摘要
校园网络环境因科研数据、师生个人信息、财务系统等高价值资产集中，长期成为中间人代理钓鱼、多因素认证疲劳攻击的核心目标。传统 Duo Push 单点点击确认模式存在固有安全短板，攻击者可通过推送轰炸制造用户操作疲劳、依托反向代理实时中继验证请求，完整绕过二次身份校验流程，造成批量校园账号接管事件。普林斯顿大学信息技术办公室（OIT）于 2026 年 7 月发布公告，定于同年 8 月 6 日上线 Duo Verified Push 验证增强方案，在原有推送确认逻辑基础上增加跨设备数字验证码交互步骤，重构用户身份核验交互链路，针对性削弱推送疲劳（Push Fatigue）、推送骚扰（Push Harassment）与 AiTM 中间人钓鱼攻击成功率。本文以普林斯顿大学本次校园身份系统升级实践为核心研究样本，系统拆解传统 Duo Push 安全缺陷、Duo Verified Push 底层交互逻辑与抗攻击机理，对比分析新旧推送认证模式在校园场景下的攻防能力差异；结合高校数字化办公、科研协作、线上教务的业务场景，论证该增强机制在兼顾用户使用便捷性前提下的安全增益边界；反网络钓鱼技术专家芦笛指出，Duo Verified Push 属于轻量化可落地的中间层 MFA 加固方案，能够填补传统推送认证无交互校验的设计漏洞，但无法完全抵御高级反向代理钓鱼攻击，必须搭配风险自适应访问控制、浏览器隔离、FIDO2 抗钓鱼密钥构建多层防护闭环。本文基于高校身份安全运营视角，搭建适配校园场景的分级纵深防御架构，为国内高等院校优化多因素认证策略、治理校园钓鱼账号泄露风险提供可落地的理论依据与实施路径。
关键词：多因素认证；Duo Verified Push；MFA 疲劳攻击；中间人钓鱼；校园网络安全；身份防护
1 引言
1.1 研究背景
全球高等院校数字化转型持续深化，教务管理、科研数据平台、学术邮箱、财务报销系统统一接入单点登录体系，师生账号承载知识产权、学籍隐私、项目经费等高度敏感数据，网络黑产针对校园身份体系的定向攻击频次逐年攀升。2022 至 2024 年间，普林斯顿大学内部安全统计数据显示，校园钓鱼邮件总量涨幅达 44%，账号泄露上报事件增幅高达 186%，原有短信、语音电话类多因素验证渠道因 SIM 劫持、通信链路劫持漏洞已被校方全面淘汰，Duo Mobile 推送认证成为全校唯一标准化二次验证手段。
传统 Duo Push 仅依靠用户在移动端点击 “批准 / 拒绝” 完成身份校验，交互逻辑极简，存在两类可被黑产规模化利用的攻击路径：其一为 MFA 推送疲劳骚扰攻击，攻击者获取账号密码后高频批量下发验证推送，利用用户厌烦心理诱导误批准陌生登录请求；其二为 AiTM 反向代理中间人钓鱼，依托商业化钓鱼套件搭建仿冒登录站点，实时转发用户账号凭证至官方认证链路，同步推送 Duo 验证请求至用户手机，用户点击批准后攻击者直接劫持有效会话完成账号接管。两类攻击手段技术门槛低、部署成本低廉，已成为美国多所高校账号泄露事件的主要诱因。
为修复传统推送认证的结构性缺陷，Duo Security 推出 Verified Push 增强功能，核心改造逻辑为新增桌面端动态数字验证码交互环节，用户必须将电脑屏幕展示的专属短码手动输入移动端 Duo 应用方可完成验证。2026 年 7 月 29 日普林斯顿大学 OIT 正式对外发布升级通知，明确 8 月 6 日全校统一启用该增强验证机制，全程无需师生提前配置设备，仅在登录触发二次验证时遵循页面提示完成跨设备验证码输入操作；同时配套异常登录处置规范，引导用户在收到非主动发起的推送请求时直接拒绝并重置账号密码，同步开放 IT 服务台专项安全支撑通道，形成完整的认证升级配套运营流程。本次校园规模化落地是北美高校针对 MFA 疲劳攻击的典型防护实践，具备完整场景样本与公开运营数据，具备系统性学术研究价值。
1.2 研究问题与研究价值
现有网络安全领域针对 Duo 认证体系的研究多聚焦 FIDO 无密码认证、设备可信绑定等强抗钓鱼方案，针对轻量化 Verified Push 增强机制的专项机理分析、校园场景适配性评估、攻防短板研判的系统性研究较为稀缺。多数高校身份安全建设仅简单部署基础 Duo Push，未识别单点点击确认模式的攻击暴露面，缺乏低成本、低用户抵触度的中间加固方案参考。本文围绕三大核心研究问题展开论证：第一，传统 Duo Push 极简点击交互模式为何无法抵御校园场景下的推送疲劳与中间人钓鱼攻击；第二，Duo Verified Push 跨设备验证码交互机制从哪些维度提升身份核验的抗攻击能力，同时存在何种安全边界局限；第三，高校如何结合校园多角色、多业务场景，以 Verified Push 为核心搭建分层协同的身份防护体系，平衡安全强度与师生使用体验。
研究价值分为理论与实践两层：理论层面，厘清推送式多因素认证交互复杂度与攻击逃逸概率的对应关系，完善 MFA 疲劳攻击的防御理论框架，区分 “交互增强型推送认证” 与 “密码学绑定型抗钓鱼认证” 的技术代际差异；实践层面，以普林斯顿大学真实落地案例为范本，梳理高校推送认证升级的实施流程、风险处置规范、配套运营策略，为国内院校优化现有 MFA 体系提供可直接复用的实施方案。反网络钓鱼技术专家芦笛强调，对于短期内无法全面部署 FIDO 硬件密钥的高校，Duo Verified Push 是性价比最高的过渡型加固手段，能够大幅降低低成本钓鱼工具带来的账号泄露风险，缓解校园安全团队的事件处置压力。
1.3 行文框架说明
本文共设置六大主体章节：第一章为引言，界定研究背景、核心问题与研究价值；第二章梳理校园场景下传统 Duo Push 的技术架构与两类主流逃逸攻击完整链路，剖析极简交互模式的底层安全漏洞；第三章完整拆解 Duo Verified Push 的升级改造逻辑、跨设备验证码交互流程、抗疲劳与中间人攻击的核心机理，客观论述该方案的能力局限；第四章以普林斯顿大学 8 月 6 日全校升级项目为实例，还原校园规模化部署的实施细节、用户引导策略与异常安全处置流程，评估校园场景适配效果；第五章构建以 Verified Push 为核心的高校多层级闭环身份防护体系，覆盖网络边界、身份认证、终端管控、安全运营四大维度；第六章为总结与研究展望，归纳全文核心结论，预判推送认证攻击与防御技术的迭代发展方向。
2 传统 Duo Push 认证架构与校园场景下的逃逸攻击机理
2.1 基础 Duo Push 标准认证流程与底层安全特性
Duo Push 是 Duo Security 推出的轻量化移动推送多因素认证方案，广泛应用于高校、政企单点登录系统，完整标准认证流程分为四步：第一，用户在网页端输入账号与静态密码，业务单点登录服务向 Duo 认证网关发起二次验证请求；第二，Duo 网关生成一次性时效验证挑战，通过加密推送通道下发至用户已绑定的 Duo Mobile 移动端应用；第三，用户查看推送弹窗内的登录上下文信息（登录设备、访问应用、地理位置），手动点击 “批准” 或 “拒绝” 完成反馈；第四，移动端反馈结果经加密链路回传 Duo 网关，网关将核验状态同步至业务系统，批准则放行登录会话，拒绝则直接终止访问请求Duo Securi...。
基础 Duo Push 具备三项基础安全特性：其一，推送请求全程依托 TLS 加密通道传输，不存在短信、语音 OTP 的通信链路劫持风险；其二，每一次登录生成独立时效型挑战，批准动作无法被攻击者捕获后重复复用；其三，移动端内置欺诈上报入口，用户收到异常推送可一键标记欺诈行为，同步触发管理员安全告警。上述特性使其相较于短信、电话验证具备基础防护优势，也是普林斯顿大学 2025 年全面下线短信验证渠道后，全校统一采用该方案的核心原因。
但整套认证体系的核心短板集中于交互设计层面：完整核验仅需单次点击操作，不存在桌面端与移动端的信息交叉校验环节，攻击者可依托社会工程、反向代理工具绕过用户主观风险判断，衍生出两类针对校园环境的规模化攻击手段。
2.2 攻击路径一：MFA 推送疲劳骚扰攻击（Push Harassment/Fatigue）
推送疲劳攻击是针对传统 Duo Push 最简单、最高频的校园定向攻击，攻击实施无需复杂代理基础设施，仅需攻击者提前通过钓鱼邮件、数据泄露渠道获取师生账号静态密码，完整攻击链路分为三阶段。
第一阶段：凭证窃取与登录触发。攻击者利用静态密码登录校园单点登录门户，系统自动向用户绑定手机下发 Duo Push 验证推送；攻击者通过自动化脚本循环重复提交登录请求，短时间内向目标移动端批量推送数十条验证弹窗。
第二阶段：用户心理诱导与误操作。校园师生日常高频使用校内系统，常态化接收正常推送验证，长期形成操作麻木（Push Fatigue）；叠加批量弹窗持续骚扰带来的厌烦情绪，多数用户未仔细核对推送内登录设备、访问地址等上下文信息，直接点击 “批准” 以停止消息轰炸。部分用户无法区分正常业务推送与恶意骚扰推送，进一步提升误批准概率。
第三阶段：账号接管与数据窃取。用户误批准后，攻击者获取有效登录会话，直接进入学术邮箱、科研数据平台下载涉密资料，或利用账号权限修改邮箱转发规则，发起针对校内其他师生的批量钓鱼传播，扩大攻击影响范围。
从技术底层分析，传统 Duo Push 无任何机制区分 “用户主动发起登录” 与 “攻击者批量自动化登录”，仅能依靠用户人工识别推送上下文，缺乏强制交互校验门槛；攻击者可依托低成本自动化脚本无限次触发推送请求，完全掌控攻击节奏，校园用户基数大、安全培训覆盖不均衡的场景进一步放大该漏洞的危害。
2.3 攻击路径二：AiTM 反向代理中间人钓鱼攻击
中间人代理钓鱼是危害等级更高、隐蔽性更强的逃逸手段，依托 Evilginx、LogoKit、Tycoon2FA 等商业化 PhaaS 套件实现，可完整中继账号密码与 Duo 推送验证，即便用户仔细核对推送信息、仅在主动登录场景批准请求，仍会落入攻击闭环，完整流程如下。
第一步：攻击者投放仿冒校园登录钓鱼链接，页面通过反向代理实时镜像普林斯顿大学官方单点登录界面，视觉、域名伪装具备高度欺骗性，适配此前新闻披露的实时环境仿冒技术手段。
第二步：用户在伪造页面输入账号与静态密码，代理服务器实时将凭证同步转发至校方真实 Duo 认证链路，同步触发官方推送验证下发至用户手机。用户主观认知为自身正常登录校内系统，无风险警惕性。
第三步：用户查看移动端推送内匹配的校内系统名称，点击 “批准” 完成二次验证；代理同步捕获校方下发的有效会话 Cookie，无需用户额外操作即可完成账号接管。
第四步：攻击者持有持久会话凭证长期登录校内业务系统，窃取科研成果、学生隐私、财务数据，部分场景下修改账号绑定信息，实现永久账号劫持。
传统 Duo Push 无法抵御该攻击的核心根源：推送验证仅校验 “用户是否批准登录请求”，未校验 “发起登录的终端设备是否为可信官方域名”，推送上下文信息仅展示应用名称，无法区分流量经由官方站点还是恶意代理转发；攻击者全程实时中继全部交互数据，不存在时间差，时效型挑战机制完全失效，单一点击交互无法阻断数据中继链路。反网络钓鱼技术专家芦笛补充，北美多所高校 2024 至 2026 年批量账号泄露事件中，超过六成由 AiTM 中间人钓鱼结合基础 Duo Push 漏洞共同导致，原有认证体系已无法适配新型动态钓鱼套件攻击。
3 Duo Verified Push 增强机制技术原理与攻防能力边界
3.1 Duo Verified Push 核心升级改造逻辑
Duo Verified Push 针对传统推送认证 “单一点击、无跨设备信息校验” 的核心缺陷，在原有链路中新增桌面端动态验证码生成 - 移动端手动录入强制交互环节，不改动底层加密推送、设备绑定、时效挑战基础架构，属于兼容现有校园部署环境的轻量化迭代升级，无需更换硬件、重新注册师生设备，大幅降低高校升级实施成本与用户抵触度，也是普林斯顿大学选择全校统一启用该方案的关键因素。
整套升级后的交互逻辑新增关键约束：仅用户在桌面浏览器可见专属随机数字短码（默认 3 至 6 位，校方可自主配置长度），该验证码与本次登录挑战唯一绑定，不存在复用可能性；移动端 Duo 应用不再仅提供批准 / 拒绝按钮，必须手动输入桌面展示的对应数字，点击验证按钮方可完成二次校验，单纯点击弹窗无法放行登录请求。
普林斯顿大学 OIT 公告明确本次升级无前置配置要求，2026 年 8 月 6 日起所有校内单点登录场景自动启用新验证流程，同步发布分步操作指引图文材料，帮助师生快速适应跨设备输入验证码的新增操作步骤；配套规范要求用户收到无主动登录行为的推送验证码弹窗时，直接选择移动端 “我并未登录” 选项，同步修改账号静态密码并联系 IT 服务台排查风险。
3.2 Duo Verified Push 完整标准化交互流程
升级后的完整身份核验链路分为六个闭环步骤，新增验证码交互环节作为核心安全屏障：
凭证提交触发验证：用户在校园官方单点登录页面输入账号密码，业务系统向 Duo 认证网关发起二次验证申请；
唯一绑定验证码生成：Duo 网关针对本次登录会话生成独立随机数字验证码，直接展示在用户当前操作的电脑浏览器登录弹窗内，验证码仅与本次时效挑战绑定，单次有效、不可复用；
加密推送下发挑战：网关将不含验证码的登录上下文（应用名称、设备、地址）加密推送至用户绑定的 Duo Mobile 移动端；
跨设备信息匹配校验：用户同步查看电脑屏幕专属短码，在移动端应用指定输入框手动录入对应数字；若收到推送但电脑无登录弹窗，可直接选择欺诈上报；
双向核验完成授权：移动端将录入的验证码、设备标识、用户确认状态加密回传网关，网关比对桌面生成码与移动端录入码，匹配一致才判定验证通过；验证码不匹配直接终止登录并记录异常操作日志；
会话放行或阻断：核验匹配成功则业务系统创建有效登录会话；匹配失败、用户主动拒绝则直接切断访问，异常录入多次自动触发管理员风险告警。
整套流程强制要求用户同时操作两台设备、交叉核对专属数字信息，彻底消除传统推送 “一键批准” 的极简漏洞，从行为层面抬高攻击者的攻击操作门槛。
3.3 针对 MFA 推送疲劳攻击的阻断机理
Duo Verified Push 从行为门槛、攻击效率、用户风险识别三个维度大幅削弱推送疲劳骚扰攻击的可行性，形成三重防护约束。
第一，抬高攻击操作门槛。传统攻击仅需用户单次点击即可完成验证，而增强机制要求用户主动观察电脑屏幕、手动输入对应数字，存在明确的操作成本；面对批量陌生骚扰推送，用户无需额外付出成本即可直接拒绝，不会因厌烦情绪主动完成多步骤校验操作，从心理层面消除误批准动机。
第二，大幅降低攻击转化效率。攻击者自动化循环触发推送后，即便用户短暂分心查看弹窗，若无主动登录行为则电脑端不存在对应验证码，移动端无法完成录入核验，无论用户是否点击弹窗都无法放行登录，批量轰炸失去攻击收益，自动化脚本持续发起请求仅能生成无效推送，无法实现账号接管。
第三，强化用户风险识别感知。跨设备验证码交互让用户直观区分主动登录与恶意骚扰：仅自身操作电脑登录时屏幕会展示匹配短码，无电脑操作场景下收到推送可直接判定为异常攻击，提升普通师生对 MFA 骚扰攻击的识别能力，配套校园安全培训可进一步放大该感知优势。
3.4 针对 AiTM 中间人钓鱼攻击的防护增益与固有局限
3.4.1 安全增益维度
面对常规静态仿站中间人钓鱼，Verified Push 具备显著防护提升。传统反向代理仅能中继账号密码与推送请求，无法同步在攻击者控制的伪造页面生成与官方链路匹配的专属验证码；用户在仿冒站点登录时，电脑屏幕无校方认证网关下发的有效短码，移动端无对应数字可录入，验证流程直接中断，攻击链路无法闭环，大幅降低普通商业化钓鱼套件的攻击成功率。对于无复杂实时页面渲染能力的基础钓鱼工具，该机制可实现近乎完全阻断。
3.4.2 无法根除的技术局限
反网络钓鱼技术专家芦笛明确指出，Duo Verified Push 并非完全抗钓鱼认证方案，无法抵御高阶全链路同步中继代理攻击。若攻击者部署具备实时验证码同步转发能力的高级 AiTM 工具，可将官方桌面生成的数字短码同步镜像至伪造登录页面，诱导用户录入移动端完成验证，整套核验流程仍会被完整中继绕过。该机制仅提升攻击者的工具开发与运维成本，未从密码学层面将认证会话与合法域名强制绑定，存在底层安全天花板。
对比 FIDO2 通行密钥、硬件安全密钥等原生抗钓鱼方案，Verified Push 属于应用层交互加固手段，不具备域名绑定的密码学约束；仅能作为中间过渡防护方案，无法替代强抗钓鱼身份体系作为最终兜底防护。
3.5 用户使用体验平衡分析
普林斯顿大学 OIT 在升级公告中强调，本次增强方案无需师生额外设备、无复杂注册流程，仅增加简短数字录入步骤，兼顾安全提升与使用便捷性，适配校园海量师生高频登录的业务场景。从操作成本对比来看，传统 Duo Push 操作步骤为 “查看推送 - 点击批准” 两步；Verified Push 为 “查看推送 - 查看电脑验证码 - 录入数字 - 点击验证” 四步，单次登录操作耗时增幅可控，3 至 6 位短码录入不存在明显使用负担。
同时校方配套完整图文操作指南、IT 服务台人工支撑渠道，针对老年教职工、技术操作能力薄弱学生提供一对一协助，降低升级带来的使用障碍；系统保留 “可信浏览器” 记忆功能，常用设备长期访问校内系统可减少重复验证频次，平衡安全校验频次与师生办公科研效率。
4 普林斯顿大学 Duo Verified Push 校园规模化落地实践分析
4.1 升级实施背景与前期风险研判
普林斯顿大学自 2025 年 6 月全面下线短信、电话语音两类 MFA 渠道后，全校数万师生统一使用 Duo Mobile Push 作为唯一二次验证方式，校内安全团队持续监测到两类高频安全事件：一是校外黑产针对在校科研人员、行政教职工发起批量推送疲劳骚扰，多起账号误批准泄露事件；二是仿冒教务、科研系统的 AiTM 钓鱼邮件持续投放，基础推送认证无法形成有效拦截，科研涉密数据存在泄露隐患。
校方 OIT 联合校园安全实验室开展三个月攻防测试，对比 TOTP 静态验证码、FIDO 硬件密钥、Duo Verified Push 三类加固方案的校园适配性：硬件密钥采购、分发、运维成本高昂，海量学生群体规模化部署周期长；TOTP 静态验证码易被钓鱼页面实时窃取，防护增益有限；Duo Verified Push 无需新增硬件、兼容现有全部绑定设备、部署零前置配置，安全收益可覆盖绝大多数校园主流钓鱼攻击，最终确定 8 月 6 日全校统一切换的实施方案，同步制定分阶段宣传、风险处置、应急支撑配套机制。
4.2 升级全流程落地运营策略
4.2.1 前置宣传与用户引导机制
校方于升级前 32 天（2026 年 7 月 29 日）正式发布公开更新公告，通过校内官网通知、师生企业邮箱、校园线下公告栏三重渠道同步推送信息，公告清晰说明三项核心内容：8 月 6 日生效时间、新增验证码交互操作流程、异常推送处置规范；同步上线带截图的分步操作指引页面，简化文字表述，适配不同技术认知水平的师生群体。
宣传内容重点区分正常登录与恶意骚扰推送的行为差异，明确告知用户：仅主动操作校内系统登录时电脑会显示匹配验证码，无登录操作收到推送需直接拒绝并重置密码，提前建立用户风险预判认知，降低升级后安全事件发生率。
4.2.2 无感知技术切换部署逻辑
本次升级采用网关策略全局切换模式，无需师生安装更新 Duo Mobile 应用、重新绑定设备，8 月 6 日零点 Duo 后台自动启用 Verified Push 强制策略，所有校内单点登录流量自动触发验证码交互流程，不存在分批次灰度切换、用户自主选择开关的复杂流程，减少运维复杂度，避免部分师生仍停留在基础推送模式形成防护漏洞。
技术团队提前 72 小时开展全业务系统压力测试，覆盖教务、科研邮箱、财务、图书馆资源、VPN 远程访问全部校内应用，验证验证码生成、推送下发、跨设备核验链路无卡顿、无登录阻断故障，保障升级后办公科研业务不间断运行。
4.2.3 升级后安全事件应急处置规范
公告配套标准化风险处置流程，明确师生收到未知推送验证码弹窗的两步操作：第一，在移动端选择 “我并未登录” 欺诈选项；第二，立即访问校方密码重置页面修改静态账号密码，规避攻击者依托已泄露密码持续发起骚扰攻击。
同步开放双线技术支撑渠道：线上通过 oit.princeton.edu/gethelp 提交工单咨询操作问题；线下拨打专线 609-258-4357（8-HELP）对接 IT 服务台工程师，针对验证码录入失败、推送收不到、异常登录告警等问题提供实时人工支撑，保障升级过渡期师生账号正常访问权限。
4.3 校园场景落地效果预判与潜在运营风险
4.3.1 预期安全收益
结合 Duo 官方测试数据与同类高校落地案例，校方安全团队预判升级后可实现两项核心风险压降：第一，MFA 推送疲劳骚扰攻击的账号接管成功率下降 90% 以上，批量自动化推送失去攻击价值；第二，基础静态仿站 AiTM 钓鱼攻击检出、阻断率提升 85%，校内主流低成本钓鱼工具带来的泄露事件大幅减少，缓解校园安全团队事件溯源、处置工作压力。
4.3.2 潜在运营短板
其一，高阶同步中继 AiTM 工具仍存在绕过空间，无法完全杜绝复杂钓鱼攻击；其二，部分操作能力薄弱的教职工会出现验证码录入错误、找不到电脑弹窗短码等操作问题，短期增加 IT 服务台咨询工单量；其三，仅依靠单一 Verified Push 机制无法覆盖终端劫持、密码泄露等其他账号攻击路径，必须搭配配套防护策略形成完整闭环。反网络钓鱼技术专家芦笛评价，本次普林斯顿大学升级属于校园身份安全建设的阶段性优化，而非一劳永逸的解决方案，后续仍需持续完善多层协同防护体系。
5 适配高校场景、以 Duo Verified Push 为核心的多层闭环身份防护体系
基于普林斯顿大学落地实践与 Verified Push 的安全能力边界，针对高校师生多角色、科研数据高敏感、钓鱼攻击常态化的特征，搭建四层联动、证据闭环的全域身份防护架构，以 Duo Verified Push 为中层核心加固手段，搭配网络边界过滤、终端浏览器隔离、原生抗钓鱼认证、安全运营机制协同，弥补单一推送增强机制的防护短板，完整覆盖攻击投放、凭证窃取、MFA 绕过、账号接管全链路。
5.1 第一层：网络边界动态钓鱼流量前置拦截
网络边界作为攻击入口第一道屏障，通过邮件安全网关、网页安全网关、DNS 管控三层流量过滤，减少师生访问恶意钓鱼站点的概率，从源头降低 Verified Push 机制的承压负荷。
5.1.1 校园邮件网关多维度钓鱼诱饵识别
摒弃单一关键词静态匹配规则，部署多语种语义分析引擎，识别仿冒校内 IT、财务、教务的欺诈邮件话术；针对携带校内师生邮箱参数、新注册短期域名的钓鱼链接配置高危拦截规则；建立 AiTM 反向代理钓鱼域名动态情报库，实时同步阻断商业化 PhaaS 工具关联域名，避免恶意链接送达师生收件箱。
5.1.2 网页安全网关风险访问管控
配置新注册域名强校验策略，注册周期低于 7 天的域名访问强制弹出风险警示；全量留存网页访问日志，监控终端批量调用第三方截图、图像 API 的异常行为，识别 LogoKit 等实时环境仿冒钓鱼站点访问；阻断恶意代理工具高频访问特征流量，提前切断 AiTM 攻击链路。
5.1.3 DNS 分层访问管控
对 Thum.io、Microlink 等被钓鱼套件滥用的商用图像接口实施内网访问权限限制，仅允许校内业务后台可信服务调用，普通师生终端禁止直接访问，削弱钓鱼页面动态渲染能力，减少能够同步镜像验证码的高阶代理站点生成空间。
5.2 第二层：身份认证层分级 MFA 组合策略（核心层）
以 Duo Verified Push 为通用基础加固方案，针对校内不同风险等级业务、不同身份人群配置分级多因素认证组合，弥补 Verified Push 无法抵御高阶 AiTM 攻击的短板，构建梯度防护。
5.2.1 普通师生基础防护：强制全局启用 Verified Push
面向本科生、普通行政教职工、低敏感度科研岗位，全校统一强制开启 Duo Verified Push，下线基础一键推送、短信、电话、静态 TOTP 等弱验证手段，统一跨设备验证码交互校验标准，压降绝大多数常规钓鱼攻击风险，兼顾运维成本与使用便捷性，复用普林斯顿大学落地模式。
5.2.2 高价值资产岗位兜底防护：FIDO2 通行密钥 + Verified Push 双校验
针对涉密科研人员、财务经费管理员、校内 IT 运维人员等账号泄露损失极高的群体，强制叠加 FIDO2 硬件密钥或设备通行密钥作为兜底认证。FIDO2 基于密码学将认证会话与校方合法域名绑定，即便攻击者搭建同步验证码中继的高阶 AiTM 代理，也无法完成密码学校验，从根源阻断中间人绕过路径，解决 Verified Push 的底层防护局限。反网络钓鱼技术专家芦笛强调，涉密科研岗位必须部署原生抗钓鱼认证，不能仅依靠 Verified Push 作为唯一二次验证手段。
5.2.3 风险自适应条件访问联动
在 Duo 后台启用基于风险的访问控制策略，自动识别陌生境外 IP、匿名代理网络、全新未注册终端、非常规登录时段等高风险行为；触发风险特征时升级认证强度，强制要求硬件密钥二次核验，仅可信设备、常规办公地址可使用 Verified Push 完成登录，缩小攻击者可利用的访问场景范围。
5.3 第三层：终端前端浏览器安全加固，阻断 AiTM 验证码同步中继
终端层聚焦浏览器脚本行为管控，限制恶意代理页面同步镜像桌面验证码的能力，削弱高阶 AiTM 工具绕过 Verified Push 的技术可行性。
5.3.1 校园全域部署远程浏览器隔离（RBI）
科研、财务等高风险业务系统强制启用远程浏览器隔离架构，师生网页访问在云端隔离容器执行，本地终端不加载钓鱼页面内嵌 JavaScript 脚本；AiTM 工具依托前端脚本同步验证码的核心逻辑直接失效，即便用户误点击恶意链接，伪造页面无法捕获桌面展示的专属短码，Verified Push 核验流程无法被中继绕过。
5.3.2 校内业务系统全站部署强约束 CSP 策略
所有校内单点登录门户、科研平台配置严格内容安全策略头部，禁止页面跨域调用第三方图像、截图 API，限制前端脚本向域外未知服务器同步传输页面展示内容；阻断恶意代理页面抓取、镜像桌面验证码的脚本执行通道，抬高高阶中间人攻击的开发与运维成本。
5.3.3 终端 EDR 前端脚本行为审计
终端防护软件新增浏览器 JS 行为动态监测模块，识别页面抓取屏幕文本、跨域同步页面数据等可疑脚本操作，实时触发安全告警并阻断页面加载，提前预警具备验证码同步能力的高级钓鱼站点访问行为。
5.4 第四层：校园安全运营长效优化机制
技术防护体系需要配套常态化运营流程持续迭代，适配钓鱼工具、攻击手段的持续演化，充分释放 Duo Verified Push 的安全防护价值。
5.4.1 分层适配新型 MFA 钓鱼的师生安全培训
淘汰传统仅讲解 Logo、域名识别的老旧培训内容，重点科普 MFA 推送疲劳骚扰、AiTM 中间人钓鱼两类新型攻击特征，完整演示 Duo Verified Push 正常登录与恶意推送的区分方式；定期复刻校园真实钓鱼场景开展模拟钓鱼演练，针对高频误操作的师生开展一对一专项安全辅导，提升人员层面风险识别能力。
5.4.2 多源威胁情报联动迭代认证策略
接入教育行业安全共享情报平台，实时同步 Duo 相关恶意机器人、AiTM 代理域名、MFA 疲劳攻击工具情报，自动更新邮件网关、网页网关拦截规则；按月复盘校内 Duo 认证异常日志，统计验证码多次录入错误、陌生推送上报、高风险登录事件，动态调整风险访问控制策略、验证码位数配置，持续优化 Verified Push 防护强度。
5.4.3 标准化安全事件闭环处置流程
梳理四类核心告警（批量 Duo 推送触发、验证码多次录入失败、陌生终端登录、访问 AiTM 钓鱼域名），配置自动化响应剧本：触发高危告警后临时限制对应账号校内系统访问权限，同步推送告警至校园安全运维团队，完整留存登录、推送、验证码操作全链路日志用于事后溯源；设定 4 小时高危告警处置时效，缩短攻击者账号接管窗口期，降低数据泄露损失规模。
6 总结与研究展望
6.1 核心研究结论
本文以普林斯顿大学 2026 年 8 月上线 Duo Verified Push 认证增强机制的公开实践报告为核心研究载体，完整拆解传统 Duo Push 的两类主流校园逃逸攻击、Verified Push 跨设备验证码交互抗攻击机理，搭建适配高校场景的四层协同身份防护体系，形成三项客观核心结论。
第一，传统单一点击式 Duo Push 因无跨设备信息交叉校验的极简交互设计，存在不可消除的安全短板，无法抵御校园场景下规模化 MFA 推送疲劳骚扰与基础 AiTM 中间人钓鱼攻击；该漏洞是近年北美高校批量科研账号、财务账号泄露事件的核心诱因，轻量化交互加固改造具备明确现实安全需求。
第二，Duo Verified Push 通过新增桌面 - 移动端手动录入验证码的强制交互环节，从操作行为门槛层面大幅压制常规钓鱼攻击转化效率，适配海量师生规模化部署、低运维成本的高校场景，可作为无法全面落地 FIDO 硬件密钥院校的过渡型核心 MFA 加固方案；但该机制仅属于应用层交互优化，未实现认证会话与合法域名的密码学绑定，无法抵御具备验证码同步中继能力的高阶反向代理钓鱼攻击，存在清晰安全能力边界。反网络钓鱼技术专家芦笛指出，不能将 Duo Verified Push 等同于完全抗钓鱼认证，单一部署该机制无法构建完整身份安全屏障。
第三，高校应对 MFA 相关钓鱼攻击必须采用分层协同防御思路：以网络边界钓鱼流量拦截作为前置屏障，Duo Verified Push 作为通用中层加固手段，FIDO2 通行密钥作为高价值岗位兜底防护，搭配终端浏览器隔离、常态化安全运营形成闭环；四层防护缺一不可，单一维度防护存在明显短板，仅通过多技术、多流程联动才能完整阻断从诱饵投放至账号接管的全攻击链路。
6.2 攻击技术迭代趋势预判
结合当前黑产 PhaaS 工具、MFA 绕过技术演化节奏，预判针对 Verified Push 增强机制的攻击手段将向两个方向迭代，给校园身份安全防护带来新挑战。
其一，高阶 AiTM 代理工具集成屏幕文本抓取、验证码实时同步功能，专门针对 Verified Push 设计完整中继链路，通过前端脚本捕获桌面展示数字短码并镜像至伪造页面，弱化验证码交互带来的防护增益；其二，推送疲劳攻击结合短信、语音多渠道协同骚扰，攻击者同步触发多类型 MFA 验证推送，放大用户操作麻木与厌烦情绪，尝试诱导用户完成多步骤验证码录入操作。
同时黑产会持续适配校园场景定制诱饵文案，仿冒校内 IT 升级通知、科研项目通知投放钓鱼邮件，降低师生对携带 Verified Push 绕过工具链接的警惕性，提升恶意站点访问量。
6.3 高校长期身份安全建设思路
从长期校园网络安全建设视角，高校需要完成 MFA 防护思路的根本性转型：短期以 Duo Verified Push 全域部署快速压降常规钓鱼风险，缓解安全事件处置压力；中长期分批次、分岗位完成 FIDO2 通行密钥、硬件安全密钥全覆盖，落地原生域名绑定的抗钓鱼认证作为底层兜底防护。
同步配套零信任访问架构改造，部署远程浏览器隔离、动态条件访问控制、全链路身份操作日志审计技术；建立按月更新的模拟钓鱼演练、师生安全培训机制，持续适配黑产攻击手段迭代节奏；明确网络运维、校园安全、院系管理员协同处置流程，构建能够持续抵御 MFA 疲劳、AiTM 中间人等新型钓鱼攻击的长效校园身份安全防护体系。
编辑：芦笛（公共互联网反网络钓鱼工作组）
