定义
强认证（Strong Authentication）指采用多因素（MFA）、高安全强度的身份验证机制，通常结合「所知」（密码、PIN）、「所有」（硬件密钥、SIM 卡）、「所是」（生物特征）中的两种或多种，以抵御仿冒、重放、中间人攻击。与仅靠密码的弱认证相比，强认证显著提升安全性，适用于物联网设备接入、充电平台 支付、跨境业务等高安全场景。
物联网场景下，强认证可用于：设备与 设备管理平台 的 mutual TLS、设备与 VPN 的证书认证、充电桩与 OCPP 后端的双向认证、NFC 刷卡+密码的支付验证等。跨境充电、跨境支付需满足 PCI-DSS、PSD2 等合规要求，强认证是必备能力。
技术特点与架构
强认证架构包括：多因素组合——密码+OTP、证书+生物特征、SIM 卡+PIN 等；密钥管理——硬件安全模块（HSM）、安全存储、密钥轮换；协议支持——TLS 双向认证、EAP-SIM/AKA、FIDO2；审计与合规——登录日志、异常检测、合规报告。物联网设备可采用 eSIM 内置证书、安全芯片、TEE 等实现强认证。与 权限 管理结合，可实现细粒度访问控制。
跨境场景下，强认证需考虑各国合规差异（如欧盟 PSD2 的 SCA 要求）、多语言、多币种支付验证等。
在物联网与跨境场景中的应用
强认证广泛应用于：充电支付——充电站 扫码/刷卡+密码、RFID+PIN；设备接入——物联网设备与平台的双向 TLS、证书认证；远程运维——运维人员多因素登录；跨境支付——满足 PCI-DSS、3D Secure（3DS）要求。跨境充电网络、全球设备管理、跨境支付等场景均依赖强认证保障安全。
达希物联为充电桩、支付终端等设备提供连接支持，配合强认证方案，助力跨境充电与支付业务合规落地。
强认证核对的是多次独立证明
强认证在国际物联网里要求同一主体拿出至少两类互相独立的证明，例如卡内密钥算出的应答，再加上只有设备安全区才持有的证书，或现场人员才知道的口令。只把密码加长，或把同一口令用短信再发一遍，并没有增加独立因子，因为两条证据会随同一条信道一起泄露。蜂窝侧的认证发生在附着阶段，平台侧的认证发生在业务通道建立之后。卡能上网，只完成了运营商对卡的核对，没有完成充电桩对用户、或运维人员对管理面的核对。
材料要放在能抗读取的位置。证书和私钥若只是存在可被导出的文件系统里，多因子在被克隆后就同时失效。轮换时新旧材料必须有重叠窗口，否则跨境设备会在漫游重附着的同一刻因为证书过期而无法登记。
跨境业务启用它的前提
启用前要确认拜访网络是否允许终端完成所需的认证往返，以及业务平台是否认识这套因子。支付场景往往还要求持卡人侧的额外核验，核验服务器若只部署在境内且漫游时延过长，交易会在用户等待中超时。设备证书要能被平台校验到受信任的签发源，漫游本身不会把证书带进信任库。时间若严重偏离，证书会被误判为尚未生效或已经过期，表现为“密码正确却拒绝”。
运维登录和设备接入不应共用一套因子。人可以使用口令加动态码，设备应使用卡内凭证或证书。混用之后，人的口令写进固件，就不再是只有人知道的因素。
把附着成功写成业务已经强认证
常见误判是看到蜂窝注册成功，就在工单里勾选强认证通过。注册成功只代表卡与运营商之间的认证走完。充电支付、平台登录仍可能停在业务层。另一类失误是因子服务器不可达时自动降成单密码，降级策略没有单独告警，安全要求在漫游故障期间被静默取消。还有把动态码的有效期设得短于跨境往返时间，用户每次输入都因为迟到而被拒绝，最后被迫关掉多因子。
排障要先看失败停在空口认证、传输层证书，还是业务口令。三层的日志关键字不同。只有空口失败才去查卡；证书失败查时间和签发链；口令失败查因子是否过期以及是否被降级。