通过api为在okta中注册的特定应用程序启用MFA - 腾讯云开发者社区

文章/答案/技术大牛

发布

AI开发平台滥用与高仿真钓鱼攻击的演化机制研究——以Vercel仿冒Okta事件为例

本文以2024年披露的“Vercel平台被用于自动化生成高仿真Okta钓鱼页面”事件为切入点，系统分析AI辅助开发工具在钓鱼攻击中的技术实现路径、攻击链构造逻辑及其对现有防御体系的挑战。...由于Vercel默认启用HTTPS、全球CDN加速及现代浏览器兼容性优化，这些钓鱼页面在视觉和性能上几乎无法与真实Okta门户区分。...表单劫持：修改登录表单的action属性，指向攻击者控制的后端接收器（如部署在Heroku或AWS Lambda的简单API）。...攻击者获取凭证后，可立即在真实Okta门户尝试登录——若目标账户未强制MFA（如仅对特定应用启用），则可直接接管会话。...即使启用了MFA，若采用短信或OTP等弱验证方式，攻击者仍可实施“实时代理攻击”（Real-time Phishing Proxy），即在钓鱼页面与真实Okta之间建立透明代理，将用户输入的MFA验证码实时转发

3231 0

入侵只要1小时，米高梅幕后黑手攻击细节浮出水面

在最后一次尝试中成功突破，来自佛罗里达州IP地址99.25.84[.]9的“新设备登录”被捕捉到，攻击者利用此地址重置了合法Okta用户的凭证，进而进入云服务供应商的系统。...接着，攻击者迅速转向企业的本地环境，在这里他们通过IT管理员的Okta凭证成功登录Citrix Workspace，并再次面对MFA的挑战。...认证请求被转发到攻击者新注册、掌控下的设备，使其得以步入工作区，并在客户的基础设施中展开更多恶意行为。...Scattered Spider通过一系列行为——包括对员工进行社会工程学操控、跨租户的身份即服务（IDaaS）冒充、文件遍历、滥用企业特定应用程序以及部署持久性工具——实现了对目标网络广泛的加密和数据泄露...报告强调：“Scattered Spider以惊人的策略性和精准度兵分多路，针对特定应用程序发起攻击，充分利用对内部IT系统的了解快速横向移动。”

5251 0

您找到你想要的搜索结果了吗？

是的

没有找到

Okta：身份和访问管理全解析

Okta作为一个强大的开源IAM解决方案，正逐渐受到开发者和企业的青睐。（这真的是个游戏规则改变者！）我第一次接触Okta是在一个多云环境项目中，当时团队为身份验证问题焦头烂额。...这些凭证将用于应用程序代码中与Okta API通信。务必安全保存这些凭证！使用Okta SDK实现认证现在让我们看看如何在实际应用中实现Okta认证。...我曾在一个项目中将Okta连接到现有的LDAP目录，过程出乎意料地顺利，只花了几小时就完成了配置。2. 应用集成Okta应用程序代表用户可以通过Okta访问的服务。...最佳实践与常见陷阱在实施Okta时，以下最佳实践可帮助你避免常见问题：最佳实践使用授权码流程 - 对Web应用使用授权码流程而非隐式流实施多因素认证 - MFA大大提高安全性使用API访问管理 - 为所有...正如我所学到的，最好的学习方式是通过实践和实验。祝你在身份管理之旅中取得成功！

7871 0

SaaS攻击面到底有多大？如何防御常见SaaS攻击技术?

然而，这些几乎并非孤立的环境，因为组织通常会通过OAuth授权将无数其他SaaS应用程序连接到这些环境中，我们将在下文中讨论这一点。...OAuth风险因素接下来，研究分析了组织在使用现代SaaS应用程序的复杂网络（通过OAuth授权相互连接）时所面临的风险。...常见的技术租户发现：识别组织使用的特定SaaS租户可以为攻击者提供重点目标。用户枚举：通过利用注册或登录页面，攻击者通常可以确定特定的电子邮件地址是否与服务相关联。...速率限制：在API和用户端点上实现速率限制，以阻止自动扫描尝试。多因素身份验证（MFA）：始终启用MFA以添加额外的安全层，特别是在初始登录阶段。 2....SaaS环境中的执行策略在该部分中，我们将探讨攻击者用于在受损的SaaS应用程序中执行恶意活动的方法。常见的技术影子工作流：自动工作流可以被恶意设置以泄露或操纵数据。

7981 0

基于二维码的FIDO绕过攻击机理与防御对策研究

然而，2025年中，安全研究机构披露一类新型网络钓鱼攻击，通过滥用FIDO协议中的跨设备认证（Cross-Device Authentication）机制，结合恶意二维码诱导用户在非受信设备上完成身份验证...在标准注册/认证流程中：注册阶段：网站向浏览器发起创建凭证请求；浏览器调用本地认证器（如安全密钥）生成公私钥对，私钥安全存储，公钥上传服务器。...典型流程如下：用户在未注册FIDO密钥的设备（如公共电脑）访问服务；服务端检测到无本地凭证，提示“使用手机扫码登录”；系统生成一个包含认证挑战的二维码，编码内容通常为：https://fido.example.com...Expel后续澄清指出，在其观察案例中，Okta日志显示FIDO挑战实际失败，攻击者仅凭密码登录成功。但这恰恰说明：若组织同时启用密码+FIDO，则密码一旦泄露，FIDO的防护价值即被稀释。...（一）协议层：强制邻近性验证FIDO联盟虽在规范中提及邻近性要求，但未强制实施。建议服务端在启用跨设备认证时，必须要求客户端通过蓝牙广播验证邻近。

3291 0

Okta警告：钓鱼网站正以秒速复制企业门户

AI“一键生成”钓鱼网站，攻击进入“工业化”时代Okta在报告中指出，攻击者正利用公开可用的AI工具，批量生成针对企业员工的钓鱼链接。...身份系统成“头号目标”，MFA成最后防线值得注意的是，此次攻击中，Okta等统一身份认证平台成为首要目标。原因在于，这类系统通常集成了企业多个应用的登录入口，一旦攻破，相当于拿到了“万能钥匙”。...芦笛指出，“这也是为什么我们反复强调：多因素认证（MFA）必须成为标配。”MFA，即在密码之外增加第二重验证，如手机验证码、指纹识别或硬件安全密钥。即便密码被窃取，黑客也无法通过第二道关卡。...首先，强制启用MFA，并优先采用更安全的验证方式，如FIDO2安全密钥，避免使用易被拦截的短信验证码。其次，加强员工安全意识培训，尤其是识别“高仿真”钓鱼邮件。...关键是谁的反应更快，谁的体系更智能。”目前，全球多家科技公司已开始研发“AI反钓鱼引擎”，通过比对页面语义、代码结构和域名注册信息，实现毫秒级识别与拦截。

2991 0

当钓鱼邮件“比你老板还像你老板”：AI如何重塑网络钓鱼，我们又该如何应对？

事后复盘发现，这封邮件并非从外部发送，而是由攻击者通过此前窃取的一名中层员工邮箱发出；登录页面由AI工具在45秒内克隆生成；而所谓的“验证码”，其实被实时转发至真实系统完成身份验证——整个过程绕过了传统多因素认证...但更危险的，是AI在文本生成层面的进化。以开源模型Llama 3或Claude 3.5为基础，攻击者可构建定制化钓鱼邮件生成器。...此事高度敏感，已通过法务审核，但需你在今天下班前完成支付，否则将影响Q4交付。...推送轰炸（Push Bombing）当用户启用基于推送通知的MFA（如Microsoft Authenticator），攻击者可反复触发登录请求。面对连续十几条“是否批准登录？”...）：对非常规地点、设备或时间的登录，强制二次验证；会话监控与自动注销：检测异常API调用或数据导出行为，自动终止会话并告警。

1981 0

钓鱼新变种：攻击者借Cloudflare Pages与Zendesk“合法外衣”伪造客服门户，企业凭证安全防线告急

技术拆解：一页代码，即可构建高仿真钓鱼门户以 Cloudflare Pages 为例，攻击者只需以下几步：注册 Cloudflare 账号（无需实名，支持匿名邮箱）；创建静态网站项目，上传仿冒页面HTML...例如，攻击者搭建一个代理层，将用户请求实时转发至真实Zendesk页面，同时截获登录过程中的 Cookie、Session Token 和 MFA 响应。...攻击者利用 Cloudflare Pages 托管伪造的 Okta 登录页，并通过 LinkedIn 私信发送“安全警报”链接。...受害者点击后，被引导至 okta-verify.pages.dev，页面完美复刻 Okta UI，甚至动态加载受害者公司Logo（通过URL参数注入）。该活动在两周内窃取了超过200个企业账户凭证。...盲区二：“MFA万能论”不少企业认为启用多因素认证（MFA）即可高枕无忧。

2251 0

VoidProxy平台对多因素认证的绕过机制与防御对策研究

一、引言近年来，随着多因素认证（Multi-Factor Authentication, MFA）在企业身份基础设施中的广泛部署，传统基于密码窃取的账户接管攻击已显著受限。...2025年，安全研究机构与Okta威胁情报团队联合披露名为“VoidProxy”的新型钓鱼即服务（Phishing-as-a-Service, PhaaS）平台，其自2024年起在暗网活跃推广，并持续针对...攻击者利用这些令牌可直接通过API访问用户邮箱、OneDrive文件、Teams聊天记录等，完全绕过前端UI与MFA提示。...上述缺陷使得即便组织部署了“强MFA”，在面对AiTM攻击时仍形同虚设。四、纵深防御体系构建为有效抵御VoidProxy类攻击，需从身份验证、会话管理与终端安全三个层面重构防御策略。...DPoP要求客户端在每次API请求中附带一个由私钥签名的证明令牌，该私钥与TLS连接绑定。即使攻击者窃取Access Token，也无法在其他连接中使用。

2471 0

VoidProxy攻击范式下的多因素认证绕过机制分析与防御策略研究

摘要随着多因素认证（MFA）在企业身份安全体系中的广泛应用，传统网络钓鱼手段已难以实现账户接管。...此类攻击不再依赖用户输入静态凭证后的二次验证失败，而是通过技术手段在认证过程中实时捕获会话状态，从根本上颠覆了MFA的安全假设。...自动化证书部署：集成Let's Encrypt等公共CA的API，为每个钓鱼子域自动申请并部署有效的SSL/TLS证书，消除浏览器安全警告，提升用户信任度。...值得注意的是，该平台无法绕过基于FIDO2/WebAuthn的无密码认证，因其依赖于绑定到特定设备的加密密钥对，且认证过程由浏览器或操作系统底层安全模块处理，无法通过网页界面中继。3....集成异常会话撤销API：利用Okta、Azure AD等平台提供的安全API，在检测到可疑活动时主动终止用户会话。

1901 0

【应用安全架构】通过UMM学习身份和访问管理系统

随着在线设备 (IoT) 的爆炸式增长以及客户对安全性和隐私的更高期望，公司必须想办法确保他们的客户可以随时通过任何设备安全、安全地使用他们的应用程序或服务。...不是在公司的软件应用程序的每个实例中管理用户帐户，而是在集中式 CIAM 组件中管理身份，从而使身份的重用成为可能。...Figure 3 CIAM vs IAM features CIAM 的主要功能还包括用于注册的自助服务、密码和同意管理、配置文件管理、报告和分析（即用于营销目的）、用于移动应用程序的 API 和 SDK...例如，系统会提示使用新设备登录敏感应用程序的客户进行 MFA。另一方面，使用之前注册的移动设备登录的客户可以使用无密码身份验证，从而提高安全性和可用性。...此外，围绕集成 SDK/API 和自助服务的常见 CIAM 要求现在正在用于现代应用程序开发的 IAM 解决方案，以及获得消费者体验期望的员工。

9423 0

使用 Jenkins X、Kubernetes 和 Spring Boot 实现 CICD

使用以下命令在 GKE（Google Kubernetes Engine）上创建集群。你可能必须为你的帐户启用 GKE。...在 Okta 中为 Spring Boot 应用程序创建一个 Web 应用程序完成设置过程后，登录到你的帐户并导航到 Applications > Add Application。...第一个是你创建的 Jenkins X OIDC 应用程序的 ID。您可以通过在 Okta 上导航到您的应用程序并从 URL 复制值来获得它的值。...如果你的 pull request 测试通过，你应该能看到一些绿色标记和 Jenkins X 的评论，说明你的应用程序在预览环境中可用。 ?...在 Okta 中自动添加重定向 URI 当你在 Okta 中创建应用程序并在本地运行它们时，很容易知道应用程序的重定向 URI 将是什么。

6.2K1 0

【安全设计】10种保护Spring Boot应用程序的绝佳方法

要启用它，您需要将应用程序配置为返回Content-Security-Policy头。还可以在HTML页面中使用标记。...您可以使用下面的配置在Spring Boot应用程序中启用CSP头。...今天注册一个免费帐户，每月在developer.okta.com/signup上获得1000个活跃用户!...这个站点不需要您创建帐户，但是它确实在幕后使用了Okta的开发人员api。 7. 管理密码吗?使用密码散列! 对于应用程序的安全性来说，用纯文本存储密码是最糟糕的做法之一。...构建一个简单的CRUD应用程序使用Spring Security和Thymeleaf将基于角色的访问控制添加到您的应用程序中安全性和API之旅准备在Heroku上生产一个Spring Boot应用程序

4.5K3 0

OpenAI“后门”失守：一次钓鱼攻击如何撬动AI巨头的第三方供应链防线

他点击了附件中的“启用内容”按钮，随后被重定向到一个高度仿真的Microsoft 365登录页面。在输入公司账号密码后，系统提示“验证成功”，一切如常。...泄露的数据包括：API账户注册时填写的姓名关联的电子邮箱用户浏览器上报的地理位置（城市/州/国家）操作系统与浏览器类型引荐来源（如通过哪个网站跳转至 platform.openai.com）组织ID或用户...“我们曾审计过一家金融科技公司，发现其使用的五款数据分析工具中，有三款未强制启用MFA，两款允许通过个人邮箱注册管理员账号，”芦笛透露，“这种‘安全外包’思维极其危险。...强制多因素认证（MFA）与无密码登录Mixpanel事件中，若员工账户启用了FIDO2安全密钥或生物识别认证，即便密码泄露，攻击者也无法完成登录。...同时，在合同中明确约定：供应商必须通过ISO 27001或SOC 2 Type II认证，并在发生数据泄露时承担法律责任。4.

2141 0

使用 Jenkins X、Kubernetes 和 Spring Boot 实现 CICD

9.3K7 0

钓鱼即服务驱动下勒索软件入口演变与MFA绕过机制研究

通过提供模拟AitM代理与会话劫持检测的代码示例，本文为安全从业者提供可落地的技术参考，旨在弥合身份安全体系中的关键盲区。...关键词：网络钓鱼；勒索软件；PhaaS；AitM；多因素认证绕过；会话劫持；FIDO2；身份安全1 引言勒索软件攻击在过去五年中已从机会主义行为演变为高度组织化、以利润为导向的网络犯罪产业。...而FIDO2通过公钥密码学与设备绑定，确保私钥永不离开安全芯片，且认证断言与特定域名绑定，无法被重放或代理。...在传统静态认证模型中，MFA显著提升安全性；但在AitM代理面前，若缺乏会话绑定与持续验证，MFA反而制造虚假安全感。因此，安全架构必须从“一次性认证”转向“持续信任评估”。...本文通过分析攻击链、评估现有措施局限，并提出融合强认证、会话治理与自动化响应的防御框架，为组织提供系统性应对方案。代码示例验证了会话异常检测与撤销的可行性。

2951 0

10 种保护 Spring Boot 应用的绝佳方法

Snyk可通过Web UI和CLI获得，因此您可以轻松地将其与CI环境集成，并将其配置为在存在严重性超出设定阈值的漏洞时中断构建。你可以免费使用Snyk进行开源项目或使用有限数量的私有项目。...4.启用CSRF保护跨站点请求伪造(Cross-Site Request Forgery )是一种攻击，强制用户在他们当前登录的应用程序中执行不需要的操作。...你可以使用以下配置在Spring Boot应用程序中启用CSP标头。...相反，你可以使用身份提供商（IdP）为你执行此操作，你的IdP甚至可能提供多因素身份验证（MFA）等安全附加组件。...在Okta，我们所有的生产代码和官方开源项目都需要通过我们的专家安全团队进行分析，你的公司可能没有安全专家，但如果你正在处理敏感数据，也许你应该这样做！

3K4 0

云邮箱钓鱼攻击趋势与企业防御体系重构

此类攻击尤其针对财务、HR等高频使用审批系统的部门。2.3 身份层突破：从凭证窃取到会话劫持传统钓鱼目标为用户名与密码，但在MFA普及背景下，攻击者转向更高效的会话令牌窃取。...典型流程如下：用户在钓鱼页面输入凭据；攻击脚本实时将凭据转发至真实登录接口，完成身份验证；获取有效的会话Cookie或OAuth 2.0访问令牌；直接注入浏览器或API调用，绕过MFA校验。...即便MFA启用，若初始认证环节被劫持，后续因子形同虚设。第二，MFA实现方式参差不齐。...以Microsoft Entra ID（原Azure AD）为例，启用Passkeys的PowerShell脚本如下：# 启用FIDO2安全密钥作为登录方法Set-MgPolicyAuthenticationMethodPolicy...可通过SCIM协议同步用户属性，利用第三方IAM平台（如Okta、Ping Identity）统一实施条件访问规则，避免策略碎片化。

2251 0

AI“画皮”钓鱼：黑客用Vercel工具批量伪造Okta登录页，企业安全防线告急

但此次攻击不同——黑客利用Vercel这类支持快速部署Web应用的云平台，结合内置的AI代码生成工具，可以在几分钟内自动复制出与真实Okta登录页几乎一模一样的钓鱼界面。...专家建议企业从技术和管理双管齐下：强制启用多因素认证（MFA）：这是最有效的防线。即使密码被盗，黑客没有手机验证码、安全密钥或生物识别信息，也无法登录。...部署域名监控服务：企业应定期扫描互联网，查找仿冒自己品牌或服务（如okta-公司名.com）的钓鱼域名，发现后立即向注册商举报并申请封禁。...加强员工安全意识培训：定期开展钓鱼模拟演练，教育员工不要轻信任何要求输入账号密码的页面，尤其是通过邮件或即时消息收到的链接。...在这场“道高一尺，魔高一丈”的较量中，唯有保持警惕、主动防御，才能守住数字世界的第一道门。编辑：芦笛（公共互联网反网络钓鱼工作组）

2821 0

Spring Boot十种安全措施

3.5K1 0

点击加载更多

AI开发平台滥用与高仿真钓鱼攻击的演化机制研究——以Vercel仿冒Okta事件为例

入侵只要1小时，米高梅幕后黑手攻击细节浮出水面

Okta：身份和访问管理全解析

SaaS攻击面到底有多大？如何防御常见SaaS攻击技术?

基于二维码的FIDO绕过攻击机理与防御对策研究

Okta警告：钓鱼网站正以秒速复制企业门户

当钓鱼邮件“比你老板还像你老板”：AI如何重塑网络钓鱼，我们又该如何应对？

钓鱼新变种：攻击者借Cloudflare Pages与Zendesk“合法外衣”伪造客服门户，企业凭证安全防线告急

VoidProxy平台对多因素认证的绕过机制与防御对策研究

VoidProxy攻击范式下的多因素认证绕过机制分析与防御策略研究

【应用安全架构】通过UMM学习身份和访问管理系统

使用 Jenkins X、Kubernetes 和 Spring Boot 实现 CICD

【安全设计】10种保护Spring Boot应用程序的绝佳方法

OpenAI“后门”失守：一次钓鱼攻击如何撬动AI巨头的第三方供应链防线

使用 Jenkins X、Kubernetes 和 Spring Boot 实现 CICD

钓鱼即服务驱动下勒索软件入口演变与MFA绕过机制研究

10 种保护 Spring Boot 应用的绝佳方法

云邮箱钓鱼攻击趋势与企业防御体系重构

AI“画皮”钓鱼：黑客用Vercel工具批量伪造Okta登录页，企业安全防线告急

Spring Boot十种安全措施

相关资讯

热门标签

活动推荐

运营活动

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐