多因素认证
该标签下有 5 篇文章
Perry Johnson & Associates（PJ&A）医疗数据泄露：四个州就最高 1000 万美元达成和解（涉及 1330 万人），泄露了什么、该怎么做
2026 年 11 月 6 日，纽约州、康涅狄格州、密歇根州和新泽西州的总检察长宣布，与医疗转录和编码公司 Perry Johnson & Associates, Inc.（PJ&A）及其四家关联公司（合称 Perry Johnson 各公司）达成和解。和解涉及 2023 年 3 月的一起数据泄露，全美约 1330 万人受到影响。据各州称，泄露的信息包括姓名、出生日期、家庭住址、社会安全号码、医院账号、诊断和保险信息，以及转录文件中的检查结果和药物名称等临床信息。各州称，黑客使用了 PJ&A Coding 一名员工的凭据，远程访问不要求多重身份验证，一家关联公司的软件记录了黑客的活动但没有向安全人员发出警报，PJ&A 大约两个月后在黑客联系它时才得知泄露。和解金额最高 1000 万美元：现在至少支付 30 万美元的罚款，另外 970 万美元只有在各公司未能履行协议条款时才需支付。各公司必须维持安全计划，采用多重身份验证和加密，每年进行风险评估，并规范健康数据的保存期限。本站的结论是：如果您在 2023 年收到过通知，这次和解不会增加新的步骤，但由于涉及社会安全号码和诊断，请继续保持信用冻结，并继续检查医疗账单。
SonicWall SonicOS SSL-VPN CVE-2026-19868：SAML 及其 MFA 可被绕过，已列入 CISA KEV（请升级 Gen7 和 Gen8）
CVE-2026-19868 是 SonicWall 防火墙操作系统 SonicWall SonicOS 的 SSL-VPN 服务中的一个漏洞。根据 SonicWall 在2026年11月6日发布的公告 SNWLID-2026-0014，在为 SSL-VPN 登录启用了 SAML 的防火墙上，持有另一种身份验证方式有效凭据的用户可能绕过 SAML 身份验证控制，以及随之绕过 SAML 所强制的多因素认证（MFA）。SonicWall 表示，其安全团队调查了一份显示可能存在利用的报告。CISA 于11月6日将该 CVE 加入其已知被利用漏洞（KEV）目录，截止日期为11月20日。受影响：SonicOS 7.3.3-7015 及更早版本的 Gen7 防火墙，以及 8.2.2-8015 及更早版本的 Gen8 防火墙。已修复：7.3.4-7013 和 8.2.3-8015 或更高版本。没有临时解决方法。同一公告还涵盖另外六个 CVE，包括管理接口中的漏洞，以及 SSL-VPN 中一个无需身份验证即可使服务停止的漏洞。本站的结论：如果您运行 Gen7 或 Gen8 的 SonicWall 防火墙，无论是否使用 SAML，都请立即升级；如果您依靠 SAML 和 MFA 保护 VPN 登录，请检查还有哪些其他账户仍然可以登录 SSL-VPN。
当你的虚拟主机服务商被入侵时：客户应该做什么
服务商一侧被入侵，客户的设置挡不住，所以防御的重点从预防转向限制可能的损失。9 月 10 日的调查结果确认了最关键的部分：对销售管理系统的未授权访问发生在 2023 年 4 月至 2026 年 3 月之间，受影响的主机账户从 583 个增加到 951 个，而且部分初始密码没有经过哈希处理。本站的看法：把共享主机上的一切都当作可被读取，把密钥、凭据和备份放到服务商之外，如果仍在使用初始密码，今天就改掉。
什么是一次性密码（OTP）？TOTP/HOTP/SMS 的区别与局限
一次性密码（OTP）是一次使用后即失效的短命一次性验证码。类型有：身份验证器应用的 TOTP（基于时间）、HOTP（基于计数器）、以及 SMS-OTP。它对泄露和重用的密码很强，常作为 2FA 中「你拥有的东西」这一因素。但它有局限：中间人（AiTM）钓鱼能通过假网站中继 OTP 并照样进入。更强的抗钓鱼能力来自绑定域名的通行密钥。OTP 是「远胜于没有，但不是最后一步」。
什么是双因素认证（2FA）— 与两步验证的区别、各方式的强弱
双因素认证（2FA）是在「你知道的东西（密码）」之外，叠加「你拥有的东西・你本身（验证码、密钥、生物识别）」这类不同类别的证明，从而强化本人验证的机制。严格来说它与常被混淆的两步验证（确认两次，未必是两个类别）并不相同。强度取决于方式：SMS/邮件 < 身份验证器应用（TOTP）< 通行密钥/物理密钥（FIDO2）。本站的立场：先在所有账户上开启某种 2FA，再把重要账户迁移到无法对钓鱼网站出示的方式。