MFA 疲勞攻擊：重新思考企業身份認證方式

在9 月優步大規模數據泄露事件中，攻擊者竊取用戶名和密碼後發起了一種 MFA「疲勞攻擊」：攻擊者嘗試登入時，合法用戶會反覆收到一次性密碼驗證請求（通常是發送至流動裝置的「推送通知」），最終用戶為了停止接連不斷的驗證提示，會同意驗證請求，讓攻擊者成功登入。

這類攻擊十分常見。在近期的優步數據泄露事件中，入侵得以實現主要有兩點原因：一是社會工程攻擊（包括透過偽造中繼網站繞過 MFA），二是攻擊者發現了腳本中硬編碼的特權憑證。

落入此類攻擊陷阱的用戶只是按照培訓要求操作，也就是響應 MFA 驗證請求以確認自身數碼身份。問題根源在於共享密鑰本身的弱安全性。如果為用戶提供強度更高的認證控制手段，就可以緩解這類人為因素導致的安全問題。

企業應當採用哪些替代 MFA 方案？

簡言之，不易受社會工程攻擊影響的認證機制是更優的替代方案。一次性密碼和密碼一樣，都屬於共享密鑰的一種形式。遺憾的是，多數基於共享密鑰的認證控制手段都易受社會工程攻擊。合法用戶經過培訓，遇到驗證請求就會輸入一次性密碼，但這種操作的前提是用戶知道自己正在響應合法的認證請求、提供密鑰。在社會工程攻擊誘導下，用戶可能察覺不到自己正在把密鑰泄露給攻擊者。

可以透過基於公鑰基礎設施（PKI）的存取這類現代方案抵禦此類攻擊。基於 PKI 的客戶端數碼證書不依賴共享密鑰，可用於實現與密碼無關的更強認證控制。對於企業用戶而言，集中管理的客戶端數碼證書作為一種「無密碼」認證機制，是更優的替代選擇。

無論企業的安全文化建設多麼完善，只要存取仍由傳統的用戶名-密碼憑證控制，這些底層漏洞就會一直存在。

歡迎收聽近期的《Root Causes》播客第 249 期《什麼是 MFA 疲勞攻擊？