FIDO 认证机制遭破解,降级攻击漏洞恐成新威胁
Proofpoint研究团队近期发现了一种可绕过FIDO认证的新方法。专家们为此开发了降级攻击技术,并以微软Entra ID为例进行了测试验证。
FIDO(Fast Identity Online)标准素以安全性和用户友好性著称,被广泛应用于无密码认证领域,并被视为防范钓鱼攻击的有效手段。然而,Proofpoint研究团队近期发现了一种可绕过FIDO认证的新方法。专家们为此开发了降级攻击技术,并以微软Entra ID为例进行了测试验证。

降级攻击技术原理
采用FIDO密钥保护的账户通常能抵御钓鱼攻击,但Proofpoint指出某些FIDO实施方案存在降级攻击漏洞。攻击者通过诱导用户采用安全性较低的认证方式实现入侵。
研究人员的突破点在于:并非所有网络浏览器都支持FIDO密钥(例如Windows系统下的Safari浏览器)。Proofpoint表示:"网络罪犯可改造中间人攻击(AiTM)框架,伪装成FIDO实现方案无法识别的用户代理,迫使用户转而采用低安全性的认证方式。"
为验证攻击可行性,Proofpoint专家在Evilginx中间人攻击框架中开发了"钓鱼套件"——这是一种用于伪造 界面、窃取登录数据和会话令牌的配置文件。该攻击之所以能够得逞,是因为配置FIDO认证的用户账户通常会将多因素认证(MFA)作为备用登录方案。
攻击实施流程
安全专家还原了完整的攻击链条:
攻击者通过电子邮件、短信或OAuth请求向目标发送钓鱼链接受害者点击恶意链接后,系统会返回认证错误并建议采用替代登录方式当用户通过伪造界面完成登录时,其凭证数据和会话Cookie即遭窃取攻击者可借此劫持会话,完全控制目标账户,进而实施数据窃取或横向渗透新型威胁预警
尽管目前尚未发现该技术被实际用于网络犯罪,Proofpoint仍将此类降级攻击列为重大新兴威胁。专家警告称:"随着越来越多机构采用FIDO等'防钓鱼'认证方案,攻击者极可能将FIDO认证降级技术整合进其攻击链条。"
相关攻略
一、网络安全 (一)网络安全的定义 提到网络安全,其实可以把它理解为一个多维度的“健康状态”。它关乎计算机网络系统中的硬件、数据、程序,确保它们不会因为无意或恶意的原因遭到破坏、篡改或泄露。换句话说,就是既要防止非授权访问,又要保障系统服务能可靠、连续地运行。 有意思的是,网络安全的具体内涵,往往取
网络安全工程师:核心技能与每日实战 数字化浪潮席卷之下,网络空间的安全防线变得前所未有的重要。无论对政府、企业还是个人用户而言,一次系统漏洞或数据泄露都可能造成难以估量的损失。正因如此,作为数字世界的“守门人”,网络安全工程师的角色正变得至关重要。今天,我们就来深入聊聊,要胜任这份工作,究竟需要打磨
CTF是什么?网络安全竞赛的全面解读 对于网络安全领域之外的朋友而言,CTF可能是一个陌生的术语。简单来说,CTF(Capture The Flag,夺旗赛)是网络安全技术人员之间进行技术竞技与交流的核心形式,常被喻为安全界的“奥林匹克”或“华山论剑”。其诞生源于一个朴素的初衷:黑客们需要一种安全、
网络安全是什么? 在当今数字化时代,网络安全的重要性已不言而喻。无论是企业运营还是个人生活,一旦忽视安全防护,都可能面临数据泄露、财产损失乃至声誉受损的风险。正因如此,市场对专业网络安全人才的需求日益迫切,学习网络安全技术也成为众多从业者提升竞争力的关键。那么,网络安全究竟涵盖哪些内容?参加系统性的
网络安全:构筑数字世界的信任基石 当您思考网络安全时,脑海中会浮现怎样的画面?是影视作品中黑客交锋的炫目场景,还是现实世界里数据泄露的警示新闻?实际上,它的内涵远比这些表象更为深远。网络安全,本质上是一套旨在全面保障计算机网络系统免受非法入侵、恶意攻击、服务中断及信息窃取的综合防护体系与技术实践。它
热门专题
热门推荐
钉钉文档官网 在探讨企业级协同办公解决方案时,钉钉文档无疑是备受瞩目的核心工具之一。作为阿里巴巴钉钉官方推出的旗舰级应用套件,它深度融合了在线文档编辑、智能表格、思维导图等多种高效创作工具。其核心优势在于与钉钉平台生态的无缝衔接,能够直接同步企业内部组织架构与通讯录,实现团队成员间的即时协作与信息流
在数字化转型浪潮中,高效、易用的数据分析工具已成为企业提升决策效率的关键。商汤科技推出的“办公小浣熊”智能助手,正是基于自研大语言模型打造的一款创新产品,旨在彻底降低数据分析的技术门槛。用户无需掌握编程知识或复杂操作,即可通过自然对话完成从数据查询、处理到可视化洞察的全流程,让数据价值触手可及。 办
在人工智能技术快速发展的今天,MiniMax作为一家专注于全栈自研的AI公司,正以其独特的技术路径和前瞻性的布局,在业界脱颖而出。公司致力于构建覆盖文本、图像、语音和视频的新一代多模态智能模型矩阵,这不仅体现了对核心底层技术自主权的深度掌控,也展现了对未来人机交互与内容生成形态的前瞻思考。 那么,M
ApolloCreditFund(ACRED)作为连接传统信贷与DeFi的桥梁,其价格受市场情绪、协议基本面及宏观环境影响。其价值逻辑根植于现实世界资产(RWA)的收益捕获与链上流动性释放。短期价格波动难以预测,但长期发展取决于信贷资产质量、协议安全性和市场采用度。投资者需关注其底层资产表现、代币经济模型及整个RWA赛道的发展趋势。
在数字化转型浪潮中,一套能够深度适配业务、彰显品牌特色的智能客服系统,已成为企业提升服务效率与用户体验的关键工具。然而,市场上许多解决方案往往模式固化,难以满足个性化需求。如何让AI客服不仅具备基础的自动化应答能力,更能承载独特的品牌文化与服务哲学?其核心在于系统是否支持深度的自定义与持续的AI训练





