推送验证与硬件密钥
FIDO2 与安全密钥
推送验证与硬件密钥 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 3 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
超越手动输入的代码
手动输入的 OTP 代码虽然可用，但操作繁琐且容易受到网络钓鱼攻击。两种更强的持有因素可以同时改善使用体验和安全性：推送确认与硬件安全密钥。
推送通知
基于推送的 MFA 会向您的手机发送提示。您只需点击批准或拒绝，无需输入代码。
这种方式十分便捷，并且服务器会以密码学方式确认响应。
MFA 疲劳
推送提示容易受到MFA 疲劳（推送轰炸）攻击：攻击者不断发送批准请求，希望用户因感到烦扰而点击“批准”。
防御措施是数字匹配，即要求用户输入登录界面上显示的数字。
硬件安全密钥
硬件安全密钥是一种小型实体设备（USB、NFC 或蓝牙），用于执行密码学身份验证。
私钥永远不会离开设备，因此这种方式极难因失窃而受到危害。
FIDO2 与 WebAuthn
FIDO2 是现代安全密钥所采用的开放标准。它在 Web 上对应的是 WebAuthn 浏览器接口。
二者结合后，网站便可以使用公钥密码学验证用户身份，而不必依赖共享密钥。
FIDO2 的工作原理
注册时，密钥会为每个网站生成一对唯一的密钥，并将公钥提供给网站。
登录时，服务器会发送一个挑战值；密钥使用私钥为其签名。该签名可以在不泄露任何秘密的情况下证明持有密钥。
来源绑定可阻止网络钓鱼
FIDO2 会将每个凭据绑定到网站的确切来源（域名）。
位于相似域名下的钓鱼网站无法获得有效签名，因为密钥拒绝向错误的来源进行身份验证。这正是它具备抗网络钓鱼能力的原因。
通行密钥
通行密钥是可以通过平台（手机、笔记本电脑）在您的设备之间同步的 FIDO2 凭据。
它们旨在彻底取代密码，同时保留 FIDO2 的抗网络钓鱼能力。
用户验证
安全密钥可以增加一项本地检查，称为用户验证：在设备本身上使用 PIN 或生物特征进行验证。
这样，您只需点击一次，就能将您持有的某样东西与您知道的某样东西或您本身的特征结合起来。
选择方法
大致按照安全性从弱到强排列：
- SMS 代码（请尽可能避免）
- TOTP 应用
- 带数字匹配的推送
- FIDO2 / 通行密钥（抗网络钓鱼）
部署建议
部署硬件密钥时：
- 为每位用户注册至少两个密钥（其中一个作为备用）。
- 提供同样具备抗网络钓鱼能力的恢复途径。
- 对于高价值账户，优先使用 FIDO2。
快速检查
为什么 FIDO2 安全密钥被认为能够抵抗网络钓鱼？
回顾
您了解了更强的持有因素。
- 推送十分便捷，但需要数字匹配才能抵御疲劳攻击。
- FIDO2 / 通行密钥使用每网站一对密钥，并通过来源绑定抵抗网络钓鱼。
- 请注册备用密钥。
接下来，我们将了解 MFA 仍然可能被绕过的方式，以及如何加固 MFA。
常见问题解答
「推送验证与硬件密钥」课时是免费的吗？
是的 — 「推送验证与硬件密钥」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「推送验证与硬件密钥」这节课中我会学到什么？
FIDO2 与安全密钥 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 3 节课，共 4 节。
「推送验证与硬件密钥」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 身份验证因素
- TOTP 与 HOTP
- 推送验证与硬件密钥
- MFA 绕过风险