FIDO 认证机制遭破解，降级攻击漏洞恐成新威胁
Proofpoint研究团队近期发现了一种可绕过FIDO认证的新方法。专家们为此开发了降级攻击技术，并以微软Entra ID为例进行了测试验证。
免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈
FIDO（Fast Identity Online）标准素以安全性和用户友好性著称，被广泛应用于无密码认证领域，并被视为防范钓鱼攻击的有效手段。然而，Proofpoint研究团队近期发现了一种可绕过FIDO认证的新方法。专家们为此开发了降级攻击技术，并以微软Entra ID为例进行了测试验证。
降级攻击技术原理
采用FIDO密钥保护的账户通常能抵御钓鱼攻击，但Proofpoint指出某些FIDO实施方案存在降级攻击漏洞。攻击者通过诱导用户采用安全性较低的认证方式实现入侵。
研究人员的突破点在于：并非所有网络浏览器都支持FIDO密钥（例如Windows系统下的Safari浏览器）。Proofpoint表示："网络罪犯可改造中间人攻击（AiTM）框架，伪装成FIDO实现方案无法识别的用户代理，迫使用户转而采用低安全性的认证方式。"
为验证攻击可行性，Proofpoint专家在Evilginx中间人攻击框架中开发了"钓鱼套件"——这是一种用于伪造 界面、窃取登录数据和会话令牌的配置文件。该攻击之所以能够得逞，是因为配置FIDO认证的用户账户通常会将多因素认证（MFA）作为备用登录方案。
攻击实施流程
安全专家还原了完整的攻击链条：
攻击者通过电子邮件、短信或OAuth请求向目标发送钓鱼链接受害者点击恶意链接后，系统会返回认证错误并建议采用替代登录方式当用户通过伪造界面完成登录时，其凭证数据和会话Cookie即遭窃取攻击者可借此劫持会话，完全控制目标账户，进而实施数据窃取或横向渗透新型威胁预警
尽管目前尚未发现该技术被实际用于网络犯罪，Proofpoint仍将此类降级攻击列为重大新兴威胁。专家警告称："随着越来越多机构采用FIDO等'防钓鱼'认证方案，攻击者极可能将FIDO认证降级技术整合进其攻击链条。"
相关攻略
攻击者持续扫描互联网寻找未打补丁的基础设施，利用已知漏洞部署恶意软件或建立入侵企业网络的初始通道。 过时系统构成重大攻击面2026年3月23日，Shadowserver基金会在例行网络扫描中发现超过
工具采用基于标志位的输出控制机制，便于AI编程Agent将其作为子进程调用时，能高效解析输出而无需额外token开销。 工具概述密钥扫描已成为工程组织的标准实践，而Gitleaks是该领域应用最广泛
为应对风险，建议用户和企业采取以下措施：加强网络控制、避免OpenClaw默认管理端口暴露在互联网、采用容器隔离服务、避免明文存储凭证、仅从可信渠道下载技能模块、禁用技能自动更新功能，以及保持代理程
目前该漏洞尚无特定的威胁检测签名，因此主动打补丁和严格的权限管理至关重要。 漏洞概述Splunk发布紧急安全公告，警告用户其Enterprise和Cloud平台存在一个高危漏洞（CVE-2026-2
OpenAI称，该工具能建立对整个项目的上下文理解，从而专注于实际可被利用的漏洞，解决了应用安全团队长期面临的警报疲劳问题。 OpenAI新推出的应用安全Agent——Codex Security在
热门专题
热门推荐
IT之家 3 月 31 日消息，手机手电筒是一项用户常用的功能，无论是在漆黑的衣柜里翻找物品，还是夜间在停车场辨路前行，需要时它总能随时派上用场。但如今，部分 Pixel 10 Pro 用户反馈：如
闰年判定有四种Numbers兼容公式：一、MOD嵌套OR+AND逻辑；二、DATE+DAY反推2月最后一天；三、TEXT+ISERROR验证“年份-02-29”有效性；四、YEAR
IT之家 3 月 31 日消息，对很多人来说，晕车晕船是旅行中最常见的烦心事之一。三星悄然上线了一款名为 Hearapy 的免费应用，来解决这一令人不适的问题。该公司称，这款应用无需药物或物理缓解手
据海光信息（688041 SH）消息，近日，中国电信（601728 SH）湖南分公司2026年数智科技生态大会在长沙召开，中国电信湖南分公司与海光信息全面深化数智生态合作。根据协议，双方将聚焦智能制
30万元以上的高端纯电车，显然成了新能源车市的那块硬骨头。除了有换电加持的蔚来新ES8，大量被车企寄予厚望的高端明星纯电车都难逃疲软命运，典型如理想MEGA和i8，一次起火事故，直接造成销量断崖式下