新型 FIDO 降级攻击曝光，可绕过微软认证机制
8 月 14 日消息，科技媒体 bleepingcomputer 于 8 月 13 日发布博文称，安全研究人员发现一种新型 FIDO 降级攻击，该攻击能够绕过微软 Entra ID 中的 FIDO 认证机制，诱使用户采用较弱的验证方式登录，进而使用户面临中间人钓鱼攻击的风险。
FIDO 是 Fast Identity Online 的缩写，是一套开放标准，旨在实现无密码认证，以提升账户安全性。来自 Proofpoint 的安全专家近日披露了这种新型攻击方式，其并非利用 FIDO 协议本身的漏洞，而是通过操纵浏览器的 User Agent 信息(浏览器向服务器标识自身信息的字符串，用于判断设备与浏览器兼容性)来实施攻击。攻击者会将 User Agent 伪装成不支持 FIDO 的环境，使得系统自动关闭 FIDO 认证，并提示用户选择其他验证方法。
攻击流程通常始于钓鱼链接。当用户点击该链接后，会被跳转到由 Evilginx 等中间人攻击框架搭建的伪造登录页面。此页面虽代理了真实的 Entra ID 登录表单，但攻击者配置的 “phishlet” 模块伪造了不支持 FIDO 的 User Agent。系统检测到这一伪造信息后，会禁用 FIDO 功能，并返回错误提示，引导用户选择微软验证器应用、短信验证码或一次性密码等替代验证方式。而这些替代方法的验证数据在传输过程中可被攻击者截取。
一旦用户完成替代验证，攻击者即可通过代理服务器获取完整的登录凭证及会话 Cookie，并将其导入本地浏览器，从而完全接管用户账户。尽管目前尚未出现实际利用该攻击方式的案例，但相关专家指出，这种攻击适用于高度针对性的高级持续性威胁场景，企业和用户需保持警惕，加强安全防范措施，如定期更新系统和安全软件、提高用户安全意识等，以应对潜在的安全风险。
创业版企业上市条件解析
本文详细解析了创业版企业上市所需的基本条件，包括财务标准、业务模式、市场审核等方面的内容，为企业成功上市提供了全面的指南。
免费AI机器人软件的探索之旅
本文介绍了市场上几款优秀的免费AI机器人软件，包括OpenAI的GPT系列模型、InVision的A/B Testing工具以及Google Cloud提供的免费AI服务。还推荐了一些适合初学者的开源AI项目和机器学习框架，帮助用户在不花费一分钱的情况下，充分利用AI的强大功能。
未来科技：AI与人类共生的新篇章
本文探讨了人工智能（AI）与人类共生的未来趋势，分析了技术进步带来的机遇与挑战，并提出了相应的对策建议。文章强调了在享受AI便利的同时，必须关注其对就业市场的影响以及伦理道德问题的重要性。
探索未来科技：人工智能如何重塑我们的世界
本文探讨了人工智能如何改变我们的日常生活、工作方式以及医疗领域等多个方面。通过分析AI技术的优势与挑战，提出了应对策略和建议。
