新型 FIDO 降级攻击曝光，可绕过微软认证机制

科技讯

2025

08/14

11:50

IT之家

　　8 月 14 日消息，科技媒体 bleepingcomputer 于 8 月 13 日发布博文称，安全研究人员发现一种新型 FIDO 降级攻击，该攻击能够绕过微软 Entra ID 中的 FIDO 认证机制，诱使用户采用较弱的验证方式登录，进而使用户面临中间人钓鱼攻击的风险。

　　FIDO 是 Fast Identity Online 的缩写，是一套开放标准，旨在实现无密码认证，以提升账户安全性。来自 Proofpoint 的安全专家近日披露了这种新型攻击方式，其并非利用 FIDO 协议本身的漏洞，而是通过操纵浏览器的 User Agent 信息(浏览器向服务器标识自身信息的字符串，用于判断设备与浏览器兼容性)来实施攻击。攻击者会将 User Agent 伪装成不支持 FIDO 的环境，使得系统自动关闭 FIDO 认证，并提示用户选择其他验证方法。

　　攻击流程通常始于钓鱼链接。当用户点击该链接后，会被跳转到由 Evilginx 等中间人攻击框架搭建的伪造登录页面。此页面虽代理了真实的 Entra ID 登录表单，但攻击者配置的 “phishlet” 模块伪造了不支持 FIDO 的 User Agent。系统检测到这一伪造信息后，会禁用 FIDO 功能，并返回错误提示，引导用户选择微软验证器应用、短信验证码或一次性密码等替代验证方式。而这些替代方法的验证数据在传输过程中可被攻击者截取。

　　一旦用户完成替代验证，攻击者即可通过代理服务器获取完整的登录凭证及会话 Cookie，并将其导入本地浏览器，从而完全接管用户账户。尽管目前尚未出现实际利用该攻击方式的案例，但相关专家指出，这种攻击适用于高度针对性的高级持续性威胁场景，企业和用户需保持警惕，加强安全防范措施，如定期更新系统和安全软件、提高用户安全意识等，以应对潜在的安全风险。

THE END

微软

免责声明：本文系转载，版权归原作者所有；旨在传递信息，不代表一点科技的观点和立场。

为你推荐

苹果关闭iOS 13.6验证不允许用户降级还想降级，那么就要慎重了

今天，苹果再次对iOS13系统做出了调整，如果你还想降级，那么就要慎重了。按照苹果最新的做法，今天他们停止了对iOS13.6的验证，这意味着用户无法再降级到该版本（目前只有iOS13.6.

落实等保2.0建设锐捷安全为云南迪庆州教育城域网保驾护航

随着自动化攻击工具的应用，网络攻击的技术门槛不断降低，各种类似勒索病毒、挖矿病毒等的新型攻击手段层出不穷。如何布局网络安全建设，成为云南迪庆州教育局信息化建设新的

谷歌公开Windows zero-day攻击信息微软已着手修复

【CNMO新闻】谷歌近日透露，该公司上周修补的ChromeZero-Day版补丁实际上是与第二版一起使用，这对微软Windows7Zero-Day操作系统会有影响。攻击者使用Chrome和Windo

系统更新提醒！WiFi芯片漏洞曾使苹果设备更易遭到攻击

IT之家2月27日消息据外媒报道，赛普拉斯半导体(CypressSemiconductor)与博通(Broadcom)制造的WiFi芯片存在一个漏洞，导致数十亿设备容易受到攻击，从而使攻击者可以对发送