FIDO結合DBSC等技術來應對Session劫持，並聚焦SSF框架拓展不同身分安全協作

來源：https://www.ithome.com.tw/news/175122

近期FIDO臺灣分會舉辦活動，除了解析FIDO聯盟今年的發展路線，從產業視角深入探討三大核心發展方向，值得關注的是，還有多項FIDO最新技術動態亦成為會中焦點，包括FIDO2標準的最新進展，以及與其他協定合作的動向。對此，全景軟體副總經理陳俊良在會中分享了更多深度觀察。

陳俊良指出，回顧半年多來，FIDO2（CTAP2）標準有新的技術演進，新標準允許傳遞更多元參數，讓驗證器在進行身分鑑別的同時，能安全地傳遞可驗證數位憑證（Verifiable Digital Credentials，VDC）、檢查PIN碼複雜度、指定特定認證器，甚至具備儲存加解密金鑰的功能，大幅擴展了其應用場景。此外，支付應用今年也已獨立成立工作小組Payments Working Group（PWG）。

在跨協定合作方面，FIDO聯盟企業部署工作小組（EDWG）近期的動態尤為特別，其中有兩大焦點值得業界注目：

DBSC（Device Bound Session Credentials）

首先，該小組於2025年5月發布白皮書：《DBSC/DPOP as Complementary Technologies to FIDO Authentication》，強調雖然現行FIDO技術雖然防禦了登入階段時的密碼遭網釣威脅，但其他技術環節仍有風險，特別是後驗證（Post-Authentication）階段，使用者登入後獲得的Cookie或Access Token，仍可能被惡意軟體竊取。

因此，該白皮書強調FIDO結合W3C正推動的DBSC（Device Bound Session Credentials）標準，以及結合OpenID基金會推動的DPoP（Demonstrating Proof-of-Possession）標準，這兩者主要目的都是要實現裝置綁定（Device Binding），將安全性從登入過程，延伸到後段的Session Security。

事實上，近期這方面又有新進展，Google自兩年前測試DBSC後，今年4月宣布將其導入於Chrome瀏覽器。

SSF（Shared Signals Framework）

另一項重點是該小組於2025年10月發布的白皮書《FIDO and the Shared Signals Framework》，該文件聚焦於OpenID基金會開發的共享訊號框架，目標是將身分與存取管理（IAM）與信任機制深度結合。

簡單來說，在傳統架構下，各個IAM系統往往各自為政，這導致使用者在登入後的風險狀態變化，難以即時同步給其他系統，例如Token遺失或帳號遭劫持。而透過FIDO與SSF的結合，透過CAEP（持續存取評估）協定來即時分享設備合規狀態、撤銷Token或強制變更連線Session，透過RISC（風險事件協作）來傳遞帳號盜用與異常行為。

陳俊良舉例，當行動裝置管理（MDM）系統偵測到手機環境不合規時，能透過SSF框架即時通知所有串連的應用系統強制登出；在人員入職、離職或調職時，也能確保各系統權限同步自動更新。此外，在執行帳戶復原流程時，配合SSF的訊號偵測，能有效防止攻擊者趁虛而入。

'

Palo Alto Networks完成併購Koi，強化AI代理時代的端點防護

來源：https://www.ithome.com.tw/news/175123

今年初傳出Palo Alto Networks有意買下以色列資安新創廠商Koi的消息，本周正式宣布完成，Palo Alto Networks將藉由整合Koi的技術，為AI代理與自動化工具所帶來的新型資安風險，提供全新的AI代理端點安全（Agentic Endpoint Security，AES）類別解決方案。

Koi成立於2024年，專精於企業端點防護，擁有控管AI代理工具的技術與解決方案。隨著Claude Code、OpenClaw等生成式AI代理與自動化工具的風行，這些工具也成為潛在攻擊入口。Palo Alto Networks表示透過整合Koi的技術，與其Prisma AIRS與Cortex XDR平臺結合，將能擴展對於端點AI代理的可視性和安全性。其中Cortex XDR將藉此引進新增模組，用於識別與回應AI軟體生態系中的風險。Koi的獨立方案（Standalone）則提供代理式端點防護，與既有EDR解決方案整合。

Palo Alto Networks產品技術長Lee Klarich表示：代理AI為企業帶來巨大機遇，但也創造新的攻擊面，而傳統安全工具難以檢測這些攻擊面。透過併購Koi，則能為這項威脅的處理提供新的解決方案。Koi執行長兼聯合創辦人Amit Assaraf則表示：加入Palo Alto Networks後，他們將能為用戶提供最全面的解決方案，以保護終端和企業範圍內的所有AI與軟體安全。

'

Python後門ViperTunnel被用於勒索軟體DragonForce活動

來源：https://www.ithome.com.tw/news/175119

去年活動頻頻的勒索軟體DragonForce，傳出對多家英國零售公司發動攻擊，後續在臺灣也有企業疑似受害。在最近一起攻擊行動當中，駭客使用新的後門程式來隱匿行蹤，引起資安公司的注意。

資安公司InfoGuard在最近一起DragonForce攻擊行動裡，發現不尋常的現象：其中一個工作排程任務竟在無命令列參數的條件下執行，由於在正常的Windows環境，未下達指令碼的路徑或參數相當少見，該公司起初推測攻擊者使用DLL側載手法，不過進一步調查後發現並非如此，攻擊者濫用Python的自動匯入功能，讓惡意程式碼在電腦啟動時自動執行。

駭客使用的惡意程式，是以Python為基礎打造的後門程式ViperTunnel，駭客將其偽裝成系統檔案b5yogiiy3c.dll，不過本質上是以系統程式庫形成建立的Python指令碼，為了避免他人識破，駭客採用3種演算法與壓縮機制進行處理，此後門程式採用SOCKS5隧道建立通訊。根據調查結果，攻擊者的身分是EvilCorp旗下的UNC2165。

InfoGuard也提及駭客還會搭配另一個惡意程式ShadowCoil，此為Python打造的竊資軟體，可針對以Chromium為基礎的瀏覽器竊取使用者憑證，後來也支援對Firefox發動攻擊。

針對這起事故的調查結果，代表使用ViperTunnel的駭客正在轉型，而兩款惡意程式在混淆手法上出現顯著的技術程度差異，代表開發團隊可能不同。值得留意的是，ShadowCoil近期加入了Linux除錯器檢查機制，顯示駭客可能朝向跨平臺發展。再者，這些惡意程式的基礎設施不採用8000部等常見的通訊連接埠，並搭配偽造的標頭來妨礙偵察，使得攻擊來源更加難以解析。

'

微軟修補Windows Active Directory重大漏洞，未更新恐成為入侵企業網路入口

來源：https://www.ithome.com.tw/news/175118

微軟近日於4月例行更新所揭露與修補的漏洞中，部分漏洞引起資安社群的關注，建議列為優先更新對象，Windows Active Directory可能導致遠端執行程式碼的高風險漏洞CVE-2026-33826，便是其中之一。

CVE-2026-33826這個漏洞的CVSS嚴重性評分達8.0分，源自Active Directory的輸入驗證機制缺陷，攻擊者僅需擁有低權限，即能在相同網域或鄰近網路環境中，透過特製的RPC（遠端程序呼叫）請求發動攻擊，從而在目標系統上執行任意程式碼，一旦攻擊成功，攻擊者還可能進一步控制網域，並在網域內橫向移動，對於以Active Directory作為身分驗證與存取管理核心的企業環境來說，構成嚴重威脅。

微軟在CVE-2026-33826的公告中指出，此漏洞無需與用戶互動即可觸發，對機密性、完整性與可用性皆會造成高度影響，並將其列為「較可能遭利用」（Exploitation More Likely），意味著未來可能出現實際攻擊，企業用戶應將此漏洞列為優先更新對象，儘速套用修補程式。

'

從產業界角度看FIDO最新3大趨勢，可驗證數位憑證（VDC）與認識你的Agent（KYA）成關鍵

來源：https://www.ithome.com.tw/news/175116

為了幫助國內產業掌握FIDO最新發展態勢，近期FIDO臺灣分會於今年3月舉辦分享活動，邀請多位親赴FIDO巴黎研討會的專家分享第一手觀察，透過解析會議中的關鍵動態，協助國內產業深入了解最新趨勢，為未來的身分識別轉型做好準備。

這次活動除了有工研院專家解析FIDO聯盟正聚焦三大議題：數位憑證（Digital Credential）、代理式AI（Agentic AI）、歐盟CRA（Cyber Resilience Act），現場還有多位產業人士解析FIDO聯盟最新進展，當中同樣有針對上述三大態勢提出深度解析。

例如，關於FIDO與數位憑證的發展上，全景軟體副總經理陳俊良表示，FIDO聯盟的政府部署工作小組（GDWG）在去年9月，曾發表一份與數位憑證相關的白皮書，名為《Passkeys and Verifiable Digital Credentials (VDC): A Harmonized Path to Secure Digital Identity》。

陳俊良解釋，這份白皮書在探討通行密鑰（Passkey）與可驗證數位憑證（VDC）如何協調運作。首要重點是，此白皮書開宗明義指出Passkey與VDC是互補的解決方案，而非競爭關係。Passkey作為Web存取的安全門戶，而VDC則在高風險交易中提供驗證資料；其次，Passkey技術本身僅聚焦登入安全，現在則是進一步探討核發前的身分驗證。

全景軟體副總經理陳俊良表示，目前趨勢方向是透過VDC來支援Passkey的核發與帳戶復原，提升實名身分認證的可信度。該白皮書也點出，全球已有許多國家正加速布局VDC的發展。

對於FIDO應對代理式AI的討論，東擎科技軟體技術二部資安產品經理劉佳明表示，在這次研討會上他也深刻觀察到Agent時代的認證挑戰。他進一步剖析，當AI Agent成為具備執行力的行動者，傳統驗證將出現困境。過去我們驗證的是「人是否為本人」，但在AI Agent時代，當Agent遠端向系統發送請求，系統如何確認它還是那個Agent？

針對此態勢，FIDO聯盟成員正積極探討KYA（Know Your Agent），也就是「認識你的代理人」的概念。劉佳明認為，KYA是未來趨勢，是必要的起點，但尚未解決此刻Agent是否可信的問題，像是KYA要求「持續監控Agent行為」，這在現實中是一大挑戰。舉例來說，Passkey可以驗證是本人授權每個動作，但Agent每日執行數百個動作，人類的耐心是有限的。

他另提到，從硬體製造角度來看，KYA在發展上還要考量多層防線，像是需要Hardware in the Loop，也就是Agent執行過程中，由硬體層判斷當前狀態是否允許操作，硬體Root of Trust（RoT）同樣是必要條件，確保安全策略不被竄改，並提供完善的憑證保護。另外，雖然KYA驗證了Agent身分，但Agent遭受提示注入或記憶投毒的問題，則是另一層面的嚴峻挑戰。

至於FIDO與CRA之間的探討，劉佳明指出，這也是他們硬體廠商非常關注的重要議題。他認為，儘管CRA於2027年正式生效，但漏洞通報規範今年9月率先上路，若等明年相關指引出爐才倉促應對是完全來不及，因此目前其公司內部是以全公司規模去做準備。另外他也推薦，可參考FIDO聯盟提出的「5步驟輕量化CRA合規計畫」。

東擎科技軟體技術二部資安產品經理劉佳明表示，他注意到FIDO聯盟提出一套「5步驟輕量化CRA合規計畫」，從釐清製造商、界定CRA合規義務歸屬開始，一步步到驗證準備就緒，其流程極具參考價值，足以供外界業者借鏡。

'