網路攻擊與防禦實務
攻擊者取得了員工的密碼，反覆登入數十次，對員工的智慧型手機大量發送要求核准的通知。員工覺得很煩，不小心按下了「核准」。針對這種攻擊，最適當的對策是下列何者？
- A把通知的聲音調小，讓員工即使收到大量核准要求也不在意，能繼續工作
- B只要增加密碼的最少字元數，即使收到攻擊者的核准要求通知，員工也不會有核准的風險
- C導入把畫面上顯示的號碼輸入到應用程式的方式與大量要求的限制，並讓員工通報非自己觸發的通知
查看答案與解析
正確答案：C. 導入把畫面上顯示的號碼輸入到應用程式的方式與大量要求的限制，並讓員工通報非自己觸發的通知
這種攻擊稱為MFA疲勞攻擊（推播轟炸），利用的是只要在通知中按下「核准」就完成驗證之方式的弱點。在號碼比對的方式中，不輸入登入畫面上出現的號碼就無法核准，因此並非自己登入的使用者無法核准。可組合在短時間內收到大量要求時加以阻止、在通知中顯示地點與應用程式的資訊、讓使用者通報非自己觸發的通知等對策。更根本的做法，是改用FIDO2通行金鑰這類無法用於假網站或他人登入、能抵抗網路釣魚的方式。
- A. 讓通知不易察覺，反而容易漏看可疑的通知。
- B. 對已被取得的密碼沒有效果，按下核准的問題也依然存在。
- C. 正確。讓核准操作與本人的登入綁定，並阻止大量要求。