什麼是失效驗證？成因、影響與預防

什麼是失效驗證？

失效驗證是一類漏洞，會讓攻擊者利用應用程式在驗證身分以及維持該已驗證狀態方式中的弱點，進而危害使用者身分。當登入機制、工作階段管理或認證復原流程存在缺陷時，攻擊者便可冒充合法使用者、提升權限，並在未經授權的情況下存取系統。

自該專案早期版本以來，這項漏洞一直出現在每一版 OWASP 清單中。OWASP 隨時間重新命名並細化了此類別，反映的是對驗證相關弱點更廣泛的涵蓋，而非其重要性有所降低。

失效驗證的範圍遠不只是簡單的密碼猜測。它涵蓋 憑證填充、工作階段固定、MFA 繞過、權杖偽造、硬式編碼認證，以及關鍵功能缺少驗證。整個類別的根本 CWE 為 CWE-287，而在較新的 OWASP 分類中，還有一組廣泛的相關 CWE 被映射到此類別中。

根據 DBIR 報告，憑證濫用仍是資料外洩事件中主要的初始存取方法之一。若您了解失效驗證的運作方式，就能更有效地阻止它。

失效驗證如何運作？

失效驗證會利用 兩個不同失敗領域中的缺陷：驗證，涵蓋應用程式如何確認您是誰；以及工作階段管理，涵蓋它們如何在您造訪期間維持該已驗證身分。每個領域都呈現不同的攻擊面，但兩者都會導致相同結果：未經授權的存取。

驗證失敗

當應用程式未能正確驗證使用者身分時，攻擊者就能從正門進入。憑證填充攻擊會將遭竊的使用者名稱與密碼配對提交到您的登入端點。若您的應用程式缺少速率限制或帳戶鎖定機制，攻擊者便可大規模測試認證，直到找到有效配對為止。

攻擊流程很直接。攻擊者從先前的資料外洩事件中取得認證傾印資料。他們將這些配對輸入自動化工具，鎖定您的登入頁面。應用程式接受每一次嘗試，沒有節流、鎖定或 CAPTCHA。當有效配對吻合時，攻擊者便取得完整帳戶存取權。

暴力破解 遵循類似模式，但會產生密碼組合，而不是重放已知認證。 密碼噴灑 則採取相反方式：同時以常見密碼測試多個帳戶，以避免觸發每個帳戶的鎖定門檻。

工作階段管理失敗

即使您已正確完成驗證，工作階段處理中的缺陷仍可能將該已驗證狀態交給攻擊者。在工作階段固定攻擊（CWE-384）中，攻擊者會在您登入前設定已知的工作階段 ID。若您的應用程式在成功驗證後未重新產生工作階段 ID，攻擊者就能使用預先設定的 ID 存取您已驗證的工作階段。

工作階段權杖暴露會形成另一條路徑。當工作階段 ID 出現在 URL 中時，它們會被記錄在伺服器存取日誌、瀏覽器歷程記錄與 HTTP referrer 標頭中。取得該 URL 的攻擊者也就取得了該工作階段。工作階段到期機制不足（CWE-613）會讓問題更加嚴重：如果您關閉瀏覽器分頁卻未登出，之後使用同一瀏覽器的人可能會發現您的工作階段仍處於啟用狀態。

MFA 繞過

多重要素驗證 增加了第二層驗證，但攻擊者已發展出可靠的繞過技術。MFA 疲勞，有時稱為提示轟炸，會以推播通知淹沒使用者裝置，直到他們為了停止干擾而核准其中一則。Uber 資料外洩事件常被引用為範例，說明遭竊認證、重複的 MFA 提示，以及社交工程 如何串連起來，以取得對內部系統的存取權。

這些機制之所以有效，是因為失效驗證很少只是單一缺陷。它是一連串弱點，從弱認證到缺少速率限制再到不良的工作階段處理，攻擊者會依序加以利用。

失效驗證的類型

失效驗證不是單一漏洞，而是一個涵蓋六種不同失敗類型的類別。每一種都針對驗證堆疊中的不同層，並需要不同控制措施來阻止。

了解特定應用程式中存在哪一種類型，可決定應套用哪些控制措施，以及應尋找哪些鑑識證據。憑證填充攻擊需要速率限制和 MFA；而管理員 API 上缺少驗證則需要根本不同的回應。

失效驗證的成因

失效驗證並非源自單一設計錯誤。它是由四類弱點相互疊加而形成， OWASP 指引 將其識別為與其他 Top 10 風險相互關聯，包括失效的存取控制、加密失敗，以及過時的程式庫。

憑證政策失敗

允許弱密碼、預設密碼或眾所周知的密碼，仍然是最根本的原因。當您的應用程式在未強制執行任何要求的情況下接受常見預設密碼時，您就等於為攻擊者提供了輕易的入侵點（CWE-521）。NIST 63B-4 要求驗證者將新密碼與已知遭洩露密碼清單進行比對，但許多應用程式仍然略過這一步。

密碼重複使用會放大這個問題。 DBIR report 強調跨服務重複使用密碼仍然很常見，這使得遭竊憑證對攻擊者而言更有價值。

驗證流程設計失敗

缺少 MFA（CWE-308）會使帳戶僅受單一因素保護，而該因素可能遭竊取、猜測或網路釣魚。依賴知識型答案的弱憑證復原機制，會建立一條可被輕易猜中的平行驗證路徑。登入嘗試缺乏速率限制（CWE-307）讓攻擊者可以毫無後果地測試大量組合。

原始碼或組態檔中的硬編碼憑證（CWE-798）代表完整的設計失敗。這項弱點出現在近期的 CWE Top 25 排名中，且已由 CISA alert 在對工業控制系統的實際利用中獲得證實。

工作階段生命週期管理失敗

三種工作階段生命週期失敗會形成直接的利用路徑：

• 登入後未重新產生工作階段 ID 會導致 session fixation 攻擊
• 允許工作階段在沒有閒置或絕對逾時的情況下持續存在，會延長工作階段劫持的時間窗口
• 將工作階段權杖嵌入 URL 而非安全 Cookie 中，會透過每個記錄或快取該 URL 的系統洩露憑證

這些失敗中的每一項都會獨立提高風險；合併起來時，則會為攻擊者提供多種維持未授權存取的選項。

加密與傳輸失敗

以明文儲存密碼、使用可逆加密，或套用弱雜湊 演算法意味著任何資料庫外洩都會直接暴露憑證。傳輸失敗，例如不當的憑證驗證 (CWE-295)，會讓攻擊者攔截驗證流量。這些原因經常與 OWASP A02:2021 Cryptographic Failures 重疊，顯示失效的驗證如何與其他弱點類別交互影響。

這四個類別很少單獨出現。薄弱的憑證政策會讓憑證填充攻擊成為可能；缺少速率限制會讓它變得可行；不良的工作階段管理則會在攻擊者入侵後延長其活動時間。了解您的系統中存在哪些原因，將決定風險的嚴重程度以及應從何處開始修補。

失效驗證的影響與風險

失效驗證的後果，從個別帳戶遭入侵到組織範圍的資料外洩皆有可能，並伴隨法規、財務與營運層面的衝擊。

外洩普遍性

驗證失敗是最常被利用的初始存取路徑之一。這份 DBIR report 證實，憑證濫用仍然是資料外洩的主要驅動因素。在基本的 Web 應用程式攻擊中，遭竊憑證在金融服務業中特別常見。

財務後果

這份 IBM report 發現，2024 年全球資料外洩的平均成本達到 488 萬美元，較前一年增加 10%。 Financial services organizations 平均每起外洩成本為 608 萬美元，比全球平均高出 22%。除了直接支出之外，70% 的遭外洩組織回報出現重大或中度的營運中斷。

連鎖業務影響

失效驗證很少會被侷限在單一範圍內。遭入侵的憑證會成為橫向移動、權限提升、資料外洩，以及部署勒索軟體的樞紐點。Verizon DBIR 發現，勒索軟體受害與受害者網域出現在憑證傾印中的情況之間存在關聯，直接將驗證弱點與勒索軟體風險連結起來。

失效驗證並非抽象的應用程式安全議題。它是資料外洩開始的主要機制之一。

攻擊者如何利用失效驗證

攻擊者會根據其發現的特定驗證弱點選擇手法。以下是主要的利用技術，並對應到其鎖定的 CWE。

MFA 疲勞與社交工程

當 MFA 阻擋憑證填充攻擊時，攻擊者會升級為社交工程。MFA 疲勞會反覆向合法使用者發送推播通知，直到對方核准其中一則。CISA 公告記錄了一種相關技術：在對休眠帳戶的弱密碼進行暴力破解後，攻擊者註冊了新的 MFA 裝置，因為 Duo 的預設設定允許非使用中帳戶重新註冊，從而取得網路存取權。

SAML 權杖偽造

在 SolarWinds/SUNBURST 活動中，攻擊者從 Active Directory Federation Services 容器中擷取私密加密金鑰，接著偽造對任何信賴方看似有效的 SAML 聲明。根據 CISA advisory，這種 Golden SAML 技術在未持有合法憑證的情況下完全繞過驗證，進而取得多個美國聯邦機構雲端環境的存取權。

透過權杖洩露進行工作階段劫持

CVE-2023-4966，亦稱為 Citrix Bleed，允許攻擊者從遠端存取設備中擷取有效的工作階段權杖。藉由遭竊的工作階段權杖，攻擊者可冒充已完成驗證的使用者，完全繞過密碼與 MFA 層。CISA 證實在修補程式可用之前，已出現活躍的零時差利用 [cite-19]。

透過替代路徑繞過驗證

某些弱點會完全消除驗證需求。某個網路設備弱點允許透過 Node.js websocket 取得未經驗證的超級管理員存取權，並被評為重大嚴重性 [cite-20]。另一個管理介面弱點則可透過 Web 管理介面，在未經驗證的情況下提升為管理員權限。該管理介面問題代表 CWE-306：關鍵功能完全缺乏驗證，而 websocket 問題則對應到 CWE-288：使用替代路徑或通道繞過驗證。

擷取重放攻擊

攻擊者會攔截傳輸中的驗證權杖或憑證，並重放它們以取得存取權 (CWE-294)。若未使用 RFC 9700 所規定的寄件者受限權杖，OAuth 實作仍容易受到此技術影響。

這些技術各自會產生不同的鑑識特徵，而這將決定您如何發現並回應它們。

哪些對象會受到失效驗證影響？

失效驗證會影響每一個依賴使用者身分進行存取控制的組織。然而，特定產業與系統類型承受的風險更高。

Web 應用程式與 API

任何自行管理驗證的應用程式都會直接暴露於風險之中。OWASP 在 OWASP API Security 專案中明確處理 API 特有的失效驗證問題，指出驗證端點所需的暴力破解防護必須比一般 API 速率限制更嚴格。

雲端與 SaaS 平台

Snowflake/UNC5537 活動顯示，採用單因素驗證的雲端平台是高價值目標，許多組織之所以遭到入侵，是因為受影響帳戶缺少 MFA。將驗證委派給身分提供者的雲端平台，會繼承該 IdP 的弱點。

金融服務

金融機構面臨不成比例的風險。這份 Verizon 財務快照 發現，在金融服務業中，遭竊憑證主導了基本 Web 應用程式外洩事件。PayPal 憑證填充事件導致了 監管和解 以及對美國客戶帳戶強制實施 MFA。

關鍵基礎設施與網路設備

VPN 閘道、防火牆，以及網路管理介面都是主要目標。CVE-2019-11510、CVE-2024-55591 和 CVE-2024-53704 都屬於周邊設備中的驗證繞過漏洞，且 CISA 已將其加入其已知遭利用漏洞目錄。

醫療保健與政府

處理敏感個人資料的組織同時面臨外洩風險與監管後果，而 CISA 記錄指出，弱驗證在其針對聯邦高價值資產系統的 CISA 驗證評估中，一直名列最常見發現之一。

以下外洩事件顯示這些風險如何在各產業中具體發生。

驗證失效的真實案例

這些外洩事件說明了驗證失效如何在不同產業、攻擊技術與影響規模中呈現。

23andMe：憑證填充導致大規模資料外洩

攻擊者使用憑證填充存取一小部分 23andMe 使用者帳戶，這些帳戶的密碼與先前外洩事件中的密碼相符。透過 DNA Relatives 功能，這個立足點擴大為更廣泛的個人資料暴露。根據 23andMe SEC 文件，該公司因此產生了與事件相關的費用。外洩發生時並未強制要求 MFA。

Snowflake/UNC5537：後續使用資訊竊取程式竊得的憑證

威脅行為者 UNC5537 使用 憑證竊取，透過資訊竊取程式惡意軟體入侵組織的 Snowflake 雲端資料倉儲帳戶。根據 Mandiant 的調查，所有受影響帳戶皆未啟用 MFA。受害者包括 Ticketmaster、Santander Bank 和 Advance Auto Parts。

SolarWinds/SUNBURST：SAML 權杖偽造

俄羅斯國家行為者入侵了 SolarWinds 建置流程，並利用由此取得的存取權竊取 ADFS 私密加密金鑰。根據 CISA 報告，他們偽造受信任的 SAML 驗證權杖，以在未持有任何合法憑證的情況下存取多個美國政府機構的雲端環境。

PayPal：憑證填充帶來監管後果

攻擊者使用憑證填充存取客戶帳戶，導致高度敏感的客戶資料暴露。紐約 DFS 實施了 監管和解，並要求對美國客戶帳戶強制實施 MFA。

GoDaddy：多年期憑證遭入侵

根據 GoDaddy 外洩報告，遭入侵的管理員密碼讓攻擊者得以存取 GoDaddy 的 Managed WordPress 環境。此次外洩影響了大量目前與非啟用中的 Managed WordPress 客戶，遭竊資料包括 WordPress 管理員憑證、FTP 帳戶和電子郵件地址。攻擊者還安裝了惡意軟體並取得原始碼。

Yahoo：大規模 Cookie 偽造

根據 New York Times 報導，Yahoo 外洩事件最終影響了全部 30 億個使用者帳戶。攻擊者使用偽造的驗證 Cookie 在無需密碼的情況下存取帳戶。後續另一起外洩事件涉及以魚叉式網路釣魚竊取管理員憑證，而 Cookie 偽造則與一個國家支持的行為者有關。

這些事件構成更廣泛歷史模式的一部分，可追溯至二十年前。

驗證失效：時間軸

驗證失效的歷史反映了 Web 安全本身的演進，從早期的工作階段管理缺陷到今日的身分層攻擊。

失效的驗證已從 Web 應用程式弱點演變為涵蓋應用程式、基礎架構與雲端環境的全端身分安全問題。

如何偵測失效的驗證

找出失效的驗證需要分層方法，涵蓋應用程式設計缺陷、執行階段的憑證濫用，以及驗證後的行為異常。

日誌與工作階段分析

該 OWASP Authentication Cheat Sheet 指出，您必須記錄並檢閱所有驗證失敗、密碼失敗與帳戶鎖定事件。尋找顯示憑證 stuffing 的模式：來自相同 IP 範圍、針對不同帳戶的大量登入失敗，或來自不同地理位置、針對單一帳戶的登入失敗。

該 OWASP Session Management Cheat Sheet 指出應觸發重新驗證挑戰的工作階段事件：來自新的或可疑 IP 位址的登入、嘗試變更密碼，以及已完成的帳戶復原流程。請區分寬鬆的工作階段管理與嚴格的工作階段管理；前者接受任何使用者設定的工作階段 ID，因此存在弱點，後者僅接受伺服器產生的 ID。

動態應用程式安全測試 (DAST)

OWASP Testing Guide 在 WSTG-ATHN 系列中定義了驗證專屬的測試程序。這些程序涵蓋預設憑證、薄弱的鎖定機制、驗證架構繞過、易受攻擊的密碼重設流程、薄弱的安全性問題，以及 MFA 實作缺陷的測試。DAST 掃描器與密碼測試工具等工具會對執行中的應用程式執行這些測試。

硬式編碼憑證的靜態分析

靜態應用程式安全測試 (SAST) 工具會在部署前掃描原始碼，以找出硬式編碼密碼 (CWE-798)、薄弱的密碼編譯實作，以及不安全的工作階段邏輯。這可找出 DAST 無法觸及的憑證管理缺陷，因為這些缺陷存在於未透過應用程式外部介面暴露的程式碼路徑中。

身分威脅識別與回應 (ITDR)

使用有效遭竊憑證的攻擊者可規避網路與端點安全，因為其流量看似合法，且不涉及惡意軟體。 ITDR 系統會專門監控身分層，將驗證事件與行為基準進行比較。標記的偏差包括來自異常地理位置的登入、跨不相關資料集的橫向移動，以及異常的權限提升要求。 XDR architecture 則進一步透過將驗證異常與後續網路層級的橫向移動建立關聯來延伸此能力，揭露孤立工具所遺漏的完整攻擊鏈。

如何防止失效的驗證

預防措施直接對應根本原因。下列每項控制都針對特定的失效驗證子類型，並附有相關治理標準參考。

部署具抗網路釣魚能力的 MFA

CISA 指引 將 FIDO2/WebAuthn 與 PIV/CAC 智慧卡視為 具抗網路釣魚能力的 MFA. 推播式 MFA 容易受到疲勞攻擊與即時網路釣魚影響，後者會誘騙使用者提供一次性代碼。NIST SP 800-63B 要求在較高保證等級下使用經核准的 MFA。

強制執行現代憑證政策

符合 NIST 63B-4 要求：根據已知外洩密碼清單檢查新密碼、允許所有字元類型（包括 Unicode 與空白字元）、強制執行最小長度，且不要求定期輪替。OWASP Authentication Cheat Sheet 建議納入密碼強度計，並且僅在確認發生外洩時才輪替憑證。

對於儲存， password storage cheat sheet 建議將 Argon2id 作為主要雜湊演算法，並以 scrypt、bcrypt 與 PBKDF2 作為可接受的替代方案。應納入適當的 salting、peppering 與工作因子設定，並為舊版雜湊提供升級路徑。

實作速率限制與帳戶鎖定

在驗證端點套用比標準 API 速率限制更嚴格的 brute force 防護。  OWASP API Security 2023 專案明確指出應實作帳戶鎖定、CAPTCHA 與漸進式延遲。OWASP Testing Guide 也說明了實務中常見的鎖定閾值。

一旦使用者成功完成驗證，工作階段本身就會成為新的攻擊面。保護該工作階段的簽發、儲存與到期方式，是另一項獨立且同樣重要的控制措施。

保護工作階段管理

使用由伺服器產生、具高熵且來自密碼學安全亂數產生器的工作階段 ID。每次成功登入後都要重新產生工作階段 ID。設定閒置逾時與絕對逾時。切勿將工作階段權杖嵌入 URL。  OWASP Session Management Cheat Sheet 建議使用內建的工作階段管理框架，例如 J2EE、ASP.NET、PHP，而非自訂實作。

強化帳戶列舉與復原機制

對所有驗證結果使用相同的回應訊息，讓攻擊者無法區分有效與無效的使用者名稱。  forgot password cheat sheet 明確指出，安全性問題不得作為唯一的復原機制，且憑證復原端點必須具備與登入端點相同的 brute force 防護。

消除預設憑證

OWASP A07 直接指出：「請勿在出貨或部署時保留任何預設憑證，尤其是管理員使用者的預設憑證。」將預設憑證檢查納入部署檢查清單。

對於使用 OAuth 與 OIDC 的應用程式而言，強式憑證與良好的工作階段衛生本身並不足夠。權杖層級控制可防止發生在憑證層之上的重放與偽造攻擊。

強制執行 OAuth/OIDC 的權杖安全性

RFC 9700 要求使用傳送者受限的存取權杖、對公開用戶端實施重新整理權杖輪替，以及依據 RFC 8705 採用 Mutual TLS，以防止權杖重放攻擊。

實作這些控制措施需要跨越多個安全層的適當工具。

偵測與預防工具

要阻止驗證機制失效，必須涵蓋多種工具類別，因為沒有任何單一類別能處理完整的攻擊面。

沒有任何單一工具能夠獨自涵蓋完整的攻擊面。有效的涵蓋範圍結合了部署前測試、執行階段行為監控，以及跨所有來源的身分層關聯。以下說明 SentinelOne 如何端對端處理這一整套堆疊。

SentinelOne 如何提供協助？

當攻擊者竊取憑證時，他們行動迅速。SentinelOne 可協助您即時發現並阻止整個環境中的基於身分的攻擊。以下說明我們的解決方案如何協同運作並提供協助。

Singularity™ AI SIEM：全面掌握威脅可視性

從 Singularity™ AI SIEM。它會從端點、網路、雲端服務與身分識別提供者擷取驗證遙測資料，然後將所有內容集中於單一位置進行關聯分析。其行為分析可偵測不可能旅行模式（相同權杖在相隔數分鐘內同時出現在紐約與東京）、並行工作階段異常，以及透過權杖操控進行的權限提升。在 2024 MITRE ATT&CK Evaluations 中，Singularity 平台以零延遲偵測出 100% 的攻擊步驟，且警示數量比中位數少 88%——因此您的團隊不會被雜訊淹沒。

Singularity™  Identity：在攻擊者之前找出弱點

Singularity™ Identity提供持續性的身分威脅偵測與回應（ITDR）。它會掃描內部部署 Active Directory 與雲端身分提供者（例如 Entra ID、Okta、Ping、Duo 和 SecureAuth）中的弱勢、暴露或已遭入侵的憑證。您將可看到登入失敗的異常激增、來自異常地點的登入，以及針對服務帳戶的 Kerberosting 嘗試。它也包含身分安全態勢管理（ISPM），因此您可持續取得身分安全的態勢評估，而不只是一次性的稽核。

Purple AI：以自然語言提問，快速獲得答案

當警示觸發時，Purple AI 會加速調查。只要用簡單的英文提出問題，例如「顯示此遭入侵帳戶在過去 72 小時內存取的所有系統。」您將獲得附帶 MITRE ATT&CK tactic 情境的關聯結果。根據 IDC Business Value 研究，使用 Purple AI 的資安團隊識別威脅的速度提升 63%，修復速度提升 55%。

使用 Singularity™  Data Lake 和 Storyline™ 

所有事件資料都會進入 Singularity™ Data Lake，並標準化為 Open Cybersecurity Schema Framework (OCSF)。查詢速度最高可比傳統 SIEM 快 100 倍。接著，Storyline 技術會重建整個攻擊鏈——將初始憑證竊取與每一次橫向移動、權限提升及資料存取串聯起來——讓您無需手動關聯即可看見完整時間軸。
申請 SentinelOne 示範，親自了解 Singularity AI SIEM 和 Singularity Identity 的實際運作。

Reduce Identity Risk Across Your Organization

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

相關弱點

失效的驗證機制會與其他數種弱點類別相互交織並促成其發生：

• 失效的存取控制 (OWASP A01:2021)： 驗證會確認您是誰；存取控制則確認您可以做什麼。若失效的驗證弱點讓攻擊者取得任何有效帳戶的存取權，該帳戶的權限也會一併被繼承，使存取控制形同虛設。
• 加密失敗 (OWASP A02:2021)： 弱密碼雜湊、以明文儲存憑證，以及不當的憑證驗證，都是會直接導致驗證遭破壞的加密失敗。
• 安全性設定錯誤 (OWASP A05:2021)： 預設憑證、寬鬆的 MFA 重新註冊設定，以及過長的工作階段逾時，都是會造成驗證弱點的設定失敗。
• 伺服器端請求偽造 (SSRF)： SSRF 可與驗證繞過結合，以存取信任來自遭入侵伺服器請求的內部服務。
• 注入弱點： SQL injection 針對驗證查詢的攻擊，可藉由操控驗證憑證的查詢來完全繞過登入邏輯。
• 憑證竊取 (MITRE ATT&CK T1078 Valid Accounts)： 透過任何竊取機制取得的有效帳戶之使用，會直接對應到失效驗證的後利用階段。

處理失效的驗證機制，不只是單獨降低身分風險。更強的憑證政策、強制執行 MFA，以及強化的工作階段控制，能降低失效的存取控制、加密失敗與設定錯誤所共同依賴的共享攻擊面。

相關 CVE

結論

驗證機制失效仍然是企業遭入侵時最常被利用的初始存取路徑之一。若您的驗證控制失效，攻擊者就能將弱密碼、脆弱的工作階段、MFA 繞過或缺失的檢查轉變為完整的帳戶入侵。 

您可以透過具抗網路釣魚能力的 MFA、現代化憑證政策、安全的工作階段管理，以及可顯示遭竊憑證如何被使用的身分層可視性來降低該風險。