Sectigo 網誌
多重要素驗證（MFA）的8個常見弱點
多重要素驗證（MFA）是一項安全原則，要求用戶在取得系統存取權限前提供多種驗證要素。舉例來說，用戶可能需要提交使用者名稱、密碼，以及發送到其手機的安全驗證碼，才能登入Web應用程式。
MFA大幅提高了網絡罪犯存取企業數碼資產的難度。攻擊者若要成功入侵系統，除了使用者名稱和密碼組合外，還需要取得特定裝置的存取權限、知道安全問題的答案、獲取生物特徵數據等。
但MFA本身存在一些值得留意的固有弱點。識別這些弱點後，您可以調整MFA配置，保障存取控制系統的安全性。本文將深入分析MFA的弱點、如何使用憑證或數碼證書類身分驗證應對這些弱點，以及證書生命週期管理（CLM）在降低風險方面的作用。
MFA的8個弱點
以下8項MFA弱點會令您的系統更容易被攻擊者利用：
- 用戶缺乏用戶教育不足。用戶可能在電郵和應用程式登入時使用相同密碼，沒有意識到這會向電郵發送驗證碼的MFA系統帶來風險。
- 社交工程攻擊.在這類攻擊中，惡意行為者可能誘導員工洩露其多個帳戶或裝置的密碼，以及安全問題的答案。
- 網絡釣魚攻擊. 網絡釣魚攻擊可能導致用戶在偽造的網上表格中輸入登入憑證。攻擊者藉此可入侵用戶電郵，獲取MFA系統發送的驗證碼。
- 中間人（MITM）攻擊中間人（MITM）攻擊。MITM攻擊可在用戶向攻擊者搭建的虛假網絡輸入資訊時，截獲用戶憑證。
- 惡意軟件與鍵盤記錄器惡意軟件與鍵盤記錄器。惡意軟件（尤其是鍵盤記錄器）可記錄用戶的按鍵內容並發送給攻擊者。
- 單點故障. 如果主多因素認證（MFA）裝置或認證方式失效——例如智能手機應用程式或硬件令牌故障——用戶會被鎖定在帳戶之外。此外，用戶遭遇釣魚攻擊或社會工程學攻擊等人為失誤，也是MFA無法完全消除的故障點。
- 複雜性與可用性. MFA系統需要用戶花費心力獲取、記憶並輸入資訊，這可能導致用戶選擇設定簡單、易被破解的密碼。
- 缺乏定期更新. MFA系統供應商會持續優化產品安全性，例如強化認證協議、改進加密算法。如果不及時更新MFA系統，就無法獲得必要的安全加固。
基於數碼證書的認證相比基於憑據的認證的優勢
基於數碼證書的認證不依賴用戶手動輸入資訊，而是使用安全的數碼證書完成認證，相比MFA等基於憑據的認證體系具備一定優勢。
在基於數碼證書的認證體系中，可減少認證過程中的用戶參與度。例如，當裝置使用數碼證書訪問系統時，用戶可能無需輸入任何內容，因為加密的數碼證書本身就可作為訪問憑據。
證書生命週期管理（CLM）如何化解潛在的證書風險
儘管數碼證書能帶來顯著效益，但需要注意的是，數碼證書也可能帶來以下風險：
- 過期問題. 證書可能在用戶不知情的情況下過期，導致用戶無法訪問核心服務。
- 管理疏漏. 管理員可能忘記為已離職員工註銷對應的設備證書。
- 吊銷問題。 證書遭泄露後必須立即吊銷，否則攻擊者可利用這些證書入侵敏感系統。
借助證書生命週期管理（CLM）系統，可避免上述問題。例如，Sectigo Certificate Manager（SCM）是受信任的證書頒發機構（CA）產品，支援管理員追蹤所有證書的過期時間，避免出現意外過期的情況。SCM還可協助管理員及時吊銷泄露的證書，以及已離職員工對應的證書。
借助Sectigo Certificate Manager規避MFA的短板
可能導致MFA防護失效的因素會威脅訪問控制系統的安全性，這也凸顯了基於數碼證書的認證的優勢。Sectigo Certificate Manager 可自動監控證書全生命週期的狀態，無需人工手動追蹤證書過期情況、開展漏洞管理工作。聯絡Sectigo 了解更多資訊。