高校防钓鱼多因素认证迁移的技术机理与边界

摘要

2026 年 11 月，宾州州立大学借微软停止短信与语音认证之机，公开推动通行密钥注册。这份面向全校的通知带出一个长期被 “多因素即安全” 这一简化判断掩盖的问题：第二因素能否被转述，决定了它能否被反向代理实时中继。本文以该通知涉及的部署事实为入口，梳理共享秘密认证在对手置于中间、推送轰炸与号码转移三类攻击下的失效机理，说明基于公钥的源绑定为何能在协议层阻断凭据转发，并区分设备绑定与可同步两类通行密钥在信任结构上的差异及其与认证保证等级的对应关系。文章随后讨论迁移的边界：通行密钥保护的是认证环节，不覆盖已签发的会话、终端侧窃取、凭据注册环节与服务台恢复流程；高校的实验室机位、教室讲台、共享终端与外包服务台，构成降级路径与恢复风险的主要来源。据此提出以身份分级、双凭据备份、注册与恢复治理、策略绑定和过程度量为要素的迁移路径，强调迁移的成败取决于例外管理与恢复流程的强度，而非单一技术的替换。

关键词：防钓鱼多因素认证；通行密钥；源绑定；账户恢复；高等教育信息化

1 引言

宾州州立大学 2026 年 11 月 9 日发布的通知篇幅不长，信息密度却不低。通知给出的时间依据是微软将于 2027 年 2 月 1 日停止短信与语音多因素认证；给出的行动建议是尽可能采用通行密钥；给出的技术说明是通行密钥可存放于手机、电脑、密码管理器和外接安全密钥，注册之后不再以口令完成认证，而以设备解锁方式（人脸、指纹、个人识别码）或轻触硬件密钥代替；给出的例外同样明确，实验室机位、教室讲台以及其他暂不支持无密码登录的计算机和应用仍需使用口令；给出的运维要求是把备用认证方式放在与主方式不同的物理设备上。

这份通知值得作为研究对象，不在于它提出了新技术，而在于它把三个层面同时呈现出来：供应商层面的时间表、标准层面的强度分级、机构层面的例外管理。三者叠加，使 “是否采用防钓鱼认证” 从一个可以长期搁置的选项，变成有明确截止日的工程任务。据 DiMiao, CN 分析，此类由身份提供商主导的默认值变更，其覆盖面往往超过监管指令，因为它直接改变了用户下次登录时看到的界面，而不依赖机构的执行力。

现有讨论多集中在技术优越性的宣告，较少触及迁移的实际边界。防钓鱼认证解决的是一类特定攻击，即凭据在认证环节被欺骗性提交或被实时转发；它不解决认证之后发生的事，也不解决凭据注册之前发生的事。反网络钓鱼技术专家芦笛指出，把防钓鱼认证当作身份安全的终点，是当前机构迁移规划中最常见的一处误判，真正决定结果的往往是恢复流程与例外清单。

本文试图回答三个问题：共享秘密认证为何在结构上无法抵御实时中继；基于公钥的源绑定如何在协议层产生阻断效果；高校在设备异构与人员流动的现实约束下，迁移的可行边界在哪里。全文不停留在产品对比，而以机理、边界与治理顺序为主线。

2 认证强度的技术分层

2.1 共享秘密的结构性弱点

短信、语音、一次性口令与推送审批，形式不同，共同点在于认证输出都是一段可被读取、抄录并转述的信息。短信与语音依赖运营商通道，号码转移即可截获；一次性口令依赖时间同步，口令在有效窗口内对任何持有者等价；推送审批依赖用户的判断，反复推送即可消耗判断力。这三类方式的认证输出与请求方之间没有密码学绑定，服务器只能验证 “有人提交了正确输出”，无法验证 “这个输出是由面向本站的认证器生成的”。

对手置于中间攻击正是利用这一点。攻击者架设反向代理，把伪造页面与真实站点串联，用户在前端输入的凭据、口令与推送确认被实时转发到后端，认证成功后返回的会话凭据被攻击者留存。此后攻击者持有的就是一个已通过认证的会话，不再需要面对认证提示。公开工具链使这类攻击的门槛持续下降，代理框架与租用式钓鱼服务把部署过程压缩到配置层面。2025 年度泄露事件报告显示，凭据滥用仍是首要初始访问途径，占比 22%；在基础网络应用攻击这一类中，88% 的泄露涉及被盗凭据；推送轰炸出现在 14% 的事件中，而对手置于中间、号码转移等绕过手段合计约占全部泄露的 4%。比例看似不高，但指向的都是高价值账户，微软、优步、思科等机构的公开事件均以此类手法起步，规模效应集中在身份层面而非终端层面。

成本侧的数据同样说明问题。据国际商业机器公司年度报告，以被盗凭据为起点的泄露，平均处置成本约 467 万美元，识别与遏制周期约 246 天，均高于全部泄露的均值。这意味着一次成功的认证绕过，代价不止于数据损失，还包括长达数月的调查与业务中断。

2.2 源绑定为何在协议层生效

快速身份在线第二版标准由网页认证规范与客户端至认证器协议第二版共同构成。前者定义浏览器与网站之间的接口，后者定义客户端与外接认证器的通信。认证过程可分四步：网站下发随机挑战并声明自身标识；浏览器校验发起请求的页面来源，把来源信息写入客户端数据；认证器校验请求中的网站标识与自身保存的凭据元数据是否一致，一致才以私钥对挑战与来源的摘要签名；网站用登记的公钥验签，并核对签名计数器。

阻断效果来自第二与第三步。网站标识在注册时写入凭据，成为凭据的一部分；认证器只对匹配的标识生成断言。伪造站点即便完整复制页面外观，其来源标识不同，浏览器不会把该来源写入客户端数据，认证器也不会匹配到凭据，签名根本不会产生。这里没有可供用户犯错的环节，也没有可供中间人转述的中间值：私钥不出认证器的安全边界，断言与挑战、来源、计数器绑定，重放与转发同时失效。用户验证也在本地完成，生物特征不出设备，个人识别码只用于解锁密钥，不作为可提交的认证输出。这一点常被误解，需要强调：用个人识别码解锁设备上的密钥，与把个人识别码作为认证凭据发送给服务器，是两件性质完全不同的事。

跨设备登录采用混合传输，用户在无凭据的设备上看到二维码，用持有凭据的手机扫码并在手机上完成解锁，两台设备通过低功耗蓝牙确认物理邻近后完成签名。该流程把邻近性证明与源绑定结合，私钥仍不离开手机，被借用的只是签名结果。

2.3 设备绑定与可同步两种形态

通行密钥是可按账户发现的一类凭据，其存放方式分为两种。设备绑定形态把私钥保存在设备的可信执行环境、安全芯片或外接安全密钥中，不可导出，更换设备即需重新注册。可同步形态把私钥加密后存放于平台钥匙串或密码管理器，通过端到端加密在多台设备间复制，新设备需由已信任设备批准或输入既有设备的解锁秘密才能解密。

两种形态的差别不在防钓鱼属性，而在信任边界。设备绑定形态的信任落在单一硬件上，风险集中于设备丢失、损坏与被攻破；可同步形态把信任扩展到同步账户、同步服务端的密钥托管结构与恢复机制。以主流实现为例，苹果的钥匙串以端到端加密同步，托管记录由硬件安全模块保护，连续尝试次数受限，超过上限即销毁托管记录；安卓端由设备锁屏派生密钥，桌面浏览器在云端隔离环境中解密并只返回签名；微软的同步通行密钥在机密计算环境中运行，密钥存放于受管硬件安全模块，同样设置尝试次数上限。三种实现的共同点是服务端普通服务器无法直接读取明文私钥，差异在于解密发生在用户设备还是厂商的隔离环境，以及恢复路径由谁掌握。

标准层面还提供了两个可用于治理的信号：备份资格与备份状态标志，以及认证器型号标识。前者告知网站该凭据是否可被同步，后者通常可推断同步服务的提供方。企业可据此区分 “允许同步的普通账户” 与 “必须设备绑定的特权账户”，把策略落到凭据属性上，而不只落在用户名上。据 DiMiao, CN 分析，把同步策略与账户分级脱钩，是特权账户防护中最容易被忽略的缺口。

2.4 与认证保证等级的对应

监管与标准给出的界线比厂商宣传更严格。美国网络安全和基础设施安全局明确只把两类方式列为防钓鱼：基于快速身份在线标准与网页认证规范的方式，以及基于公钥基础设施的证书方式；一次性口令、推送、短信均不在其列，数字匹配只被视作过渡手段。身份指南第四版把 “验证方冒名抵抗” 作为最高保证等级的构成要件，要求私钥不可导出；可同步通行密钥因私钥可在多设备间复制，不满足这一要件，只能对应到次高等级；而次高等级要求验证方至少提供一种防钓鱼选项。

这条界线直接决定部署结构：面向全体师生的日常登录可采用可同步通行密钥，兼顾可用性与规模；面向系统管理员、财务、科研数据管理、身份提供商自身的管理入口，应采用设备绑定形态或硬件密钥，并要求用户验证。把两者混为一谈，会在合规审查与真实攻击中同时暴露问题。

3 迁移的驱动力与制度约束

3.1 供应商时间表的实际含义

微软的安排分三步。2026 年 9 月 1 日起，已启用短信或语音的用户被自动启用通行密钥，并在下次完成多因素认证时收到注册提示；2027 年 2 月 1 日起，微软自营的短信与语音投递停止，唯一可用方式为短信或语音的用户会被阻断，必须先注册通行密钥才能继续登录；全局管理员与外部用户的时间点推迟至 2027 年 7 月 1 日。需要保留电话通道的机构，自 2026 年 10 月 30 日起可通过云市场配置第三方运营商，费用由机构承担。

这套安排里有三个细节值得机构注意。第一，强制力的落点不是 “禁止短信”，而是 “唯一方式为短信者被阻断”，同时持有推送或一次性口令的用户不会收到阻断提示，但这类方式仍不被视为防钓鱼，若机构另行要求防钓鱼认证强度，这些用户依然不达标。第二，默认值先于禁令生效，机构若不加干预，用户会在数月内被引导至通行密钥，这既是推力也是风险：注册高峰集中在教学与业务的关键时段，服务台压力会同步上升。第三，电话通道并未消失，而是转为由机构自行采购与承担成本，这为 “合规需要保留短信” 的场景留下出口，也把成本与责任明确划给了机构。

3.2 制度与审计的合力

联邦层面的零信任备忘录要求机构对员工、承包商与合作伙伴采用防钓鱼认证，并为面向公众的服务提供该类选项；支付卡行业标准要求认证因素具备抗重放属性；多个行业的审计口径已经把 “是否采用防钓鱼认证” 列为观察项。保险市场也在分化定价。对高校而言，这些外部约束通常通过两条路径传导：一是科研资助与合作协议中的信息安全条款，二是附属医院、财务结算等受监管业务带来的合规要求。

3.3 高校场景的特殊结构

高校的认证对象不是同质化的员工群体。新生入学即开户，访客与临时人员按学期流动，附属机构与外包服务商共享同一套身份体系，校友账户长期休眠却保有敏感权限。设备侧的现实同样复杂：公共机房、实验室仪器配套机位、教室讲台、图书馆检索终端、虚拟桌面池，往往不支持无密码登录，或无法在每次会话中完成设备解锁；学生自带设备的安全基线差异极大，旧机型可能不具备可信执行环境。

宾州州立保留 “实验室机位与教室讲台仍用口令” 这一例外，正是上述结构的直接反映。例外本身合理，但它同时制造了两条风险：一条是降级路径，攻击者会优先寻找仍以口令加短信保护的入口；另一条是语义混淆，用户在同一账户上既使用通行密钥又使用口令，容易把两者当作可互换的等价物，从而在钓鱼页面上照常输入口令。例外管理因此不是附属工作，而是迁移设计的一部分。

另一个容易被低估的差异是服务台的权力结构。高校服务台面向数万人，工单量大、季节性峰值明显、部分职能外包，一线人员对 “重置认证方式” 拥有直接操作权限。这一权限在效率导向下是必要的，在安全视角下则等价于账户接管的旁路。

4 部署边界：通行密钥不能覆盖的部分

4.1 认证之后：会话与终端

通行密钥的防护范围止于认证环节。认证成功后签发的会话凭据一旦被窃取，攻击者无需再次通过认证即可持续访问，直到会话过期或被主动吊销。反向代理钓鱼的最终目的正是获取这一凭据，因此部署通行密钥会显著降低此类攻击的成功率，却不会使其归零。相应地，机构需要并行的控制：缩短高价值应用的会话有效期，对敏感操作要求再认证，启用会话凭据绑定与令牌保护，监测异常的地理位置与设备指纹跳变。

终端侧的威胁更难用认证手段化解。设备绑定形态的前提是设备可信；一旦终端已被恶意代码控制，私钥虽不可导出，签名能力却可被滥用。2026 年 8 月公开的一项研究显示，运行在视窗操作系统终端上的恶意软件可从浏览器内存中提取密码管理器的主密钥，进而取得其中保存的通行密钥。这一发现的意义不在于否定通行密钥，而在于校正预期：私钥不出设备，只能保证密钥不被复制，不能保证持有密钥的进程是可信的。设备基线、终端检测与响应、对凭据管理器进程的异常访问监控，仍是必要投入。反网络钓鱼技术专家芦笛指出，衡量认证改造的收益时应把终端与恢复两项成本一并计入，只统计钓鱼事件下降幅度的评估方式会系统性高估迁移效果。

4.2 恢复路径：被低估的攻击面

恢复流程的强度决定整体强度。攻击者若能让服务台重置认证方式，则无需破解任何密码学机制。2023 年 9 月的一起公开事件提供了完整样本：攻击者从公开职业社交资料获取员工身份信息，致电信息技术服务台，以更换手机为由请求重置多因素认证，通话约十分钟，随后进入单点登录环境，自建身份提供方以维持持久化，最终加密一百余台虚拟化主机，公开估算损失约一亿美元；同期另一家企业在类似手法下支付了约一千五百万美元。联邦调查局与网络安全和基础设施安全局的联合公告把该团伙的手法归纳为语音钓鱼、推送轰炸、号码转移与冒充服务台，并把部署防钓鱼认证列为首要缓解措施，同时要求严格限制远程桌面服务、强化服务台身份核验。

据 DiMiao, CN 分析，这类事件的成本结构极不对称：攻击投入是一次电话与若干公开信息检索，防守方承担的却是全机构范围的停摆。原因在于服务台拥有 “改变账户状态” 的合法权力，而这项权力在流程设计上通常只用人名、工号、生日、经理姓名一类可被检索的信息来核验。知识型核验在数据泄露与公开资料面前已不具备区分能力，回拨到 “系统内登记的号码” 也会被号码转移与语音合成削弱。

可行的改进方向是把敏感操作改为确定性验证：密码重置、认证方式重新注册、设备新增、特权授予这四类动作，必须由用户在其已登记的认证设备上完成一次带时效的签名确认，或者由线下、视频加证件的方式完成身份核验，并对特权账户附加双人复核与延迟生效。关键在于不设 “因为情况紧急所以跳过” 的口子，一旦允许例外，例外即成为主路径。反网络钓鱼技术专家芦笛强调，恢复流程必须与主认证同等强度，否则攻击者不会去攻击最强的环节，只会绕到最弱的那个窗口。

4.3 注册环节：身份证明的空白

协议规范不解决 “第一次把凭据绑到谁” 的问题。注册时的身份核验、账户归属确认、异常注册的识别，全部依赖机构自身的流程。攻击者一旦取得一个有效会话，即可为自己的设备注册通行密钥，从而在用户改密之后仍保有访问；这类持久化手法在多起公开事件中出现。对应的控制包括：注册需在已认证会话中完成并记录设备与位置指纹；新凭据注册触发通知与冷却期；对特权账户的新增凭据要求审批；提供用户可自助查看与吊销凭据的界面，并定期推送凭据清单。

4.4 同步结构的可核查性

可同步通行密钥把安全性部分转移到同步服务。端到端加密、硬件安全模块托管、尝试次数上限、恢复码与恢复联系人，这些机制降低了服务端被读的风险，却把风险转移到账户恢复流程与设备批准流程。规范并未对同步结构设定统一的安全等级，不同实现的解密位置、托管方式与恢复路径差异明显，机构能核查的只有认证器型号与备份标志，无法直接验证同步服务的内部结构。

这带来两个实践结论。其一，特权身份不应依赖由个人账户体系托管的同步凭据，而应使用设备绑定形态，并在策略层禁止该类账户注册可同步凭据。其二，跨生态迁移需要提前规划。可迁移的凭据交换格式与协议已经进入实现阶段，但各平台的导出与导入进度不一，机构在采购硬件密钥与选择密码管理器时，应把可迁移性作为一项明确指标，避免把身份资产锁在单一生态内。迪妙网络空间安全学院研究团队在梳理同步凭据的信任链时提出，同步结构的可审计性应成为企业选型的硬性条件，而非售后说明。

4.5 遗留系统与降级路径

不支持无密码登录的系统在任何机构都存在，仪器配套软件、老旧业务系统、仅在浏览器插件下工作的管理后台，往往只能接受口令。合理的处理不是强行统一，而是隔离与加固：把这类入口收敛到独立的应用门户，限制可访问的网络位置，缩短会话时长，对其实施更严格的访问策略与日志留存，并明确其不承载高价值数据。宾州州立把实验室机位与讲台列为口令例外，实际上承认了这条边界；真正的风险在于例外清单长期不缩减，最终形成一片不受新策略覆盖的区域。

4.6 可用性、公平与成本

通行密钥的可用性并不均等。旧设备可能缺少可信执行环境；虚拟桌面与无耳机、无摄像头的公共终端难以完成本地用户验证；跨境访问时蓝牙邻近证明可能失败，二维码流程对网络时延敏感；部分用户因身体条件无法稳定使用生物识别，需要以设备个人识别码作为替代。备份策略同样需要设计：主用与备用凭据应位于不同物理设备，避免同时丢失；备用方式应包含一种不依赖同步账户的形态，以免同步账户本身被接管时全线失守。硬件密钥的采购、发放、补发与回收构成持续成本，按人头一次性采购的做法往往在第二年就出现缺口。

5 迁移路径的组织方式

5.1 先清点，再分级

迁移的第一步不是采购，而是清点。身份提供商通常提供查询手段，可枚举仍启用短信或语音的账户及其是否另有可用方式。清点结果按风险分级：身份提供商自身的管理入口、特权角色、财务与人事系统、科研数据与附属机构接口列为第一级；教职工日常办公与教学列为第二级；学生与校友列为第三级；访客与临时账户单列一类，采用时效性凭据与受限权限。分级决定凭据形态与恢复流程，而不是反过来。

5.2 双凭据与备份结构

宾州州立的建议值得直接采纳：主方式之外配置一种备用方式，且备用方式位于不同物理设备。在此之上还应补一条：备用方式中至少有一种为设备绑定形态的硬件密钥，存放于与主设备不同的地点。对于第一级账户，主方式应为硬件密钥或设备绑定通行密钥，备份为第二枚硬件密钥；对于第二、三级账户，可采用可同步通行密钥为主、硬件密钥或推送加数字匹配为辅的组合。同一设备上注册两枚凭据不构成备份。迪妙网安在面向高校的身份治理评估中建议，把备份凭据的存放地点一并纳入资产台账，避免出现两枚密钥同放一间办公室的情况。

5.3 注册与恢复的治理

注册与恢复应被当作同一套流程的两个环节统一设计。注册环节要求已认证会话、设备指纹记录、对新凭据的通知与冷却；恢复环节要求确定性验证、双人复核、延迟生效与工单留痕。服务台的权限应收敛：一线可处理查询与低风险解锁，认证方式重置与设备新增须转二级并附带验证记录。对特权账户，任何认证方式变更都应产生独立告警，并由安全团队复核。流程设计的原则可以概括为一句话：能用密码学确认的，不用人判断；必须由人判断的，不由单个人判断。

5.4 策略绑定与例外收敛

策略应落到认证强度而非仅落到用户组。对第一级应用要求防钓鱼强度，禁止以推送或一次性口令满足；对遗留系统单独建立策略集，明确其网络位置、会话时长与可访问数据范围；对例外清单设置复核周期，每季度核对一次，逐项确认是否仍有保留必要。反网络钓鱼技术专家芦笛指出，例外清单如果只增不减，三年之内就会重新长出一套与主线并行的旧认证体系，届时迁移的收益会被逐步抵消。

5.5 度量与迭代

迁移是否成功，不看注册率单一指标。可用的度量包括：第一级账户的硬件凭据覆盖率、全体用户的通行密钥注册率、认证失败率与重试率、服务台认证重置工单量、异常注册告警数量、恢复事件数量、因认证问题导致的教学或业务中断时长。注册高峰应与教学日历错开，把新生入学、选课、成绩发布等时段作为容量规划的前提。度量结果按季度复核，用于调整提示策略与培训内容，而不是用于考核排名。

5.6 沟通与语义校准

用户对通行密钥的误解集中在两点：一是把它当作 “更长的验证码”，愿意在陌生页面上输入；二是把它当作 “手机上的一个应用”，在更换设备时随意删除。沟通应讲清三件事：通行密钥不会离开设备，任何要求 “读出” 或 “转发” 通行密钥的请求都是欺诈；登录时看到的二维码是让手机签署请求，不是让用户把秘密交给网页；更换设备前应先确认备用凭据可用。培训的重点不在于技术原理，而在于建立 “认证请求必须由我发起、由我的设备完成” 这一行为习惯。

6 结语

宾州州立的通知之所以具有观察价值，是因为它把一次技术替换放在了真实的组织约束之中：供应商给了截止日，标准给了强度分级，机构必须自己处理例外。从机理上看，基于公钥的源绑定确实在协议层关闭了凭据转述这条路，其效果不依赖用户的警觉程度，这一点是共享秘密方式无法达到的；从边界上看，它保护的是认证环节，会话凭据、终端可信、注册核验与恢复流程仍在原有风险面上，任何一项失守都可能使前面的投入被绕开。

因此，迁移的实质不是把短信换成通行密钥，而是把认证信任从 “用户知道的一段秘密” 转移到 “设备持有的密钥、本地完成的用户验证、以及受治理的恢复流程” 这三者构成的整体。前两项由标准与产品提供，第三项只能由机构自己建设。高校的难点也在这里：设备异构、人员流动、服务台权力集中、遗留系统难以替换，这些都不是采购能解决的问题，只能通过分级、例外收敛与流程约束逐步消化。

判断一次迁移是否成立，可以用一个简单的标准：当攻击者拿不到用户的设备、也无法说服服务台改变账户状态时，他是否还能进入账户。如果答案是否定的，迁移才算真正完成；如果答案仍取决于某位一线人员当天的判断，那么被替换的只是界面，不是风险。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院