参考 CISA、NIST SP 800-63B 及 Microsoft 最佳实践

CISA（美国网络安全和基础设施安全局）持续发布关于反钓鱼认证的指导意见。邮件系统中部署防钓鱼的 MFA 方案，是阻止 90% 以上的账号接管攻击的有效手段。

传统 MFA 的钓鱼漏洞

CISA 警告：TOTP（时间一次性密码）和 SMS 验证码等传统 2FA 方法可以被中间人钓鱼工具（如 EvilGinx、Modlishka）实时绕过。攻击者搭建一个与真实登录页面几乎一致的代理页面，用户在此页面输入密码和 MFA 验证码后，攻击者实时转发到真实服务器完成认证，获取 session cookie。

邮件账号接管风险

邮件账号被接管后，攻击者可通过邮件系统：

• 重置其他服务的密码（邮件作为密码重置通道）
• 发送伪造的内部邮件开展 BEC 攻击
• 访问邮件中的敏感附件和数据
• 设置邮件转发规则持续监控沟通内容

FIDO2/WebAuthn 作为反钓鱼认证方案

NIST SP 800-63B 将 FIDO2/WebAuthn 归类为"认证器保证级别 3 (AAL3)"，是最高级别的认证安全保障。FIDO2 的工作原理：

1. 私钥绑定到域：FIDO2 凭证（私钥）与特定域名绑定。当用户被引导到钓鱼网站时，浏览器检测到域名不匹配，拒绝使用存储的凭证
2. 无密码可选：Passkey 方案允许用户在登录时仅通过设备生物识别（指纹/面容）或设备 PIN 完成认证
3. 平台集成：Windows Hello、Apple Face ID/Touch ID、Android 指纹均支持 FIDO2 作为邮件客户端认证器

邮件系统 MFA 部署建议

Webmail 层面的 MFA

所有支持 Web 访问的邮件系统（Exchange OWA、Roundcube、内置 Webmail）必须启用 MFA。对于自建邮件系统，推荐以下方案：

• 集成 Keycloak / Authelia / Authentik 等开源身份管理平台
• 使用 FIDO2 安全密钥（YubiKey、Feitian、Google Titan）
• 部署条件访问策略（根据 IP/地理位置/设备状态决定是否要求 MFA）

IMAP/SMTP 认证的安全考虑

传统的 IMAP/POP3/SMTP 认证不支持 MFA。对于需要邮件客户端访问的场景，推荐：

• OAuth 2.0（XOAUTH2, RFC 7628）替代密码认证
• 应用程序密码（App Password）作为 MFA 的兼容方案
• 禁用基础认证（Basic Auth），强制使用 OAuth 2.0

MTA 间认证

邮件服务器之间的认证依赖于 SPF/DKIM/DMARC 机制，确保传输过程中邮件的真实性和完整性。这本身不是"用户 MFA"，但构建了强大的发件方信任链。