย่างอาจใช้รหัสลับเป็นปัจจัยอย่างหนึ่งเพื่อพิสูจน์
รหัสผ่านแบบยาวรูปแบบหนึ่งก็คือการใช้คำหลายๆ คำ () หรือรูปแบบสั้นอย่างหนึ่งก็คือรหัสเป็นเลขล้วนเช่น รหัส PIN ซึ่งใช้กับเครื่องเอทีเอ็ม
ทั่วไปแล้ว ผู้ใช้จะต้องจำรหัสผ่าน แต่ก็อาจเขียนไว้ในกระดาษหรือไฟล์ที่ซ่อนไว้

สิ่งที่มี 

ปัจจัยคือสิ่งที่ผู้ใช้มี ได้ใช้เป็นเครื่องพิสูจน์ตนเป็นศตวรรษๆ แล้ว ในรูปแบบของลูกกุญแจที่ใช้ไขตัวกุญแจ
หลักก็คือลูกกุญแจมีความลับร่วมกันกับตัวกุญแจ เป็นหลักเดียวกันที่ใช้พิสูจน์ตัวผู้ใช้ในระบบคอมพิวเตอร์
โทเค็นความปลอดภัย (security token ในภาพ) เป็นตัวอย่างปัจจัยคือสิ่งที่มี

โทเค็นแบบไม่เชื่อม (disconnected token) เป็นโทเค็นความปลอดภัยที่ไม่ต่อกับระบบรับบริการ
ปกติจะมีจอในตัวเพื่อแสดงเลขสรหัสพิสูจน์ผู้ใช้ที่สร้างขึ้น โดยผู้ใช้จะลงบันทึกรหัสในระบบรับบริการ
โทเค็นชนิดนี้มักแสดง OTP คือรหัสผ่านที่ใช้ได้ครั้งเดียว

โทเค็นแบบเชื่อม (connected token) เป็นอุปกรณ์ที่ต้องต่อกับคอมพิวเตอร์เมื่อใช้การ
โดยโทเค็นจะเป็นตัวส่งข้อมูลเอง ผู้ใช้ไม่ต้องลงบันทึกรหัสใดๆ
มีโทเค็นรูปแบบอื่นๆ อีกรวมทั้ง โทเค็นยูเอสบี สมาร์ตการ์ด และแบบคลื่นวิทยุ
เริ่มตั้งแต่ปี2015 เว็บบราวเซอร์หลักๆ ได้เริ่มสนับสนุนมาตรฐานโทเค็น WebAuthn ซึ่งโปรโหมตโดยสมาคมไฟโดอัลไลอานซ์ (FIDO Alliance) และเวิลด์ไวด์เว็บคอนซอร์เทียม (W3C)

อนึ่ง โทเค็นแบบซอฟต์แวร์ ก็ใช้พิสูจน์ตัวผู้ใช้ด้วยปัจจัย 2อย่างได้เหมือนกัน
โดยข้อมูลลับที่ใช้สร้างโทเค็นจะเก็บไว้ในอุปกรณ์อิเล็กทรอนิกส์ทั่วไป เช่น คอมพิวเตอร์แบบตั้งโต๊ะ แล็ปท็อป โทรศัพท์เคลื่อนที่ หรือสมาร์ทโฟน ดังนั้น อาจถูกก๊อปเอาไปได้
นี่เทียบกับโทเค็นแบบฮาร์ดแวร์ซึ่งเก็บความลับไว้ในอุปกรณ์โดยเฉพาะๆ และดังนั้น จึงข้อมูลลับเอาไปไม่ได้ ยกเว้นจะเปิดทำลายอุปกรณ์เพื่อก๊อปข้อมูล

การพิสูจน์ตัวผู้ใช้ด้วยปัจจัยหลายอย่างก็ใช้รักษาความปลอดภัยทั่วไปได้เช่นกัน
ซึ่งปกติมักเอาสิ่งที่ผู้ใช้มี เช่น การ์ดกุญแจ และสิ่งที่ผู้ใช้เป็น เช่น ลักษณะใบหน้า หรือม่านตา
นี่เอาไว้เปิดประตูที่ล็อกไม่ให้คนอื่นเข้า

สิ่งที่เป็น 
ปัจจัยต่อเป็นสิ่งที่ผู้ใช้มีหรือเป็นตามธรรมชาติ ซึ่งปกติก็คือลักษณะทางชีวมิติรวมทั้งลายนิ้วมือ ใบหน้า
เสียงพูด หรือลายม่านตา
โดยสัญลักษณ์ทางพฤติกรรม เช่น ลักษณะการพิมพ์คีย์บอร์ด ก็อาจใช้ได้เหมือนกัน

ตำแหน่งที่ตั้ง 
ตำแหน่งที่อยู่ของผู้ใช้ปัจจุบัน ก็ใช้เป็นปัจจัยพิสูจน์ตัวจริงเพิ่มขึ้นเรื่อยๆ
เช่น เมื่อกำลังใช้เครือข่ายคอมพิวเตอร์ของบริษัทอยู่ ผู้ใช้อาจสามารถลงชื่อเข้าใช้ด้วยรหัส PIN เพียงเท่านั้น
แต่ถ้าใช้เครือข่ายอื่นอยู่ ก็อาจต้องใส่โค๊ดจากโทเค็นซอฟต์แวร์เพิ่มขึ้นด้วยด้วย
นี่อาจใช้เป็นส่วนของมาตรฐานที่บริษัท/องค์กรต้องใช้ในการเข้าถึงทรัพยากรต่างๆ ที่ควบคุมการเข้าถึง

โทรศัพท์เคลื่อนที่ 
การพิสูจน์ตัวผู้ใช้ด้วยข้อความโทรศัพท์เริ่มขึ้นตั้งแต่ปี1996 เมื่อบริษัทเอทีแอนด์ทีระบุระบบที่อนุญาตให้ทำธุรกรรมโดยอาศัยโค๊ดที่ส่งไปยังวิทยุติดตามตัว

ระบบพิสูจน์ตัวผู้ใช้ด้วยปัจจัยหลายอย่างมักจะอนุญาตให้ใช้โทรศัพท์เคลื่อนที่เป็นปัจจัยด้วย
วิธีที่ใช้รวมการส่งคำขออนุญาตด้วยแอป (push-based) การส่งรหัสคิวอาร์ การใช้รหัสที่ใช้ครั้งเดียว (OTP ซึ่งใช้ได้อย่างจำกัดเวลา) และการส่งโค๊ดทางข้อความเอสเอ็มเอส
แต่การใช้ระบบเอสเอ็มเอสก็มีปัญหาความปลอดภัย
เพราะข้อมูลที่กำหนดตัวโทรศัพท์สามารถก๊อปได้ สามารถมีแอปหลายแอปที่ใช้รับรหัสได้ในอุปกรณ์อื่นๆ และช่างที่ซ่อมโทรศัพท์ก็สามารถดูข้อความในโทรศัพท์ได้
ดังนั้น รวมๆ แล้วโทรศัพท์จึงไม่ค่อยปลอดภัย เพราะไม่ใช่อะไรที่ผู้ใช้เท่านั้นมี

ข้อเสียของการพิสูจน์ตัวผู้ใช้โดยสิ่งที่มีก็คือ ผู้ใช้ต้องถือเอาโทเค็นที่เป็นวัตถุไปด้วยอยู่ตลอดเวลา ไม่ว่าจะเป็นอุปกรณ์ยูเอ็สบี บัตรธนาคาร หรือกุญแจอะไรบางอย่าง
ซึ่งก็อาจหายหรือถูกขโมยได้
อนึ่ง องค์กรหลายแห่งห้ามการถืออุปกรณ์อิเล็กทรอนิกส์หรืออุปกรณ์ยูเอสบีเข้าหรือออกจากอาคารเพราะกลัวมัลแวร์หรือถูกขโมยข้อมูล เช่นดั่งที่เครื่องมืออุปกรณ์อันสำคัญที่สุดจะไม่มีช่องยูเอสบี

อนึ่ง โทเค็นฮาร์ดแวร์แบบเฉพาะๆ ยังขยายใช้ได้ไม่ง่าย เพราะปกติจะต้องใช้โทเค็นอันหนึ่งต่อบัญชีต่อระบบ
การแจกและการต้องเปลี่ยนโทเค็นแบบนี้มีค่าใช้จ่าย
อนึ่ง การแลกเปลี่ยนระหว่างการใช้ง่ายกับความปลอดภัยยังเป็นปัญหาที่เลี่ยงไม่ได้

การพิสูจน์ตัวจริงด้วยปัจจัยที่สองเป็นโทรศัพท์เคลื่อนที่หรือสมาร์ทโฟน เป็นทางเลือกของการใช้อุปกรณ์โดยเฉพาะ
เพื่อจะพิสูจน์ตน ผู้ใช้สามารถใช้ข้อมูลลับส่วนตัวสำหรับอุปกรณ์นั้น (เป็นสิ่งที่ผู้ใช้เท่านั้นรู้) บวกกับรหัสใช้ครั้งเดียวที่สร้างขึ้นเรื่อยๆ โดยปกติเป็นเลขรหัส 
เลขรหัสอาจส่งไปที่โทรศัพท์
ผ่านข้อความเอสเอ็มเอส หรืออาจสร้างขึ้นโดยแอปที่สร้างรหัสใช้ครั้งเดียว
ข้อดีก็คือไม่ต้องมีอุปกรณ์โทเค็นโดยเฉพาะๆ เพราะผู้ใช้ปกติก็มีมือถือติดตัวอยู่แล้ว

แม้การพิสูจน์ด้วยเอสเอ็มเอสจะเป็นที่นิยม ก็มักจะถูกวิจารณ์ในด้านปัญหาความปลอดภัย
ในเดือนกรกฎาคม 2016 สถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐ (NIST) ได้ร่างแนวทางปฏิบัติที่เสนอให้เลิกใช้ข้อความเอสเอ็มเอสเป็นเครื่องพิสูจน์ตัวจริง
แต่อีกปีต่อมา สถาบันก็กลับระบุเป็นวิธีพิสูจน์ตนได้เหมือนเดิม

บริษัทกูเกิลในปี2016 และบริษัทแอปเปิลในปี2017 ก็เริ่มให้ผู้ใช้พิสูจน์ตนด้วยข้อความเตือนแบบ push notification
โดยใช้เป็นทางเลือกของปัจจัยที่สอง

โทเค็นที่อาศัยโทรศัพท์เคลื่อนที่อาศัยการบริหารความปลอดภัยของผู้ใช้โทรศัพท์ โดยยังรั่วได้ง่ายเนื่องกับการดักฟังหรือการลอกซิมที่องค์กรความมั่นคงของชาติต่างๆ อาจจะทำ

ข้อดี
 ไม่ต้องมีอุปกรณ์ต่างหากๆ เพราะใช้มือถือที่ติดตัวผู้ใช้อยู่ตลอด
 เพราะรหัสเปลี่ยนไปเรื่อยๆ จึงปลอดภัยกว่าข้อมูลนิ่งที่นำไปลงชื่อใช้
 เพราะรหัสเปลี่ยนไปเรื่อยๆ รหัสที่สร้างขึ้นแต่ผู้ใช้ไม่ได้รับเพราะปัญหาการส่งการรับ จะไม่ขัดการลงชื่อใช้ต่อๆ ไป

ข้อเสีย
 ผู้ใช้ยังไม่พ้นปัญหาฟิชชิง เพราะคนร้ายอาจส่งข้อความเอสเอ็มเอสอันมีลิงก์ไปยังผู้ใช้โดยลิงก์ไปยังเว็บไซต์ปลอมได้เหมือนจริง แล้วได้ชื่อผู้ใช้ รหัสผ่าน และโค๊ดพิสูจน์ตนจากผู้ใช้
 มือถือก็ไม่ใช่จะใช้ได้อยู่ตลอดเวลา เพราะหายได้ ถูกขโมยได้ แบ็ตหมด หรืออาจเสีย
 แม้จะนิยมขึ้นเรื่อยๆ ผู้ใช้บางคนก็ยังอาจไม่มีมือถือ และอาจโมโหว่าถูกบังคับให้ใช้เพื่อจะเข้าถึงบริการบางอย่างที่มีอยู่ในคอมพิวเตอร์ของตน
 สัญญาณมือถือก็ไม่ใช่มีทุกที่ มีพื้นที่จำนวนมากนอกเมืองที่ไม่มีสัญญาณ
 การลอกซิม (SIM cloning) อาจทำให้แฮ็กเกอร์ใช้โทรศัพท์มือถือที่ถูกก๊อปได้ อนึ่ง คนร้ายอาจหลอกพนักงานบริษัทมือถือให้ส่งซิมที่เหมือนกับซิมของลูกค้าไปให้ตนได้
 ข้อความเอสเอ็มเอสที่ส่งไปยังโทรศัพท์ไม่ได้เข้ารหัสลับและยังสามารถถูกดักฟังโดยอุปกรณ์ที่เรียกว่า IMSI-catcher ได้ ดังนั้น บุคคลอื่นจึงอาจขโมยแล้วใช้โทเค็นได้
 สมาร์ทโฟนปัจจุบันใช้รับทั้งอีเมลและข้อความเอสเอ็มเอส ถ้าโทรศัพท์หายหรือถูกขโมยโดยไม่มีรหัสผ่านหรือการป้องกันด้วยลักษณะทางชีวมิติเช่นลายนิ้วมือ บัญชีทุกบัญชีที่ใช้อีเมลเป็นชื่อผู้ใช้และมีโทรศัพท์เป็นปัจจัยพิสูจน์อย่างที่สองก็จะแฮ็กได้ทั้งหมด
 ในบางพื้นที่ บริษัทมือถืออาจคิดค่าใช้จ่ายเพื่อรับข้อความเอสเอ็มเอส

กฎหมายและกฎบังคับ 
มาตรฐานความปลอดภัยข้อมูลของสมาคมอุตสาหกรรมบัตรจ่ายเงิน (Payment Card Industry Data Security Standard) บังคับว่า บุคคลผู้จะเข้าถึงข้อมูลบัตรจ่ายเงินจากเครือข่ายนอกระบบ จะต้องพิสูจน์ตัวด้วยปัจจัยหลายอย่าง
แต่ถ้าเข้าถึงข้อมูลโดยความเป็นแอดมิน ก็จะต้องใช้ปัจจัยหลายอย่างเพื่อพิสูจน์ตนทุกครั้งแม้จะใช้เครือข่ายในระบบ

สหภาพยุโรป 
คำสั่งการบริการจ่ายเงิน (Payment Services Directive) ของสหภาพยุโรปที่มีผลเป็นกฎหมายในปลายปี2019 
บังคับให้ผู้ใช้ต้องพิสูจน์ตนด้วยปัจจัยหลายอย่างสำหรับการจ่ายเงินทางอิเล็กทรอนิกส์ในเขตเศรษฐกิจยุโรป

อินเดีย 
ในประเทศอินเดีย ธนาคารทุนสำรองอินเดียบังคับให้ใช้การพิสูจน์ตัวผู้ใช้ด้วยปัจจัยสองอย่าง (2FA) 
สำหรับธุรกรรมออนไลน์ที่ใช้บัตรจ่ายเงินด้วยรหัสผ่านหรือด้วยรหัสใช้ครั้งเดียวที่ส่งไปทางเอสเอ็มเอส
แม้จะเลิกบังคับใช้ในปี2016 สำหรับการจ่ายเงินไม่เกิน  เมื่อเลิกใช้ธนบัตรบางราคาที่สร้างปัญหาทางเศรษฐกิจ
โดยบริษัทต่างๆ เช่น อูเบอร์ ก็ถูกบังคับให้เปลี่ยนระบบจัดการทางการเงินเพื่อทำตามกฎแม้บริษัทจะเชื่อว่ามีผลเสียต่อผู้บริโภคและต่อธุรกิจ

สหรัฐ 
มีคำสั่งประธานาธิบดีสหรัฐในปี2018 ซึ่งกำหนดการใช้วิธีพิสูจน์ตนสำหรับเจ้าหน้าที่ของรัฐบาลกลางทั้งเจ้าหน้าที่แบบบรรจุและชั่วคราว

มาตรฐานสำหรับการเข้าถึงระบบเทคโนโลยีสารสนเทศที่สำคัญของรัฐบาลกลางสหรัฐ บังคับให้ใช้การพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่าง เช่น เมื่อลงชื่อเข้าใช้อุปกรณ์เครือข่ายเพื่อทำกิจของแอดมิน
และเมื่อใช้คอมพิวเตอร์ที่ลงชื่อเข้าใช้แบบมีสิทธิพิเศษ

สถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐ (NIST) ได้เผยแพร่เอกสาร "Special Publication 800-63-3" ที่ระบุการพิสูจน์ตัวจริงด้วยปัจจัยสองอย่าง (2FA) 
แล้วแนะนำการใช้ในธุรกรรมที่ต้องมีความปลอดภัยในระดับต่างๆ

ในปี2005 คณะกรรมการตรวจสอบสถาบันการเงินของรัฐบาลกลาง (FFIEC) ได้แนะนำสถาบันทางการเงินให้ประเมินความปลอดภัยโดยขึ้นอยู่กับความเสี่ยง 
ตรวจสอบโปรแกรมสำรวจความเข้าใจของลูกค้า 
แล้วสร้างกระบวนการความปลอดภัยเพื่อพิสูจน์ลูกค้าที่ลงชื่อเข้าใช้บริการทางการเงินทางไกลให้ได้ความแน่นอน 
โดยแนะนำอยา่งเป็นทางการให้ใช้วิธีพิสูจน์ตัวผู้ใช้ด้วยปัจจัยยิ่งกว่าหนึ่งอย่าง (คือสิ่งที่ผู้ใช้รู้ มี หรือเป็น)
เพราะการเผยแพร่นี้ บริษัทที่ให้บริการพิสูจน์ตัวจริงเป็นจำนวนมากจึงเริ่มมีวิธีการพิสูจน์ตัวผู้ใช้โดยใช้คำถาม หรือภาพลับ หรือความรู้อะไรๆ อย่างอื่นโดยอ้างว่า เป็นวิธีพิสูจน์ตัวด้วย "ปัจจัยหลายอย่าง"
เพราะความสับสนเช่นนี้ และการยอมรับวิธีการดังที่ว่าอย่างกว้างขวาง ปีต่อมาองค์กรจึงเผยแพร่แนวทางเสริม
ซึ่งระบุว่า โดยนิยามแล้ว ระบบพิสูจน์ตัวด้วยปัจจัยหลายอย่าง "ของแท้" จะต้องปัจจัยสามชนิดที่ได้กำหนดแล้ว (คือสิ่งที่ผู้ใช้รู้ ที่มี หรือที่เป็น) ร่วมกัน ไม่ใช่การใช้ปัจจัยชนิดเดียวหลายรูปแบบ

ความปลอดภัย 
ตามผู้สนับสนุน การพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่างสามารถลดจำนวนการปลอมบุคคลและการฉ้อฉลทางออนไลน์อื่นๆ 
เพราะรหัสผ่านของเหยื่ออย่างเดียวไม่พอให้ผู้ร้ายสามารถเชิดบัญชีได้ไป
แต่วิธีการพิสูจน์ตัวจริงเช่นนี้หลายอย่างก็ยังมีปัญหาด้านฟิชชิง
หรือการโจมตีแบบอื่นๆ รวมทั้งม้าโทรจันที่เป็นมัลแวร์ในบราวเซอร์ และการแทรกตัวระหว่างกลางแบบ man-in-the-middle attack
การพิสูจน์ตัวจริงด้วยปัจจัยสองอย่าง (2FA) สำหรับเว็บแอปมีปัญหาด้านฟิชชิงเป็นพิเศษ โดยเฉพาะเมื่อส่งโค๊ดทางเอสเอ็มเอสหรืออีเมล ดังนั้น ผู้เชี่ยวชาญจึงแนะนำไม่ให้ผู้ใช้แชร์โค๊ดที่ได้รับกับใครๆ
โดยผู้ให้บริการยังอาจระบุข้อความไม่ให้แชร์โค๊ดไว้ในอีเมลและเอสเอ็มเอสที่ส่งโค๊ดด้วย

การพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่างอาจไม่ได้ผล
ต่อวิธีการฉ้อฉลที่ใช้ในปัจจุบันรวมทั้งเครื่องสกิมเมอร์ที่ตู้เอทีเอ็ม ฟิชชิง และมัลแวร์

ในเดือนพฤษภาคม บริษัทมือถือเยอรมัน O2 Telefónica รายงานวาคนร้ายไซเบอร์ได้ใช้จุดอ่อนของโพรโทรคอลระบบโทรศัพท์ SS7 
เพื่อหลีกเลี่ยงวิธีการพิสูจน์ตัวด้วยปัจจัยสองอย่างซึ่งรวมข้อความเอสเอ็มเอส แล้วถอนเงินบัญชีธนาคารของผู้ใช้ได้
โดยต้องมีการตั้งมัลแวร์ม้าโทรจันบนคอมของผู้ใช้เพื่อขโมยข้อมูลเข้าบัญชีธนาคารและเบอร์โทรศัพท์ของผู้ใช้ก่อน
แล้วซื้อบริการผู้ให้บริการโทรศัพท์ปลอม เปลี่ยนให้ส่งข้อความไปยังมือถือของตน
ในที่สุดแล้ว ก็จะลงชื่อเข้าใช้บัญชีธนาคารของผู้ใช้ออน์ไลน์ได้ แล้วโอนเงินไปยังบัญชีของตน
เพราะรหัสใช้ครั้งเดียวได้ส่งไปยังมือถือของคนร้าย จึงสามารถลงชื่อเข้าบัญชีและโอนเงินได้

ปัญหาเบื่อเอ็มเอฟเอ 
กลวิธีหนึ่งในการแฮ็กระบบเอ็มเอฟเอที่เพิ่มขึ้นเรื่อยๆ ในปัจจุบันก็คือ 
การส่งคำขอให้ยอมรับการพิสูจน์ตัวจริงไปซ้ำๆ จนกระทั่งผู้ใช้ทนไม่ได้แล้วยอมรับ

การทำให้เกิดผล 
ระบบเอ็มเอฟเอบางอย่างบังคับให้ผู้ใช้ต้องมีซอฟต์แวร์รับบริการเพื่อให้ใช้การได้
บางระบบมีซอฟต์แวร์ติดตั้งต่างๆ กันสำหรับการลงชื่อเข้าใช้เครือข่าย เข้าใช้เว็บ และใช้เครือข่ายส่วนตัวเสมือน
สำหรับผลิตภัณฑ์เช่นนี้ จึงอาจต้องติดตั้งซอฟต์แวร์ถึง 4-5 ระบบบนคอมพิวเตอร์แบบตั้งโต๊ะ เพื่อให้ใช้โทเค็นความปลอดภัยหรือสมาร์ตการ์ดได้
จึงเป็นซอฟต์แวร์ ที่ต้องติดตามรุ่นต่างๆ และที่ต้องเช็คดูว่ามีปัญหากับซอฟต์แวร์ที่จำเป็นอื่นๆ ด้วยหรือเปล่า
แต่ถ้าการเข้าถึงสิ่งที่ต้องการทำได้โดยผ่านหน้าเว็บเท่านั้น ก็อาจต้องมีแอปที่ว่าอย่างเดียวเท่านั้น
หรือถ้าใช้เทคโนโลยีพิสูจน์ตัวอื่นๆ เช่น โทเค็นฮาร์ดแวร์ ผู้ใช้ก็อาจไม่ต้องติดตั้งซอฟต์แวร์ใดๆ เลย

มีข้อเสียในระบบเอ็มเอฟเอหลายอย่างที่ทำให้ไม่มีการติดตั้งแล้วใช้อย่างแพร่หลาย
ผู้ใช้บางส่วนอาจมีปัญหาการเก็บโทเค็นฮาร์ดแวร์หรืออุปกรณ์ยูเอสบี
บางส่วนอาจไม่สามารถติดตั้งระบบบริการด้วยตนเอง
โดยทั่วไปแล้ว จะต้องลงทุนเพื่อทำให้เกิดผล และมีค่าใช้จ่ายเพื่อทะนุบำรุง
ระบบที่ใช้โทเค็นฮาร์ดแวร์โดยมากเป็นกรรมสิทธิ์ของบริษัทผู้ผลิต ซึ่งอาจคิดค่าธรรมเนียมต่อผู้ใช้ทุกปี
การกระจายให้ใช้โทเค็นฮาร์ดแวร์ยังลำบากทางโลจิสติกส์อีกด้วย
เพราะโทเค็นฮาร์ดแวร์อาจเสียหาย โดยการแจกจ่ายโทเค็นในอุตสาหกรรมใหญ่ๆ เช่น ธนาคาร หรือบริษัทใหญ่ๆ ก็จะต้องบริหารอย่างเข้มงวด
นอกจากค่าใช้จ่ายเพื่อกระจายให้ใช้ ยังมีค่าใช้จ่ายเพื่อช่วยเหลือผู้ใช้อีกด้วย

งานวิจัยเกี่ยวกับการนำเทคโนโลยีนี้ไปใช้
พบว่า องค์กรประเภทต่างๆ ยอมรับเทคโนโลยีเอ็มเอฟเอต่างๆ ได้ไม่เหมือนกัน
ตัวอย่างเช่น รัฐบาลกลางสหรัฐมักใช้ระบบโทเค็นฮาร์ดแวร์ที่ซับซ้อนซึ่งก็เป็นระบบรับรองด้วยการเข้ารหัสแบบกุญแจอสมมาตร 
และเช่นธนาคารซึ่งมักนิยมระบบเอ็มเอฟเอที่ใช้ง่ายกว่าและมีค่าใช้จ่ายน้อยกว่า เช่น ใช้แอปที่ติดตั้งในสมาร์ทโฟนของลูกค้าเอง
แต่ถึงจะต่างกันอย่างนี้ เมื่อติดตั้งและใช้ระบบแล้ว ก็จะกลายเป็นปกติ โดยผู้ใช้เองก็จะรู้สึกคุ้นกับระบบแล้วยอมรับมันได้ว่าเป็นเรื่องธรรมดาเพื่อให้ลงชื่อเข้าใช้บัญชีที่จำเป็นได้

แม้จะดูเหมือนว่า ระบบเอ็มเอฟเอจะให้ความปลอดภัยได้อย่างบริบูรณ์
นักวิจารณ์ก็ยังระบุว่า ถ้าไม่ทำให้เกิดผลหรือติดตั้งอย่างบริบูรณ์ ก็ยังสามารถถูกแฮ็กได้

สิทธิบัตร 
ในปี2013 นักประกอบการชาวฟินแลนด์-เยอรมัน คิม ด็อตคอม อ้างว่าได้ประดิษฐ์การพิสูจน์ตัวจริงด้วยปัจจัยสองอย่างตามสิทธิบัตรที่จดในปี2000
แล้วจึงสามารถขู่ฟ้องศาลผู้บริการเว็บรายใหญ่ๆ ได้ทั้งหมดเป็นระยะเวลาสั้นๆ
แต่ต่อมาสำนักงานสิทธิบัตรยุโรปได้ยกเลิกสิทธิบัตรนี้
เพราะบริษัทเอทีแอนด์ทีได้จดสิทธิบัตรเยี่ยงนี้ตั้งแต่ปี1998 แล้ว

ดูเพิ่ม 
 เว็บออเทน เป็นโพรโทรคอลการให้บริการพิสูจน์ตัวผู้ใช้ด้วยปัจจัยหลายอย่าง

เชิงอรรถและอ้างอิง

แหล่งข้อมูลอื่น 

 

 Attackers breached the servers of RSA and stole information that could be used to compromise the security of two-factor authentication tokens used by 40 million employees (register.com, 18 Mar 2011)
 Banks to Use Two-factor Authentication by End of 2006, (slashdot.org, 20 Oct 2005)
 Microsoft to abandon passwords, Microsoft preparing to dump passwords in favour of two-factor authentication in forthcoming versions of Windows (vnunet.com, 14 Mar 2005)

ความมั่นคงของระบบคอมพิวเตอร์
การบริหารระบบ
การระบุ
มาตรฐานเวิลด์ไวด์เว็บคอนซอร์เทียม
ความมั่นคงของเครือข่ายคอมพิวเตอร์
อินเทอร์เน็ต
เทคโนโลยีเว็บ
วิทยาการเข้ารหัสลับ