MFA 绕过风险

MFA 能大幅降低账户被接管的风险，但它不是万能的解决方案。

攻击者已经开发出多种技术，用于绕过较弱的 MFA 形式。

SIM 卡置换会诱骗移动运营商将受害者的电话号码转移到攻击者的 SIM 卡上。

之后，任何基于 SMS的代码都会发送给攻击者。这就是 SMS 是最弱第二因素的原因。

对手中间人代理等工具会位于用户与真实网站之间。

它们会实时转发登录信息以及 OTP，并窃取由此产生的会话凭证。这会同时击败 SMS、TOTP，甚至推送验证。

如果攻击者在 MFA 之后窃取了经过身份验证的会话令牌或会话凭证，就可以完全跳过 MFA。

恶意软件、被窃取的浏览器数据或 XSS 都可能泄露这些令牌。

在使用基于推送的 MFA 时，已经获得密码的攻击者会不断发送批准提示。

疲惫或困惑的用户最终可能点击批准，从而授予访问权限。数字匹配可以防御这种攻击。

账户恢复流程经常是薄弱环节。如果重置密码或 MFA 只需要电子邮件链接或安全问题的答案，攻击者就会转而攻击这些环节。

恢复流程必须与主登录流程一样安全。

最强的防御措施是抗网络钓鱼的 MFA：FIDO2 安全密钥和通行密钥。

由于凭据绑定到了真实来源，代理钓鱼网站无法转发有效的身份验证请求。

实时网络钓鱼无法攻破 FIDO2，因为安全密钥会对绑定到欺诈域名的挑战值进行签名，而真实服务器会拒绝该签名。

用户无需重新输入代码，也没有可重复使用的秘密可供窃取。

将 MFA 与其他控制措施结合起来：

• 基于风险的增强身份验证
• 缩短会话生命周期，并对敏感操作重新进行身份验证
• 设备绑定和令牌绑定
• 监控不可能的旅行行为

要弥补恢复流程中的漏洞：

• 避免使用安全问题。
• 要求使用已注册的第二个密钥来重置 MFA。
• 在恢复尝试时增加延迟并发送通知。

即使是强大的 MFA，也会受益于具备安全意识的用户：

• 永远不要批准由您未发起的推送请求。
• 对紧急的登录提示保持警惕。
• 立即报告意外的 MFA 请求。

哪种 MFA 方法最能抵御实时钓鱼代理转发代码并窃取会话凭证的攻击？

您了解了 MFA 被绕过的方式，以及如何加固 MFA。

• SIM 卡置换、实时网络钓鱼、会话窃取和 MFA 疲劳是主要威胁。
• 抗网络钓鱼的 MFA（FIDO2 / 通行密钥）是最强的防御措施。
• 加固恢复流程并采用纵深防御。

下一个模块：身份与访问管理。