微軟 Authenticator 應(yīng)用被曝設(shè)計(jì)缺陷，賬號(hào)被覆蓋、鎖定

　　消息源 CSO News 于 8 月 5 日?qǐng)?bào)道，微軟旗下的 Microsoft Authenticator 身份驗(yàn)證應(yīng)用存在設(shè)計(jì)缺陷，會(huì)覆蓋多重身份驗(yàn)證(MFA)導(dǎo)致其被鎖定。

　　IT之家援引消息稱，Microsoft Authenticator 存在字段使用問題，用戶掃描 QR 二維碼添加新賬號(hào)之后，經(jīng)常會(huì)覆蓋此前賬號(hào)并導(dǎo)致賬號(hào)被鎖定。

　　通常情況下，用戶不太可能聯(lián)系到 Authenticator 應(yīng)用，而是會(huì)歸咎當(dāng)前使用 Authenticator 認(rèn)證的頁面或者服務(wù)上。

　　這個(gè)問題的核心在于，Microsoft Authenticator 會(huì)用相同的用戶名覆蓋賬戶。

　　由于用戶名普遍使用電子郵件地址，大多數(shù)用戶的應(yīng)用程序都使用相同的用戶名。Google Authenticator 等其它身份認(rèn)證應(yīng)用會(huì)添加銀行、汽車公司等信息來避免這個(gè)問題，而 Microsoft Authenticator 只使用用戶名字段。

　　而且更為糟糕的是，在覆蓋賬號(hào)之后，系統(tǒng)很難確定哪個(gè)賬戶被覆蓋，這可能會(huì)導(dǎo)致新創(chuàng)建的賬戶和被覆蓋的賬戶均出現(xiàn)身份驗(yàn)證問題。

　　而用戶可能會(huì)在幾周，甚至幾個(gè)月之后才嘗試使用此前創(chuàng)建的賬號(hào)，而此時(shí)該賬號(hào)已經(jīng)被注銷。