关于信任的恐怖真相：为什么“已验证”并不意味着安全

让我们来聊聊那些让安全专家彻夜难眠的事情。它不是电影里穿着连帽衫的黑客，也不是什么复杂的零日漏洞。它更简单，却也危险得多：那就是“验证身份”等同于“验证真实性”的假设。

我最近读到了一个非常精彩（且略显恐怖）的案例研究，让我久久不能忘怀。有一家公司——我们就叫它一家典型的中型企业吧——在四个月内经历了三次独立的安全事件。最关键的是：这些事件中没有一次涉及攻破网络或利用软件漏洞。每一次，攻击者只是简单地“变成”了公司已经信任的人。

仔细想想，这真的让人感到不安。

密码很完美，但人并不完美

传统安全机制的问题在于：我们将身份验证视为“锁与钥匙”的问题。输入正确的密码，通过多因素身份验证（MFA）检查，砰的一声——你就进去了。但如果锁的工作方式完全符合设计，而走进来的人……却并不是他自称的那个人呢？

我提到的案例展示了这种问题的三种不同形式。首先，一位首席财务官（CFO）接到了来自“IT支持”的电话，说他的账户有异常活动。来电显示是一个内部号码。对方知道公司的MFA供应商，甚至知道CFO正在旅行（因为他在社交媒体上发了动态，这很正常——我们都会这么做）。他们甚至掌握了在暗网中流传的旧数据泄露信息。

他们只需要他读出一个验证码。而他也照做了。

二十分钟内，有人就开始用他的邮箱申请紧急付款。钱之所以没被转走，唯一的理由是一位敏锐的应付账款专员觉得这个请求“有点不对劲”，然后直接给他打了电话。正是这种人类的直觉拯救了局面。

信任，但要验证（除非你没验证）

这些事件最令我震惊的不是攻击有多复杂，而是它们在大多数安全系统中看起来是多么“平庸”。凭据是对的，身份验证通过了，会话也是有效的。

但在某个环节，我们忘记了“验证”不仅仅是打勾。它关乎确认另一端的人是否真的是他们所声称的那个人——以及他们做这些事是否有合理的理由。

第二个案例涉及一名远程入职的新员工，看起来完全没问题。简历很棒，推荐信很可靠，作品集也很扎实。但问题在于——这些东西都不难被“偷走”。事实证明，这个人一直冒充着一名真实工程师的身份，带着完全虚构的推荐信，从海外使用公司寄到租住房的笔记本电脑进行工作。

之所以能发现这一点，唯一的理由是有人注意到这台笔记本电脑在深夜时分最为活跃。仅此而已。没有复杂的检测技术，只是有人留意到了一个看似有些古怪的地方。

没人谈论的“会话问题”

然后是第三个案例，我认为这是现代安全中最容易被忽视的威胁。一位高管的账户在罗马被访问了，而她当时正在俄亥俄州睡觉。

她的密码没有被破解，MFA也没有被绕过。相反，是共享家用电脑上的恶意软件窃取了她的浏览器会话 Cookie（Session Cookies）。攻击者直接从数字大门走了进来，看起来就像一个完全合法的已验证用户。

这就是基于会话身份验证的“潜规则”：一旦你进来了，你通常会一直待下去。会话令牌（Session tokens）可以保持有效数小时甚至数天。而且与密码不同，用户无法轻易地保护或更换它们。

那么，真正的教训是什么？

我认为这里的教训不是“变得更加多疑”（虽然说实话，适度的警觉总没坏处）。我认为真正的洞察在于“身份验证”与“信任确认”之间的差距。

大多数组织在第一部分做得已经很好了。我们验证凭据，执行MFA，完成各项检查。但在第二部分——持续确认某人是否仍然获得授权并表现得当——这是我们的短板。

我讨论的这些案例都有另一个共同点：它们都是被人类或人类设计的系统发现的，这些系统寻找的是“行为”上的异常，而不仅仅是身份验证的失败。比如，质疑异常请求的同事；注意到奇怪工作模式的分析师；或者是标记了“不可能的旅行”的自动化系统。

技术控制是必要的，但仅靠它们是不够的。真正的安全倍增器是建立一种文化，让员工在感到事情不对劲时，即使凭据完全正确，也有勇气提出质疑。

因为这是一个残酷的事实：在当今的威胁环境下，最大的安全风险可能不是墙外的攻击者，而是那个看起来完美无缺、已经身处墙内的身份。

保持警惕，朋友们。

Tags: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']