16054台服务器沦为挖矿组织“肉鸡”：为什么SSH必须启用MFA多因素认证？|ssh|令牌|弱口令|服务器

近日，国家互联网应急中心（CNCERT）监测发现，“FakeSvc”挖矿组织活动激增：一个多月内累计感染16054台设备，单日被控“肉鸡”最高达2511台。该组织主要以服务器SSH弱口令暴力破解进行传播，再以它为跳板向整个网段扩散。CNCERT提醒各单位排查弱口令

当攻击者可以像猜密码一样批量拿下服务器时，传统的“用户名+密码”登录认证方式已经不堪一击。为SSH登录开启多因素认证（MFA）已成为企业安全刚需

为什么要开启SSH多因素认证

部署SSH MFA多因素认证，相当于增设了一道安全关卡。攻击者拿不到用户手中的动态密码，就无法通过密码窃取完成登录。

“FakeSvc”挖矿组织的攻击路径并不复杂，却极其有效：对目标网段持续进行SSH弱口令暴力破解，成功植入样本后继续对下一批地址爆破，形成“暴力破解 → 入侵 → 挖矿 → 继续暴力破解”的蠕虫式自传播闭环。

这种攻击天然针对密码认证的弱点：

弱口令与密码复用：爆破工具配合常见密码字典，自动化扫描即可命中大量主机；

凭证泄露：钓鱼、第三方数据泄露都可能让静态密码落入攻击者手中；

SSH密钥并非万能：私钥一旦随终端设备失窃，同样等于把大门钥匙交了出去。

因此，认证方式每多一道，攻击者就多了一道跨不过去的坎。

什么是SSH多因素认证

在SSH登录服务器时除了输入密码外，还需要提供第二种验证因子（如手机APP动态口令、硬件令牌），即使密码泄露也能阻止未授权访问。

宁盾多因素认证（MFA）是在原有静态密码基础上，增加一层基于OTP动态口令的二次验证。只有静态密码和动态口令全部验证通过才会放行。宁盾支持基于OATH算法、SM3国密算法生成动态口令，具备商密认证证书。宁盾动态口令载体（即宁盾令牌）形态多样，可按照场景灵活选择：

宁盾令牌形态适合场景硬件令牌便携式令牌，适合安全等级要求更高、不方便携带手机的场所手机APP令牌在各大手机应用商店均可下载，是多数企业的首选短信令牌需对接客户侧短信通道/短信网关，通过短信发送动态口令邮件令牌需对接客户侧邮箱通道，通过邮件发送动态口令 H5令牌集成在企业微信、飞书、钉钉工作台中，无需用户激活消息通知令牌通过企业微信、飞书、钉钉消息通知发送动态口令推送认证登录时向宁盾手机APP令牌推送确认请求，一键授权，省去动态口令输入步骤

Windows与Linux部署宁盾多因素认证步骤

Windows 终端安装宁盾自研 DKEY Winlogin 插件即可接入，覆盖办公 PC 本地开机登录、锁屏解锁场景；Linux 服务器通过 PAM 认证模块、走标准 RADIUS 协议对接，无需改动业务应用，兼容 CentOS、Ubuntu、麒麟、统信等主流及信创系统，SSH 登录自动叠加动态口令校验。

启用后登录流程统一为：先输入系统静态密码，再输入手机令牌动态口令，两步验证通过方可进入。平台支持双机热备、异地多活，并内置种子缓存与旁路逃生机制，认证服务异常时自动降级验证，避免终端"锁死"，保障办公与业务连续可用。

常见问题（FAQ）

Q1：宁盾多因素认证（MFA）是软件还是硬件？
两种产品形态都有，既有软件系统，也有硬件一体机。企业可视安全等级和使用场景灵活选择。

Q2：动态口令验证失败怎么办？
动态口令基于时间生成，先检查令牌与认证服务器时间是否同步，再确认口令是否在有效期内、输入是否正确。仍无法解决时，可由系统管理员重置令牌绑定。

Q3：部署宁盾多因素认证系统需要什么服务器资源？
支持主流Linux发行版本。