MFA
该标签下有 9 篇文章
FortiBleed（FortiGate 凭证泄露，约74,000台设备）：并非新漏洞，管理员和VPN密码必须更改
FortiBleed是对FortiGate管理员和SSL VPN凭证的大规模泄露与滥用。FortiGate是Fortinet的防火墙和VPN设备。2026年6月18日，CISA警告与约74,000台设备相关的凭证已经泄露。6月19日，Fortinet表示这不是新漏洞，此次活动可能涉及重复使用既往事件中的凭证，以及对密码较弱且未启用多因素认证的设备进行暴力破解。6月23日，JPCERT/CC发布通报称，已确认泄露数据包含与日本企业相关的信息。10月6日，FBI和美国特勤局警告此类活动仍在持续，部分管理员已被锁定在设备之外，且此类访问已被用作勒索软件的入口。升级到已修复的固件并不会使已泄露的密码失效。本站结论：如果您使用FortiGate，请更改管理员和VPN密码，启用多因素认证，将管理界面从互联网上移除，并删除管理员密码的旧版SHA-256副本。
大家都把密码存在哪里？数据告诉你真相 —— 以及安全的做法
权威调查显示，约 54% 的人靠记忆，约 33% 把密码写在纸上，只有约 36% 使用专用密码管理器 —— 还有约 25% 在重复使用密码。与此同时，Verizon 的 DBIR 发现约 38% 的数据泄露涉及凭据被盗，而泄露数据中约 74% 的密码是被重复使用的。总之：最常见的保管习惯，最容易被攻击者利用。安全的基本做法是一个管理器（每个网站一个唯一密码）＋为重要账号开启 passkey/MFA。
AI 时代的安全防护｜个人开发者现在就该夯实的基本功（按优先级排序的清单）
AI 强化的不是『新弱点』，而是『自动、大规模地利用既有弱点』那一侧。所以比起特别的新对策，按正确的顺序夯实基本功才是最好的准备。CVE 立即打补丁＋依赖监控、停止密码复用＋MFA、清除暴露的机密、最小权限、收缩公开面、日志/IOC 的准备、备份——全都用一份按优先级排序的清单讲清楚。
什么是网络钓鱼（Phishing）？手法种类，以及比识破更可靠的防御
网络钓鱼是冒充可信对象、诱导你进入伪造的登录页面等，窃取凭据或个人信息（或诱使你运行恶意软件）的诈骗。它的特点是攻击『人的判断』而非软件漏洞，是勒索软件与信息泄露最大的入侵入口。如今有以假乱真的假网站连一次性验证码都实时中继的中间人型(AiTM)，连SMS/应用的MFA也可能被突破。可靠的防御不是『识破的注意力』，而是与域名绑定的抗钓鱼MFA(通行密钥/物理密钥)、不点链接而直接访问官方、以及邮件认证(SPF/DKIM/DMARC)。
多因素认证(MFA)如何正确选择：「抗钓鱼」是什么，SMS 为什么弱
MFA 组合不同类别的因素。手动输入的验证码可能被钓鱼中继，SMS 还依赖对手机号的控制。重要账户应优先考虑通行密钥或 FIDO2 安全密钥等抗钓鱼方式，并检查用户验证要求和恢复流程。
密码管理器安全吗？工作原理与云端、本地的区别，以及如何选择
密码管理器帮助你为每项服务使用强且不重复的密码。零知识加密旨在提供方泄露加密数据时保护内容，但安全性还取决于主密码强度、加密设置和设备安全。通过 MFA 防止未经授权的登录，并按用途选择云端型或本地型。
个人开发 / 小规模运营的安全底线：按优先级排列的行业标准对策
最低限度的对策并非『全都一样重』。本站的优先级 ＝ ①管理账户·域名·邮箱（多因素认证）②密钥与代码 ③应用本体 ④补丁 / 检测 / 恢复。资源有限的个人，按这个顺序从上往下填才是正解。多数事故并非新型攻击，而是这些基本对策的缺失造成的。
安全使用手机的基础：保护集中了密码、支付和身份证的那一台设备
手机是把二要素、邮件、银行、身份证集中到一台设备上，一旦丢失就会影响许多服务（单点故障）。最有效的防护不是安全 app，而是①强锁屏＋短自动锁屏（密码就是加密的钥匙）②OS／app 自动更新 ③官方商店＋权限复查 ④事先设好丢失时的远程锁定／擦除 ⑤二要素的“备份”（纸质备份码）。OS 默认已做加密与沙箱隔离。
把密码存到 Google Drive 安全吗？正确的保管方法
把密码以明文形式保存在 Google 文档/电子表格里很危险：一个 Google 账号会成为全部密码的单点故障，账号被盗、恶意关联应用、钓鱼都能让全部密码一次性泄露。最安全的选择是专用密码管理器（即使同步，内容也保持加密）。如果非要用 Drive，就只放加密过的管理文件，并为账号开启抗钓鱼 MFA。