为什么 TOTP 不再够用（以及替代方案考量）

演示可重复重放的 CAPTCHA 如何形同虚设——用 Burp Intruder 重放请求第 86 次即爆出密码。文章给出一次性使用、与会话绑定、服务端校验等实现要点，避免反自动化控制被绕过。

拿到域凭据后，攻击者可在 RSA 自助控制台以「令牌暂不可用」为由申领有效期约一周的 Emergency Access Tokencode，再用 Burp Intruder 爆破无锁定保护的纯数字 PIN，绕过 SecurID 双因素认证。

反爬系列第一篇提出五项核心原则：强制身份验证、实施限流、收紧账号注册、限制数据量、返回通用错误信息；并指出完全阻止爬取不现实，目标是让爬虫付出不成比例的时间成本。

NetSPI 播客对话 Sectigo CTO Jason Soroko：MFA 只是 IAM 的底线，探讨对称与非对称密钥、数字证书管理及认证最佳实践。

PyPI 已支持 TOTP 与 WebAuthn。Trail of Bits 结合为 Warehouse 添加 2FA 的经验指出：第二因子应是用户“持有”或“本身”的东西，短信验证码已不可靠，且应始终优先 WebAuthn 而非 TOTP。

Wiz 作为 CISA“Secure by Design”计划的创始参与者，介绍其承诺落实进展：免费提供 SAML 2.0 单点登录、强制多因素认证、杜绝默认口令，并按最小权限原则管理服务账号。