「明明有開啟 MFA，帳號怎麼還是被駭客竊取走了？」
這是近幾年以來，企業處理帳號盜用事故時最常聽到的一句話。答案說出來不太好聽：駭客早就不「破解」MFA 了，他們直接轉發。
Tycoon 2FA 這類「釣魚即服務」（Phishing-as-a-Service）平台，已經把中間人攻擊（Adversary-in-the-Middle，AiTM）做成量產工具。受害者點開連結，看到的登入頁面之所以毫無破綻，是因為那根本不是仿冒品：駭客架了一台反向代理，把真正的 Microsoft 365 登入頁原封不動地轉到你眼前。你輸入的密碼被即時轉發給微軟，OTP 也一樣，推播通知跳出來你照樣按核准，因為對你來說，這就是一次再正常不過的登入。接著，代理伺服器攔下真正值錢的東西：驗證成功後的 session cookie。駭客把它匯入自己的瀏覽器，從這一刻起他就是你，MFA 完全派不上用場。這類攻擊已經波及全球數千家企業，亞太地區從這裡開場的信箱盜用事件也一直在發生。
這件事的重點是：只要登入過程中，存在使用者可以輸入或核准的秘密，它就有辦法被轉發。 簡訊驗證碼、OTP、推播核准，倒下的方式全都一樣。要擋住 AiTM，需要的是另一種類型的憑證：從頭到尾沒有秘密可以交出去。業界稱之為防釣魚（phishing-resistant）認證，而好消息是，每一台配備 Apple 晶片的 Mac 出廠就內建了需要的硬體：Secure Enclave（安全隔離區）。
什麼是 Platform SSO？
Platform 單一登入（Platform SSO，常簡稱 PSSO）是 Apple 從 macOS 13 開始推出、macOS 14 逐步補齊的框架，一直到 macOS 26 支援 Simplified Setup、使用者不用再走繁瑣的註冊流程，才算真正成熟（後面會細講）。它的核心想法很簡單：別再把「登入 Mac」和「登入公司身分服務」當成兩件事。使用者解鎖 Mac 的當下，就完成了對 IdP（目前支援 Microsoft Entra ID 與 Okta）的驗證，順便拿到接下來一整天在 App 和瀏覽器之間單一登入需要的 token。
Platform SSO 提供三種認證模式，但三種完全不是同一個等級：
| 認證模式 | 運作方式 | 防釣魚？ |
|---|---|---|
| Secure Enclave 金鑰 | 在安全隔離區內產生硬體綁定金鑰對，登入採密碼學挑戰回應（Challenge-Response） | 是 |
| 智慧卡 | 以外接智慧卡或硬體 token（如 YubiKey）做憑證式認證 | 是 |
| 密碼同步 | 將 IdP 密碼與本機帳號密碼同步（登入、喚醒或每 4 小時觸發） | 否 |
密碼同步是三種裡最平淡的：方便歸方便，但憑證的本質還是密碼，密碼有的弱點它一個都不少。智慧卡成熟可靠，但買卡、發卡、補發，樣樣都是成本。真正值得關注的是 Secure Enclave 金鑰模式：用機隊裡本來就有的硬體，做到智慧卡等級的密碼學強度。微軟把這個模式的實作叫做 Platform Credential for macOS，技術基礎和 Windows Hello for Business 系出同門。
為什麼 Secure Enclave 金鑰釣不走？
Secure Enclave 是 Apple 晶片（以及配備 T2 晶片的 Intel Mac）裡的一個獨立安全子系統，有自己的處理器和記憶體，和 macOS 完全隔開。在裡面產生的金鑰天生就不可匯出：使用者拿不出來、惡意程式拿不出來，連 macOS 自己都拿不出來。系統可以「拜託」隔離區簽個名，但永遠讀不到金鑰本身。
使用者完成 Platform SSO 註冊時，Mac 會在隔離區裡產生金鑰對，把公鑰交給 IdP 存起來。之後每次登入，就是一輪挑戰回應（Challenge-Response）流程（以 Entra ID 為例）：
- 使用者用 Touch ID 或本機密碼解鎖 Mac，同時解鎖 Secure Enclave 金鑰的存取權
- macOS 向 Entra ID 要一個 nonce（一次性的隨機挑戰值），有效期只有 5 分鐘
- macOS 組出登入斷言（Login Assertion），交給 Secure Enclave 用硬體私鑰簽章
- Entra ID 用註冊時留存的公鑰驗證簽章和 nonce，確認是「這個使用者、這台裝置」
- Entra ID 核發 Primary Refresh Token（PRT），用另一把裝置綁定金鑰加密後回傳
- macOS 解密 PRT，把 token 交給 SSO 擴充功能，之後不管雲端還是地端應用，一路暢通
現在把 AiTM 的劇本拿來套，你會發現每一步都踩空：
- 沒有東西可以輸入。 使用者從頭到尾沒輸入任何秘密，假登入頁完全沒東西可偷。所謂的「憑證」，是在晶片裡算出來的一個簽章。
- 沒有東西可以轉發。 簽章只回應真 IdP 發的那一個 nonce，幾分鐘就過期，代理攔到的副本對其他任何 session 都沒有用。
- 事後也沒有東西可以偷。 PRT 是用同樣鎖在這台 Mac 隔離區裡的金鑰加密的，把 token 偷去別台電腦，拿到的只是一堆密文。
- 連底層的金鑰都偷不走。 私鑰在物理上離不開隔離區，就算整台 macOS 被惡意程式攻陷，金鑰也搬不出來。
這和 FIDO2 實體安全金鑰是同一套安全邏輯，差別只有一個：這把「硬體金鑰」直接焊在你已經發出去的每一台 Mac 裡。
加碼：同一把金鑰，也是一把 Passkey
這把 Secure Enclave 憑證還身兼二職。除了登入 Mac、驅動 SSO，Platform Credential for macOS 也能當防釣魚的 WebAuthn 憑證，涵蓋瀏覽器重新驗證的情境：就是 Entra ID 條件式存取或敏感應用在你工作到一半時跳出來的「確認是你本人」。以前這一步要重打密碼（釣得走）或按推播核准（也釣得走），現在按一下 Touch ID，由隔離區回應 WebAuthn 挑戰就搞定。
WebAuthn 還多了一道 AiTM 跨不過去的防線：來源綁定（origin binding）。瀏覽器會把網站的 origin 一起放進簽章內容，所以透過 login.micros0ft-verify.com 這種假網域轉出來的挑戰，產生的簽章會被真正的服務直接打回票。假網域在密碼學層面上無所遁形。
兩個實務提醒。第一，如果你的 Entra ID FIDO 政策有開金鑰限制，記得把 macOS Platform Credential 的 AAGUID（7FD635B3-2EF9-4542-8D9D-164F2C771EFC）加進允許清單。第二，安全要求比較高的環境可以啟用 UserSecureEnclaveKeyBiometricPolicy（需 macOS 14.6 以上）：每次存取隔離區金鑰都強制過 Touch ID，而且沒有密碼備援，登入一定要有已註冊的指紋在場。代價是提示會變多，而且對 Touch ID 硬體是硬性依賴。
macOS Tahoe 26：開箱即防釣魚
以前聊 Platform SSO，總得誠實補一句但書：導入流程有點麻煩，要先登入、裝 Company Portal、再照著提示註冊。macOS Tahoe 26 把這段路幾乎鏟平了：
- Setup Assistant 內建註冊。 搭配自動裝置註冊（ADE），Platform SSO 的註冊直接在 Setup Assistant 裡完成，使用者還沒看到桌面就辦好了。Intune 靠 EnableRegistrationDuringSetup 驅動；搭配 Simplified Setup，使用者甚至能在設定過程中用 IdP 帳號驗證、直接建立第一個帳號。新 Mac 從第一次開機就防釣魚。
- Authenticated Guest Mode（認證訪客模式）。 在共用 Mac 上，任何員工都能在登入視窗用自己的 IdP 身分登入、帶著完整 SSO 工作，登出後帳號自動清掉。第一線人員、醫療院所、實驗室的共用裝置，終於有了乾淨的身分方案。
- 感應登入（Tap to Login）。 搭配 Apple 錢包裡的門禁卡，iPhone 或 Apple Watch 靠一下就能登入共用 Mac。不過照 Jamf 目前的文件，Entra ID 和 Okta 都還沒支援，算是平台先跑在前面的功能。
版本需求提醒：這些功能需要 macOS 26、支援的 IdP，以及跟得上的 MDM（Jamf 端是 Jamf Pro 11.20 以上）。
部署之前，你該知道的事
Platform SSO 是設定、不是開發，但導入過程有幾個真正需要拍板的決策點：
- 基本需求。 建議 macOS 14 Sonoma 以上（13 也支援）、一套能派送 SSO 擴充功能設定的 MDM；Entra ID 環境另外需要 Company Portal 5.2404.0 以上（這是 PSSO 的基本門檻，要用 macOS 26 的 Simplified Setup 則要 5.2604.0 以上），使用者也要有註冊裝置的權限。
- 認證模式要刻意選，不要照預設走。 Secure Enclave 金鑰是多數機隊的正解；智慧卡適合已經投資 CBA/PIV 的環境；密碼同步只該是過渡，不是終點。
- 生物辨識政策要在註冊前想清楚。 UserSecureEnclaveKeyBiometricPolicy 如果等大家都註冊完才開，所有人都要由管理員帶著重新註冊一次。先決定，再推行。
- 智慧卡模式不支援 Setup Assistant 註冊，還是得等設定完成後補做。
- 已經在用 Jamf Connect？可以並存，但別搶同一份工作。 常見的分工是 Platform SSO 負責 Secure Enclave 金鑰認證，Jamf Connect 留著權限提升（Privilege Elevation）這類不衝突的功能；兩邊同時做密碼同步，保證出事。
- Hybrid AD 環境不支援。 混合式 Active Directory 要先把身分架構理清楚，再來談 Platform SSO。
- 切換認證模式要全員重新註冊。 從密碼同步換到 Secure Enclave 金鑰，每個人都要重跑一次註冊，轉換路線先想好再動手。
- 搭配條件式存取才算完工。 最後一哩，是在 Entra ID 條件式存取裡要求「防釣魚驗證強度」，把密碼加 OTP 這條 AiTM 工具包最愛走的後門正式關起來。
至於部署實作的細節，Jamf Pro 設定描述檔、Entra ID 端設定、推行順序，值得另外寫一篇完整說明；這一篇先把「你要部署的是什麼、為什麼值得」講清楚。想先建立整體部署的脈絡，可以看Jamf Pro 的 15 個標準導入步驟；想知道 Apple 下一步要把身分驗證帶去哪裡（登入視窗網頁式驗證、共用裝置 QR code 登入），請看WWDC26 裝置管理全解析。
可立可如何協助您
可立可是全球唯一同時具備 Jamf Elite Partner、MSP 與 MSSP 三項認證的合作夥伴，在半導體、電子製造、金融、政府與教育領域累積多年 Apple 裝置管理導入經驗。
- 身分架構評估：盤點現有 IdP、MFA 現況與 AiTM 曝險，設計適合貴公司的 Platform SSO 導入路線
- 部署與整合：Jamf Pro 與 Entra ID/Okta 設定、條件式存取驗證強度政策、分階段使用者遷移
- 託管服務（MSP/MSSP）：身分、修補、合規與資安監控，整個 Apple 機隊生命週期交給我們的託管服務
延伸閱讀：Jamf Pro 的 15 個標準導入步驟 · WWDC26 裝置管理全解析 · Apple MDM 完整指南
聯繫可立可 預約免費諮詢，一起為貴公司的 Mac 機隊導入防釣魚登入。