多因素驗證
該標籤下有 5 篇文章
Perry Johnson & Associates（PJ&A）醫療資料外洩：四個州就最高 1000 萬美元達成和解（涉及 1330 萬人），外洩了什麼、該怎麼做
2026 年 11 月 6 日，紐約州、康涅狄格州、密歇根州和新澤西州的總檢察長宣佈，與醫療轉錄和編碼公司 Perry Johnson & Associates, Inc.（PJ&A）及其四家關聯公司（合稱 Perry Johnson 各公司）達成和解。和解涉及 2023 年 3 月的一起資料外洩，全美約 1330 萬人受到影響。據各州稱，外洩的資訊包括姓名、出生日期、家庭住址、社會安全號碼、醫院帳號、診斷和保險資訊，以及轉錄檔案中的檢查結果和藥物名稱等臨床資訊。各州稱，駭客使用了 PJ&A Coding 一名員工的憑據，遠端存取不要求多重要素驗證，一家關聯公司的軟體紀錄了駭客的活動但沒有向安全人員發出警報，PJ&A 大約兩個月後在駭客聯絡它時才得知外洩。和解金額最高 1000 萬美元：現在至少支付 30 萬美元的罰款，另外 970 萬美元只有在各公司未能履行協議條款時才需支付。各公司必須維持安全計劃，採用多重要素驗證和加密，每年進行風險評估，並規範健康資料的儲存期限。本站的結論是：如果您在 2023 年收到過通知，這次和解不會增加新的步驟，但由於涉及社會安全號碼和診斷，請繼續保持信用凍結，並繼續檢查醫療帳單。
SonicWall SonicOS SSL-VPN CVE-2026-19868：SAML 及其 MFA 可遭繞過，已列入 CISA KEV（請升級 Gen7 與 Gen8）
CVE-2026-19868 是 SonicWall 防火牆作業系統 SonicWall SonicOS 的 SSL-VPN 服務中的一個漏洞。根據 SonicWall 於2026年11月6日發布的公告 SNWLID-2026-0014，在為 SSL-VPN 登入啟用 SAML 的防火牆上，持有另一種身分驗證方式有效憑證的使用者可能繞過 SAML 身分驗證控制，並連帶繞過 SAML 所強制的多因素驗證（MFA）。SonicWall 表示，其資安團隊調查了一份顯示可能遭利用的回報。CISA 於11月6日將該 CVE 加入已知遭利用漏洞（KEV）目錄，期限為11月20日。受影響：SonicOS 7.3.3-7015 及更早版本的 Gen7 防火牆，以及 8.2.2-8015 及更早版本的 Gen8 防火牆。已修補：7.3.4-7013 與 8.2.3-8015 或更新版本。沒有暫時性解決方法。同一公告還涵蓋另外六個 CVE，包括管理介面中的漏洞，以及 SSL-VPN 中一個無需身分驗證即可使服務停止的漏洞。本站的結論：如果您執行 Gen7 或 Gen8 的 SonicWall 防火牆，無論是否使用 SAML，都請立即升級；如果您依靠 SAML 與 MFA 保護 VPN 登入，請檢查還有哪些其他帳戶仍可登入 SSL-VPN。
網站主機服務商被入侵時：客戶該做什麼
服務商端的入侵無法靠客戶的設定擋下，所以防禦的重點要從預防轉為限制可能的損失。9 月 10 日的調查結果確立了最重要的部分：對業務管理系統的未經授權存取發生於 2023 年 4 月至 2026 年 3 月之間；受影響的主機帳戶從 583 增加到 951；部分初始密碼沒有經過雜湊。本站的看法：把共享主機上的一切都當成可能被讀取，把機密、帳密和備份移到服務商之外，並在今天更改仍在使用的初始密碼。
什麼是一次性密碼（OTP）？TOTP/HOTP/簡訊的差異與限制
一次性密碼（OTP）是一種用過一次就失效的短命拋棄式驗證碼。種類有驗證器 App 的 TOTP（以時間為基礎）、HOTP（以計數為基礎）、SMS-OTP（用簡訊送達）。它對固定密碼的外洩與重複使用有很強的防護，常被當作雙因素驗證中『你擁有的東西』這個因素。不過它有限制：中間人（AiTM）釣魚仍可透過假網站中繼 OTP 而攻破。更強的抗釣魚能力來自繫結在網域上的通行金鑰。OTP 是『比什麼都沒有好得多，但不是最後一步』。
什麼是雙因素驗證（2FA）？與兩步驟驗證的差異，以及各方式的強弱
雙因素驗證（2FA）是在『你知道的東西（密碼）』之上，加上『你擁有的東西・你本人（驗證碼・金鑰・生物特徵）』這種不同類別的證明，來強化身分確認的機制。它與常被混淆的兩步驟驗證（確認兩次）在嚴格意義上是不同概念，密碼加上透過手機號碼接收的簡訊驗證碼，可組合知識與持有兩種因素；密碼加安全提示問題才是同類別的兩個步驟。強度由方式決定：簡訊/郵件 < 驗證器 App（TOTP） < 通行金鑰/實體金鑰（FIDO2）。本站的立場是：先不論如何都要開啟某種 2FA，再往無法交給釣魚網站的方式靠攏。