译者 | 刘涛
审校 | 孙淑娟
多因素身份验证的推送通知过多？您可能会被黑客利用MFA疲劳攻击作为目标。
越来越多的身份验证信息被盗事件迫使公司实施多因素身份验证（MFA），以保护员工免受密码被盗的严重影响。但黑客现在正在进行MFA疲劳攻击，以绕过这一附加保护层。
那么，什么是MFA疲劳攻击？这些攻击是如何工作的？您能做些什么来保护自己？
MFA疲劳攻击涉及不停地用MFA推送通知攻击帐户所有者，直到他们在心理上崩溃，最终同意登录请求。
一旦MFA请求被批准，黑客就可以访问用户的帐户并随意滥用。
这种攻击的主要目的是发送源源不断的MFA推送通知，给帐户所有者造成疲劳感。
在适当的时候，这种MFA疲劳会使帐户所有者无奈或被迫同意登录请求，以停止MFA推送通知。
随着越来越多应用程序和服务采用多因素认证，批准 MFA推送通知可能成为一项常规任务，因为帐户所有者每天需要多次批准 MFA请求。最终，每日批准 MFA推送通知可能会使帐户所有者失去警惕。
此外， MFA通知不断的攻击可能会使帐户所有者疲惫不堪，从而促使他们批准登录请求，仅仅是为了防止通知打扰。
由于账户持有者经常在智能手机上使用身份验证的应用程序，黑客可以24小时不间断地攻击这些用户，以消磨他们的心理防线。
MFA疲劳攻击的第一步就是获取用户登录凭证。有很多破解密码的常用方法，包括钓鱼邮件、蜘蛛爬虫和暴力攻击。
一旦攻击者获得用户的登录凭证，他们就会用双重认证提示对用户进行攻击。
攻击者希望：
MFA的疲劳攻击是自动化的。通常，社会工程结合 MFA的疲劳攻击使攻击成功。例如，目标用户收到一个请求用户批准 MFA请求的钓鱼邮件。一封网络钓鱼邮件还能告诉目标，在接下来的几天里，随着新安全系统的出现，他们可能会接到一系列 MFA请求。电子邮件还会声明，一旦帐户所有者批准登录， MFA请求就会停止。
以下是一些防止MFA 疲劳攻击的措施：
在MFA请求中启用附加关联可以提供更好的安全性，并保护您免受MFA疲劳攻击。
MFA请求中的附加关联有助于您了解哪个帐户触发了MFA通知、尝试登录的时间、用于尝试登录的设备以及尝试登录的位置。
如果您在未登录帐户时却看到从陌生位置或设备触发的多个MFA请求，则表明威胁者正在试图向您发送垃圾邮件。您应该立即更改该帐户的密码，并通知您的IT部门该帐户是否与公司网络绑定。
许多MFA应用程序默认启用此功能。如果您的验证器应用程序没有显示关联内容，请查看应用程序的设置，以检查它是否具有允许关联内容的选项。
使用基于风险验证功能的身份认证程序有助于防御 MFA疲劳攻击。该应用程序能够检测并分析威胁信号，并根据已知攻击模式调整安全需求。
已知的威胁模式包括登录尝试的异常位置，重复登录失败，MFA推送骚扰等等。检查您的 MFA应用程序是否提供基于风险的认证，并保护它免受 MFA推送式垃圾邮件攻击。
任何一家公司采用FIDO2的认证形式，都能预防 MFA的疲劳攻击。
FIDO2为用户提供基于生物特征的更短密码认证和多因素认证。由于您的登录凭证不会离开您的设备，所以它消除了被窃取的风险，使得威胁者无法执行 MFA通知垃圾邮件。
MFA推送通知功能的目的是提供简单易用的功能。帐户所有者只需点击“是”或者“允许”即可登录它的帐户。
MFA疲劳攻击利用了身份认证的这个功能。在验证器应用程序中禁用这些简单的推送通知作为验证方法，可以有效地提高 MFA的安全性。
以下是一些可以用于验证MFA请求的方法：
使用数字匹配或时间一次性密码作为核实方法的优点是，用户不会意外地批准多边金融协议的要求，他们需要完成核实程序所需要的必要信息。
检查您的身份认证应用程序，以了解哪些 MFA 验证功能可以使用，而不是简单的推送通知，提示用户点击“是”或“允许”批准登录尝试。
限制验证器应用程序中的登录请求数量有助于防止即时轰炸或MFA疲劳。但并不是所有的验证器都提供此功能。
检查您的MFA验证器是否允许您限制身份验证请求；之后，该帐户将被阻止。
如果您经营一家公司，预防MFA疲劳攻击的最佳方法是安全意识培训。确保您的员工知道MFA疲劳攻击发生时是什么样子的，以及发生时该怎么办。此外，他们应该能够发现钓鱼电子邮件，请求他们批准MFA请求。
定期对员工进行最好的网络安全实践培训，对保护个人账户有很大帮助。
多因素身份验证为您的帐户增加了额外的安全层。它将保护您的帐户，即使威胁者可以访问您的登录凭据。但您仍应小心MFA疲劳攻击。这可能很烦人，但请不要屈服。
刘涛，51CTO社区编辑，某大型央企系统上线检测管控负责人。
原文标题：What Is an MFA Fatigue Attack and How Can You Protect Against It?，作者：SANDEEP BABU
我正在使用的第三方API的文档状态:"[O]urAPIonlyacceptspaddedBase64encodedstrings."什么是“填充的Base64编码字符串”以及如何在Ruby中生成它们。下面的代码是我第一次尝试创建转换为Base64的JSON格式数据。xa=Base64.encode64(a.to_json) 最佳答案 他们说的padding其实就是Base64本身的一部分。它是末尾的“=”和“==”。Base64将3个字节的数据包编码为4个编码字符。所以如果你的输入数据有长度n和n%3=1=>"=="末尾用于填充n%
在应用开发中，有时候我们需要获取系统的设备信息，用于数据上报和行为分析。那在鸿蒙系统中，我们应该怎么去获取设备的系统信息呢，比如说获取手机的系统版本号、手机的制造商、手机型号等数据。1、获取方式这里分为两种情况，一种是设备信息的获取，一种是系统信息的获取。1.1、获取设备信息获取设备信息，鸿蒙的SDK包为我们提供了DeviceInfo类，通过该类的一些静态方法，可以获取设备信息，DeviceInfo类的包路径为：ohos.system.DeviceInfo.具体的方法如下：ModifierandTypeMethodDescriptionstatic StringgetAbiList()Obt
作为新的阿里云用户，您可以50免费试用多种优惠，价值高达1,700美元（或8,500美元）。这将让您了解和体验阿里云平台上提供的一系列产品和服务。如果您以个人身份注册免费试用，您将获得价值1,700美元的优惠。但是，如果您是注册公司，您可以选择企业免费试用，提交基本信息通过企业实名注册验证，即可开始价值$8,500的免费试用！本教程介绍了如何设置您的帐户并使用您的免费试用版。关于免费试用在我们开始此试用之前，您还必须遵守以下条款和条件才能访问您的免费试用：只有在一年内创建的账户才有资格获得阿里云免费试用。通过此免费试用优惠，用户可以免费试用免费试用活动页面上列出的每种产品一次。如果您有多个帐
我的ruby脚本从命令行参数获取某些输入。它检查是否缺少任何命令行参数，然后提示用户输入。但是我无法使用gets从用户那里获得输入。示例代码:test.rbname=""ARGV.eachdo|a|ifa.include?('-n')name=aputs"Argument:#{a}"endendifname==""puts"entername:"name=getsputsnameend运行脚本:rubytest.rbraghav-k错误结果:test.rb:6:in`gets':Nosuchfileordirectory-raghav-k(Errno::ENOENT)fromtes
我想使用两种不同的protect_from_forgery策略构建一个Rails应用程序:一种用于Web应用程序，一种用于API。在我的应用程序Controller中，我有这行代码:protect_from_forgerywith::exception为了防止CSRF攻击，它工作得很好。在我的API命名空间中，我创建了一个继承self的应用程序Controller的api_controller，它是API命名空间中所有其他Controller的父类，我将上面的代码更改为:protect_from_forgery:null_session.遗憾的是，我在尝试发出POST请求时遇到错误:“
一、什么是MQTT协议MessageQueuingTelemetryTransport：消息队列遥测传输协议。是一种基于客户端-服务端的发布/订阅模式。与HTTP一样，基于TCP/IP协议之上的通讯协议，提供有序、无损、双向连接，由IBM（蓝色巨人）发布。原理：（1）MQTT协议身份和消息格式有三种身份：发布者（Publish）、代理（Broker）（服务器）、订阅者（Subscribe）。其中，消息的发布者和订阅者都是客户端，消息代理是服务器，消息发布者可以同时是订阅者。MQTT传输的消息分为：主题（Topic）和负载（payload）两部分Topic，可以理解为消息的类型，订阅者订阅（Su
什么是0day漏洞？0day漏洞，是指已经被发现，但是还未被公开，同时官方还没有相关补丁的漏洞；通俗的讲，就是除了黑客，没人知道他的存在，其往往具有很大的突发性、破坏性、致命性。0day漏洞之所以称为0day，正是因为其补丁永远晚于攻击。所以攻击者利用0day漏洞攻击的成功率极高，往往可以达到目的并全身而退，而防守方却一无所知，只有在漏洞公布之后，才后知后觉，却为时已晚。“后知后觉、反应迟钝”就是当前安全防护面对0day攻击的真实写照！为了方便大家理解，中科三方为大家梳理当前安全防护模式下，一个漏洞从发现到解决的三个时间节点：T0：此时漏洞即0day漏洞，是已经被发现，还未被公开，官方还没有相
TCL脚本语言简介•TCL（ToolCommandLanguage）是一种解释执行的脚本语言（ScriptingLanguage）,它提供了通用的编程能力：支持变量、过程和控制结构；同时TCL还拥有一个功能强大的固有的核心命令集。TCL经常被用于快速原型开发，脚本编程，GUI和测试等方面。•实际上包含了两个部分：一个语言和一个库。首先，Tcl是一种简单的脚本语言，主要使用于发布命令给一些互交程序如文本编辑器、调试器和shell。由于TCL的解释器是用C\C++语言的过程库实现的，因此在某种意义上我们又可以把TCL看作C库，这个库中有丰富的用于扩展TCL命令的C\C++过程和函数，所以，Tcl是
开门见山|拉取镜像dockerpullelasticsearch:7.16.1|配置存放的目录#存放配置文件的文件夹mkdir-p/opt/docker/elasticsearch/node-1/config#存放数据的文件夹mkdir-p/opt/docker/elasticsearch/node-1/data#存放运行日志的文件夹mkdir-p/opt/docker/elasticsearch/node-1/log#存放IK分词插件的文件夹mkdir-p/opt/docker/elasticsearch/node-1/plugins若你使用了moba，直接右键新建即可如上图所示依次类推创建
文章目录概念索引相关操作创建索引更新副本查看索引删除索引索引的打开与关闭收缩索引索引别名查询索引别名文档相关操作新建文档查询文档更新文档删除文档映射相关操作查询文档映射创建静态映射创建索引并添加映射概念es中有三个概念要清楚，分别为索引、映射和文档（不用死记硬背，大概有个印象就可以）索引可理解为MySQL数据库；映射可理解为MySQL的表结构；文档可理解为MySQL表中的每行数据静态映射和动态映射上面已经介绍了，映射可理解为MySQL的表结构，在MySQL中，向表中插入数据是需要先创建表结构的；但在es中不必这样，可以直接插入文档，es可以根据插入的文档（数据），动态的创建映射（表结构），这就
