什麼是抗網路釣魚 MFA？現代安全性

什麼是抗網路釣魚 MFA？

您的使用者在凌晨 2 點剛批准了他們的第十五則 MFA 推播通知，因為警示一直不停。攻擊者現在已取得您網路的已驗證存取權。這種情境經常發生：在 2025 Verizon Data Breach Investigations Report 分析的安全事件中，MFA 疲勞攻擊占 14%，使 MFA 疲勞成為主要的繞過方法。 社交工程 已成為傳統 多重要素驗證 的主要弱點。

抗網路釣魚 MFA 透過密碼學架構消除此弱點，使憑證竊取在結構上變得不可能。根據美國國家標準與技術研究院，抗網路釣魚驗證需要「密碼或生物特徵 + 非對稱金鑰密碼學程序（PIV、CAC、FIDO2）」。美國網路安全暨基礎設施安全局（CISA）將此方法指定為「MFA 的黃金標準」，並指出僅有兩種核准的實作方式：FIDO/WebAuthn 驗證與基於 PKI 的驗證。

傳統 MFA 方法會傳輸攻擊者可攔截並重放的憑證。SMS 驗證碼、推播通知和一次性密碼並未以加密方式繫結至合法的驗證端點。攻擊者可在其有效期間內，於受害者與假登入頁面之間中繼這些資訊。抗網路釣魚 MFA 使用非對稱 密碼學，其中私鑰永遠不會離開驗證器裝置，而驗證挑戰會以加密方式繫結至特定網域。當您嘗試在釣魚網站上進行驗證時，驗證器無法產生有效簽章，因為網域不相符。驗證會在任何使用者互動可能危及安全之前失敗。

理解定義是一回事。要了解其重要性，則需要檢視如今以組織為目標的憑證型攻擊規模。

抗網路釣魚 MFA 與網路安全的關聯

FBI Internet Crime Complaint Center 在 2024 年收到 193,407 件網路釣魚投訴，代表提交至聯邦政府主要通報機制的大量網路犯罪活動。根據 Verizon 的分析，在過去 18 個月中，憑證濫用出現在 90% 已確認的 Web 應用程式外洩事件 中。

真實世界事件顯示了為何傳統 MFA 無法抵禦意志堅定的攻擊者。2022 年 9 月，Uber 發生資料外洩，原因是攻擊者以大量 MFA 推播通知轟炸一名員工，直到該員工批准其中一則。攻擊者取得了對內部系統的存取權，包括 Slack、Google Workspace 和弱點報告。2022 年 5 月，Cisco 揭露了一起外洩事件，攻擊者使用 語音網路釣魚，在竊取 VPN 憑證後說服一名員工接受 MFA 推播通知。結果是未經授權存取內部系統並外洩資料。

CISA 的威脅情報指出，包括 Scattered Spider 群體在內的對手會使用憑證攔截與中繼技術來取得網路存取權。傳統 MFA 對這些方法僅提供有限保護。抗網路釣魚 MFA 可阻止離線憑證竊取與即時網路釣魚，因為每個驗證請求都需要新的加密挑戰，而攻擊者若沒有驗證器裝置上的私鑰便無法偽造。

監控驗證模式的安全營運團隊也需要掌握驗證後行為的可視性。像 Singularity Platform 這樣的平台會將驗證事件與端點活動建立關聯，以找出攻擊者何時在合法使用者完成驗證後轉向 橫向移動 或 權限提升。但在加入監控層之前，您需要先了解讓抗網路釣魚驗證得以運作的基本構成要素。

抗網路釣魚 MFA 的核心元件

網路釣魚抗性 MFA 所依賴的憑證模型，與傳統驗證有根本上的不同。它不是使用雙方都知道的共享祕密，而是使用只有驗證器持有私鑰的非對稱金鑰對。

當您向支援 FIDO2 的服務註冊時，您的用戶端裝置會產生一組僅適用於該特定應用程式的金鑰對。您的私鑰永遠不會離開裝置。服務會註冊您的公鑰，但絕不持有祕密憑證資料。每項服務都會收到唯一的金鑰對，防止跨網站憑證關聯。生物特徵資料和私鑰會儲存在安全硬體中，以防止裝置遭入侵。

抗網路釣魚驗證依賴三種主要的驗證器類型：

• 硬體安全金鑰 提供儲存在防竄改硬體中的裝置繫結、不可匯出的金鑰。您可透過 USB、NFC 或 Bluetooth 連接它們。這些最適合用於 特權存取管理、共用工作站環境，以及需要硬體證明的高安全性情境。
• 平台驗證器 會透過 Windows Hello、Apple Touch ID 和 Face ID 直接內建於您的裝置中。根據 Microsoft 的 FIDO2 文件，這些驗證器使用硬體安全模組：Windows 上的 Trusted Platform Modules (TPMs)、Apple 裝置上的 Secure Enclaves，以及 Android 上由硬體支援的金鑰儲存區。您透過儲存在這些受硬體保護模組中的生物特徵功能與加密金鑰進行驗證。
• Passkeys 是可探索的 FIDO 憑證，且在設計上具備抗網路釣魚能力。裝置繫結的 Passkeys 儲存在硬體安全模組中且無法匯出，可提供最高等級的安全保證。同步的 Passkeys 會使用端對端 加密 在您的裝置間進行雲端同步，在優先考量便利性的同時，仍符合抗網路釣魚驗證的加密定義。

這些元件都會參與一套結構化的驗證流程，透過加密網域繫結來阻止網路釣魚。下一節將逐步說明該流程如何運作。

抗網路釣魚 MFA 的運作方式

驗證流程會在通訊協定層級透過網域繫結來阻止網路釣魚。當您啟動註冊時，信賴方網站會產生一個加密挑戰，其中包含該次註冊專屬的隨機資料。您的用戶端裝置會建立一組該網域專用的唯一金鑰對。

您的驗證器會使用新建立的私密金鑰對挑戰進行簽署，而 FIDO 伺服器會儲存與您的使用者帳戶及驗證器中繼資料相關聯的公開金鑰。在驗證期間，驗證器會提示進行生物特徵驗證、輸入 PIN，或確認實體在場。系統會驗證網域是否與該特定來源已註冊的憑證相符。如果您位於釣魚網站上，您的驗證器將找不到相符的憑證，且驗證會在您危及安全性之前失敗。

每次驗證都會產生唯一的加密簽章，無法重複使用或中繼。這使得 中間人攻擊 無效。攻擊者可以建立與合法服務完全相同的代理網站，但加密挑戰回應會繫結至特定的來源網域。代理無法偽造所需的簽章，因為它不控制合法網域，也不持有您的私鑰。

這種通訊協定層級的保護，正是讓抗網路釣魚 MFA 與大多數組織仍依賴的傳統方法區隔開來的關鍵。

抗網路釣魚 MFA 與傳統 MFA 的比較

標準 MFA 會在以密碼為基礎的登入中加入第二個驗證因子，但大多數實作仍依賴攻擊者可攔截的共享祕密。傳統方法與抗網路釣魚方法之間的差異，取決於憑證是否可能在驗證流程本身中遭竊。

傳統 MFA 方法如何失效

SMS 與語音式一次性密碼會經由電信網路傳輸，攻擊者可透過 SIM swapping 或 SS7 通訊協定濫用來攔截它們。驗證器應用程式會產生以時間為基礎的代碼，供使用者輸入登入表單，而即時網路釣魚代理會在使用者於假網站輸入這些代碼時加以擷取。 

推播通知會提示使用者核准登入請求，但 MFA 疲勞攻擊會以重複提示轟炸使用者，直到其核准其中一個為止。這些方法都會傳輸可重放的憑證，或依賴使用者判斷請求是合法還是詐騙。

抗網路釣魚 MFA 如何彌補落差

抗網路釣魚 MFA 可同時消除這兩個問題。FIDO2/WebAuthn 與以 PKI 為基礎的驗證使用非對稱式密碼學，其中私密金鑰永遠不會離開驗證器裝置，且每個驗證回應都會以密碼學方式繫結至提出請求的網域。沒有任何憑證會穿越網路供攻擊者攔截。 

請求是否合法不取決於使用者的判斷，因為通訊協定會自動強制執行網域驗證。Google 在部署 FIDO 安全金鑰後，回報其 85,000 多名員工遭受的網路釣魚攻擊成功案例為零，而 Microsoft 在其整體員工中實作抗網路釣魚 MFA，現已保護 92% 的員工帳戶 採用這些方法。

隨著攻擊者採用 AI 驅動的 社交工程，使即時憑證攔截變得更快速且更具說服力，這些方法之間的差距將持續擴大。這種持續擴大的差距，正是監管機構與標準制定組織如今要求採用抗網路釣魚方法的原因。

抗網路釣魚 MFA 合規與法規

聯邦命令與全球標準如今要求或建議採用抗網路釣魚驗證，使合規成為推動採用的主要因素之一，與安全效益並列。

推動採用的關鍵框架包括：

• OMB Memorandum M-22-09，於 2022 年 1 月依據第 14028 號行政命令發布，要求所有聯邦機構將具備抗網路釣魚能力的 MFA 導入給機構員工、承包商及合作夥伴，作為 Zero Trust 架構策略的一部分。該備忘錄明確指出，機構必須停止支援無法抵禦網路釣魚的驗證方法，包括 SMS 代碼、語音通話、一次性密碼，以及簡單的推播通知。面向公眾的政府系統也必須向一般使用者提供具備抗網路釣魚能力的選項。
• CISA 的 Zero Trust Maturity Model 將抗網路釣魚 MFA 定位為其身分識別支柱下的基礎要求。在最佳成熟度層級，組織會在所有使用者與所有存取情境中部署抗網路釣魚驗證。
• NIST Special Publication 800-63B 將驗證保證等級 3（AAL3）定義為需要具備密碼學持有證明的硬體式抗網路釣魚驗證器。

除了美國聯邦政府之外，這些要求也會影響全球受監管的產業。與聯邦機構合作的金融機構、醫療保健組織和國防承包商，必須符合相同的驗證標準。歐盟的 NIS2 Directive 要求關鍵基礎設施營運商採用更強的驗證控制，而 PCI DSS 4.0 等私部門框架現在也建議，對持卡人資料環境的管理存取採用具備抗網路釣魚能力的驗證。

延遲採用的組織將面臨監管風險與保險影響，因為網路保險業者愈來愈常要求將抗網路釣魚 MFA 作為保單承保資格條件。撇開合規不談，安全效益本身就足以構成強而有力的採用理由。

抗網路釣魚 MFA 的主要優勢

您可以消除憑證網路釣魚攻擊。根據 FIDO Alliance 2025 年調查，曾因弱密碼或遭竊憑證而發生帳戶遭入侵的 36% 的消費者，可透過密碼學繫結獲得保護，使 憑證竊取 在技術上成為不可能。

抗網路釣魚 MFA 可防禦那些會系統性破壞傳統驗證的攻擊：

• SIM 交換攻擊 中，攻擊者說服行動電信業者轉移電話號碼控制權的手法會失效，因為驗證繫結的是特定硬體上的密碼學金鑰，而非電話號碼。
• 中間對手攻擊 會擷取憑證與工作階段權杖，但此類攻擊會失效，因為每個驗證請求都需要針對合法網域的新密碼學挑戰。
• MFA 疲勞攻擊 會以核准請求轟炸使用者，但此類攻擊會失效，因為驗證需要實際持有驗證器裝置，並進行使用者在場驗證。

這些保護機制帶來具體的安全改善，但組織也必須在驗證層之外維持可視性，以找出顯示帳戶可能透過非憑證式攻擊方法遭入侵的異常存取模式。然而，要實現這些效益，仍需克服數項實作障礙。

實作抗網路釣魚 MFA 的挑戰

在整個企業中部署抗網路釣魚 MFA 並非單純的設定變更。組織會面臨架構、營運與策略層面的障礙，必須透過審慎規劃才能克服。

舊版應用程式相容性

舊版應用程式帶來最顯著的架構限制。根據 CISA 與 FIDO Alliance 的指引，FIDO2 與 WebAuthn 需要現代化的網頁瀏覽器與作業系統。使用舊版驗證通訊協定的應用程式若未進行架構修改，便無法直接支援 FIDO2。

您必須將驗證方法對應至應用程式能力：現代 Web 應用程式支援原生 FIDO2/WebAuthn，舊版應用程式可能需要以 PKI 為基礎的驗證或通訊協定橋接解決方案，而作業系統登入則需要 FIDO 安全金鑰或平台驗證器。較舊的作業系統可能需要外部驗證器，例如 FIDO2 安全金鑰。對於複雜的 IT 環境，完整的 FIDO2 遷移可能橫跨數年，並需要採用分階段部署策略，優先處理高價值使用者與系統。

身分生命週期整合

身分生命週期管理整合也需要審慎規劃。您必須將驗證器佈建與解除佈建納入既有的 IAM 工作流程，以支援 joiner-mover-leaver 事件。您的 FIDO 伺服器基礎架構需要具備使用者自助服務能力、管理生命週期控制、API 閘道整合，以及與企業部署集中式 ICAM 模型一致的原則強制執行。

不斷演變的攻擊者戰術

攻擊者會因應防禦措施而調整策略。雖然具抗網路釣魚能力的 MFA 可消除憑證網路釣魚與傳統 MFA 繞過技術，但意志堅定的攻擊者會轉向其他方法。您仍然面臨 端點入侵、應用程式弱點、針對其他安全控制的社交工程，以及 供應鏈攻擊。具抗網路釣魚能力的 MFA 提供強大的驗證安全性，但需要整合至更廣泛的 縱深防禦 策略中。即使已將這些挑戰納入考量，許多組織仍會因可避免的錯誤而削弱自身部署。

常見的具抗網路釣魚能力 MFA 錯誤

部署具抗網路釣魚能力 MFA 的組織，仍可能因實作疏失而削弱其安全態勢。最具破壞性的錯誤，會重新引入具抗網路釣魚能力驗證原本旨在封堵的相同弱點。

• 保留可回退至不具抗網路釣魚能力方法的選項 會造成可被利用的安全缺口。組織將 FIDO2 部署為主要驗證方式，卻保留 SMS 驗證碼或推播通知作為備援選項。攻擊者會找出並鎖定這些回退機制，迫使使用者進入較不安全的驗證路徑。一旦具抗網路釣魚能力 MFA 部署完成，您就必須淘汰所有舊式驗證方法，封鎖基本驗證、SMS 驗證碼，以及僅密碼存取。
• 裝置與平台涵蓋不足 會創造繞過機會。若部署規劃僅聚焦於企業管理的裝置，便會在 BYOD 情境、承包商存取及合作夥伴同盟中留下缺口。攻擊者會操弄登入流程，藉口裝置不支援強式驗證來繞過 MFA。您需要可阻止驗證降級攻擊的強制執行政策。
• 未能將驗證器整合至身分生命週期工作流程造成營運負擔與安全缺口。在到職流程中部署驗證器時，若未提供自主佈建，或在離職流程中未提供自主撤銷，將導致憑證過期失效。根據 IDManagement.gov 的 Identity Lifecycle Management Playbook，組織需要有關如何在 joiner-mover-leaver 流程中「支援具抗網路釣魚能力的驗證器」的指引。憑證生命週期管理的手動流程無法擴展，並會造成前員工仍保有驗證能力的時間空窗。
• 帳戶復原規劃不足 會造成額外弱點。若您未在註冊期間要求登錄多個驗證器，僅有單一驗證器的使用者在遺失安全金鑰或更換手機卻未移轉憑證時，將面臨帳戶鎖定。根據 FIDO Alliance 企業部署指南，要求登錄多個驗證器可防止帳戶鎖定。復原機制必須維持抗網路釣魚特性，以避免形成社交工程攻擊面。

這些錯誤都有一個共同點：它們會引入缺口，使您的驗證態勢回到具抗網路釣魚能力 MFA 原本設計要消除的相同弱點。以下最佳實務可協助您避免這些問題。

具抗網路釣魚能力 MFA 最佳實務

成功的部署會遵循結構化方法，在安全收益與營運就緒之間取得平衡。這些實務參考了 CISA 指引、FIDO Alliance 企業部署建議，以及已記錄的聯邦機構實作。

以集中式身分基礎架構為基礎

從集中式 Identity, Credential, and Access Management 平台開始。美國農業部的 FIDO 實作被 CISA 記錄為成功案例，該實作利用既有的 SSO 平台啟用 FIDO 驗證方法。USDA 透過集中式架構，為沒有 PIV 卡的使用者提供具抗網路釣魚能力的驗證。以既有身分基礎架構為基礎，可讓您更快部署並提供更佳的使用者體驗。

優先保護高價值使用者與系統

立即為系統管理員、高階主管、律師、人資人員及最高管理層部署具抗網路釣魚能力 MFA。聚焦於高度受鎖定的資源，例如電子郵件系統、檔案伺服器、 遠端存取 系統，以及管理主控台。如此可降低風險集中度，並在全企業推行前，先以有限的使用者族群累積營運經驗。

實施分階段強制執行

先向已準備好在受管理裝置上採用無密碼驗證的使用者發放具抗網路釣魚能力的憑證。接著推進至要求以具抗網路釣魚能力 MFA 存取資源的政策強制執行。最後要求所有使用者皆以具抗網路釣魚能力的憑證進行驗證，完成轉換。這種分階段方法可避免營運中斷，同時在每個階段維持安全態勢改善。

支援多種具抗網路釣魚能力的方法

規劃同時支援 FIDO2 與 PKI 型方法的混合驗證策略。FIDO2 為雲端應用程式提供最佳使用者體驗，而以 PKI 憑證為基礎的驗證則為具有嚴格法規要求的舊式系統提供成熟基礎架構。支援多種具抗網路釣魚能力的方法，可在不回退至不具抗網路釣魚能力選項而犧牲安全性的情況下提供彈性。

要求登錄多個驗證器

在初始註冊期間要求登錄多個驗證器，以防止帳戶鎖定情境。組織可同時要求平台驗證器與硬體安全金鑰，或支援同類型的多個驗證器作為備援憑證。復原流程應透過備援驗證器或安全帳戶復原程序等機制，維持密碼學安全特性。

淘汰舊式驗證方法

一旦部署已足夠完整，即強制徹底淘汰舊式驗證方法。您的政策引擎會在所有應用程式中封鎖基本驗證、SMS 驗證碼、僅密碼存取，以及傳統推播通知。定期稽核可找出仍接受舊式驗證的應用程式，並優先推動其移轉或除役。

遵循這些實務可為您建立強大的驗證基礎，但僅靠驗證本身並無法涵蓋完整的 攻擊面。您也需要掌握使用者成功登入後發生的情況。

以 SentinelOne 強化具抗網路釣魚能力 MFA

SentinelOne's Singularity Platform 提供身分威脅偵測與回應（ITDR）能力，將驗證安全延伸至登入後活動。該平台會關聯驗證事件與端點行為、網路活動及使用者動作。 Purple AI 透過自然語言查詢加速驗證異常的調查，將警示量減少 88%，並降低安全團隊在驗證模式分析上投入的人工作業。您可掌握驗證速度異常、地理位置不可能情境、裝置指紋變更，以及暗示憑證遭濫用的存取模式偏差。

Singularity Identity 以即時防禦保護您的身分基礎架構，涵蓋 Active Directory 與包括 Entra ID 在內的雲端身分提供者。當行為異常顯示出不尋常的權限提升、憑證傾印嘗試，或驗證事件後的橫向移動時，Singularity Platform 的 Storyline 技術會重建完整攻擊敘事，實現更快速的調查與自主回應。

具抗網路釣魚能力 MFA 可建立結構上安全的驗證基礎。您可透過部署互補的 資安工具 來最大化這項投資，這些工具可監控驗證後活動、找出顯示入侵的行為異常，並對鎖定憑證層之外弱點的威脅進行自主回應。

向 SentinelOne 申請示範，了解驗證事件與端點行為的關聯如何提供完整的威脅可視性。

Reduce Identity Risk Across Your Organization

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

重點摘要

抗網路釣魚 MFA 透過非對稱密碼學與網域綁定來消除憑證網路釣魚，使憑證竊取在結構上變得不可能。CISA 將 FIDO/WebAuthn 和以 PKI 為基礎的驗證指定為唯一核准的抗網路釣魚方法。 

傳統 MFA 在面對現代攻擊時會系統性失效，其中 MFA 疲勞出現在 14% 的事件中，而憑證濫用導致了 90% 的 Web 應用程式外洩事件。