← 研究列表

AiTM 演练前先写进合同：MFA 之后测的是组织，不是运气

会话中继能验证第二因子之后的真实风险，也是最容易踩授权红线的能力。技术开关可以后开，授权语言必须先写。

合同里建议写清

• 告知范围与窗口期；
• 会话/令牌类数据的留存与销毁；
• 失败处置：谁有权紧急熔断；
• 是否允许针对特定应用做中继。

技术侧

默认最小权限：按活动、按应用启用；日志审计独立存放。演练成功标准应定义为「暴露流程缺陷」，而不是「多抓几个会话」。

夜船 Yofune Labs · admin@taiphish.icu