当前位置：

FIDO 认证机制遭破解，降级攻击漏洞恐成新威胁

时间:2025-11-05 11:53:04 出处:数据库阅读（143）

FIDO（Fast Identity Online）标准素以安全性和用户友好性著称，认证被广泛应用于无密码认证领域，机制解降级攻击漏并被视为防范钓鱼攻击的遭破有效手段。然而，洞恐Proofpoint研究团队近期发现了一种可绕过FIDO认证的成新新方法。专家们为此开发了降级攻击技术，威胁并以微软Entra ID为例进行了测试验证。认证

降级攻击技术原理

采用FIDO密钥保护的机制解降级攻击漏账户通常能抵御钓鱼攻击，但Proofpoint指出某些FIDO实施方案存在降级攻击漏洞。遭破攻击者通过诱导用户采用安全性较低的洞恐认证方式实现入侵。

研究人员的WordPress模板成新突破点在于：并非所有网络浏览器都支持FIDO密钥（例如Windows系统下的Safari浏览器）。Proofpoint表示："网络罪犯可改造中间人攻击（AiTM）框架，威胁伪装成FIDO实现方案无法识别的认证用户代理，迫使用户转而采用低安全性的机制解降级攻击漏认证方式。"

为验证攻击可行性，遭破Proofpoint专家在Evilginx中间人攻击框架中开发了"钓鱼套件"——这是一种用于伪造网站界面、窃取登录数据和会话令牌的配置文件。该攻击之所以能够得逞，是源码库因为配置FIDO认证的用户账户通常会将多因素认证（MFA）作为备用登录方案。

攻击实施流程

安全专家还原了完整的攻击链条：

攻击者通过电子邮件、短信或OAuth请求向目标发送钓鱼链接受害者点击恶意链接后，系统会返回认证错误并建议采用替代登录方式当用户通过伪造界面完成登录时，其凭证数据和会话Cookie即遭窃取攻击者可借此劫持会话，完全控制目标账户，进而实施数据窃取或横向渗透新型威胁预警

尽管目前尚未发现该技术被实际用于网络犯罪，Proofpoint仍将此类降级攻击列为重大新兴威胁。专家警告称："随着越来越多机构采用FIDO等防钓鱼认证方案，攻击者极可能将FIDO认证降级技术整合进其攻击链条。"

分享到：

上一篇：南航小卫星（南航小卫星为航空业带来的创新和发展）

下一篇：Ubuntu Linux有一个与众不同的特点，那就是初次使用时，你无法作为root来登录系统，为什么会这样？这就要从系统的安装说起。对于其他Linux系统来说，一般在安装过程就设定root密码，这样用户就能用它登录root帐户或使用su命令转换到超级用户身份。与之相反，Ubuntu默认安装时，并没有给root用户设置口令，也没有启用root帐户。问题是要想作为root用户来运行命令该怎么办呢？没关系，我们可以使用sudo命令达此目的。 sudo 是linux下常用的允许普通用户使用超级用户权限的工具，该命令为管理员提供了一种细颗粒度的访问控制方法，通过它人们既可以作为超级用户又可以作为其它类型的用户来访问系统。这样做的好处是，管理员能够在不告诉用户root密码的前提下，授予他们某些特定类型的超级用户权限，这正是许多系统管理员所梦寐以求的。设置分配很简单，只要为root设置一个root密码就行了： $ sudo passwd root 之后会提示要输入root用户的密码，连续输入root密码，再使用：$ su 就可以切换成超级管理员用户登陆了！ 1. 在终端执行 sudo passwd root 指令后，系统将会提示你设置一个新的 root 帐号密码。 2. 点击 System ->Preferences ->Login Window 菜单，并切换到 Security 选项页，然后选中其下的“Allow local system administrator login”选项。执行上述两步后，你便可以使用 root 帐号登录 Ubuntu 系统了。假如要再次禁用 root 帐号，那么可以执行 sudo passwd -l root。方法二：在Ubuntu中用root帐号登录其实我个人认为这没有多大必要，因为当你需要 root 的权限时，使用 sudo 便可以了。假如你实在需要在 Ubuntu 中启用 root 帐号的话，那么不妨执行下面的操作： 1.重新设置 root 的密码： $sudo passwd root #按照提示输入两次新的密码，并加以确认。 2.启用root用户登录： $sudo vi /etc/gdm/gdm.conf # 打开gnome的配置文件,在末行模式中输入：AllowRoot回车，找到AllowRoot＝false ,把false改为true，保存后退出。之后，重启系统时，就可以用 root 登录了。假如你想要禁用 root 帐号，则执行下列命令： $sudo passwd -l root Ubuntu 中的 root 帐号默认是被禁用了的。在这种情况之下，假如你想要使用 root 的权限来干些事情，就需要 sudo 指令。对某些朋友来说，他们可能需要激活 Ubuntu 中的 root 帐号。 Fedora 10 上如何让root登陆系统收藏 Fedora10默认是不允许root账号进行GUI登陆的，下面是解决方式。首先以用户账号进入终端，允许root账号登陆：首先 su [daemon] AutomaticLoginEnable=true AutomaticLogin=user_name Fedora 10的网络服务不能自动启动，同样需要修改 chkconfig --level 35 network on 假如使用GUI界面去修改网络配置，貌似那个修改程序有BUG，子网掩码改完了再打开就变成了192.168.1.1 同样，可以在文件中直接修改。文件位置：/etc/sysconfig/network-scripts/ifcfg-eth0 还可以：开机以root身份登陆系统，登陆模式是图形界面，提示无法验证用户，很纳闷，密码也没错啊，输入了几次依然提示“无法验证用户”。只好用一个普通用户登陆了。打开终端输入 su ，再输入 root 密码，成功转到 root 用户。设置开机启动模式为文本模式，重新启动到文本模式下，输入 root 和密码，登陆成功，看来在文本模式下是可以用root登陆的。不能以root身份登陆到图形模式，可能是出于安全考虑。虽然只能用普通用户登陆到图形界面，但是在图形界面模式下可以更改root的密码。选择系统-->管理-->根口令，弹出对更改root密码的对话框。 28. 图形化 root 登陆打开终端输入： su -c gedit /etc/pam.d/gdm auth required pam_succeed_if.so user != root quiet #auth required pam_succeed_if.so user != root quiet 11 中修改这个文件： /etc/pam.d/gdm-password

温馨提示：以上内容和图片整理于网络，仅供参考，希望对您有帮助！如有侵权行为请联系删除！

思维库

FIDO 认证机制遭破解，降级攻击漏洞恐成新威胁

猜你喜欢

热门排行

看了又看

最新标签

友情链接：