核验的是账户与认证器的联系

按NIST数字身份模型，请求者通过认证协议产生输出，验证者检查其与有效账户所绑定认证器的联系。例如对密码作验证，或核对持有私钥的一方对挑战的回应，都是以不同证据支持“当前请求者可以代表这一账户”。

登记时核验身份材料，回答的是账户最初怎样与某人关联；以后认证则核验其认证器控制，不能仅凭输入一个姓名就完成。认证结果还可能使用假名标识，也不自动表示此账户可读写所有资源；授权另行决定允许的操作。

参考：[1]

多个步骤不一定是多个因素

常见因素分为所知、所持和自身特征，例如密码、含秘密密钥的设备与生物特征。密码再加一个用户选择的PIN，仍可能只是两个“所知”证据；多因素要求不同类型因素，不能只统计界面出现几次输入框。

抗钓鱼又是不同要求。NIST指出，手动输入的一次性码仍可被冒充验证者转交；抗钓鱼机制需把认证输出与通道或验证者名称可靠绑定。因此，多因素能够提高某些攻击成本，却不能只凭因素数量断言抵抗转发型钓鱼。

参考：[1] [2]

会话把一次认证延续到后续交互

服务通常在认证后建立会话，让后续请求用会话秘密或其持有证明保持联系，不必每次重新提交原始认证器。NIST把会话管理与认证事件区分，浏览器Cookie只是可能采用的一种短期会话载体，不等于原先的密码或认证设备。

会话仍有退出、活动超时和重新认证等生命周期。重复一部分或全部认证可以重新建立保证，但仅刷新页面、保存一个更久的Cookie或保持连接，不会凭空把较弱认证变成更高保证级别。

参考：[2]