दर सीमित करना और खाता लॉकआउट सुरक्षा

ऑनलाइन बलपूर्वक खोज हमले नेटवर्क के माध्यम से सक्रिय प्रणालियों के विरुद्ध प्रमाणीकरण करते हैं। प्रत्येक प्रयास में कम-से-कम एक अनुरोध-प्रतिक्रिया चक्र लगता है, जो आमतौर पर 50-500 मिलीसेकंड का होता है। इसलिए हमलावर अधिकतम कुछ हज़ार प्रयास प्रति मिनट ही कर सकता है। यह ऑफ़लाइन हैश-भंजन की तुलना में बहुत धीमा है। दर-सीमांकन और खाता लॉक इस सीमा का लाभ उठाकर ऑनलाइन बलपूर्वक खोज को किसी भी व्यावहारिक समय-सीमा में लगभग असंभव बना देते हैं।

ऑनलाइन बलपूर्वक खोज के विरुद्ध सबसे सरल बचाव यह है कि लगातार असफल लॉग-इन प्रयासों की निर्धारित संख्या के बाद खाते को लॉक कर दिया जाए, जो आमतौर पर 5 से 10 होती है। खाते को निश्चित अवधि, जैसे 15 मिनट, के लिए लॉक किया जा सकता है या तब तक लॉक रखा जा सकता है जब तक कोई प्रशासक उसे मैन्युअल रूप से अनलॉक न कर दे। खाता लॉक ऑनलाइन बलपूर्वक खोज को पासवर्ड तोड़ने की कवायद से खाते की उपलब्धता के विरुद्ध संसाधन-समाप्ति हमले में बदल देता है।

खाता लॉक सेवा-अस्वीकरण की भेद्यता पैदा करता है: मान्य उपयोगकर्ता-नाम जानने वाला हमलावर प्रत्येक खाते के लिए 5 असफल प्रयास भेजकर सभी खातों को लॉक कर सकता है। यह खाता लॉक नीतियों में निहित समझौता है। कुछ प्रणालियाँ सेवा-अस्वीकरण के प्रभाव को कम करने के लिए स्थायी लॉक के बजाय अस्थायी लॉक, जैसे 5 मिनट का लॉक, उपयोग करती हैं। कुछ अन्य प्रणालियाँ खातों को बिल्कुल लॉक नहीं करतीं, बल्कि हमलावरों को धीमा करने के लिए घातीय विलंब-वृद्धि का उपयोग करती हैं, ताकि सेवा-अस्वीकरण का जोखिम न बढ़े।

CAPTCHA (पूर्णतः स्वचालित सार्वजनिक ट्यूरिंग परीक्षण, जो कंप्यूटरों और मनुष्यों में अंतर करता है) में ऐसी दृश्य या श्रव्य चुनौती हल करनी होती है जो मनुष्यों के लिए आसान, लेकिन स्वचालित बॉटों के लिए कठिन होती है। Google reCAPTCHA v3 स्पष्ट चुनौतियों के बजाय व्यवहारगत विश्लेषण का उपयोग करता है और माउस की गतिविधियों, समय-व्यवहार तथा ब्राउज़िंग इतिहास के आधार पर जोखिम अंक प्रदान करता है। CAPTCHA खातों को लॉक किए बिना स्वचालित बलपूर्वक खोज को काफ़ी धीमा कर देता है।

घातीय विलंब-वृद्धि प्रत्येक असफलता के बाद अनुमत लॉग-इन प्रयासों के बीच प्रतीक्षा समय बढ़ाती है: पहली असफलता के बाद 1 सेकंड, दूसरी के बाद 2 सेकंड, तीसरी के बाद 4 सेकंड और इसी तरह आगे। 10 असफलताओं के बाद प्रतीक्षा 17 मिनट से अधिक हो जाती है। इससे खाते को पूरी तरह लॉक किए बिना बलपूर्वक खोज बेहद धीमी हो जाती है, सेवा-अस्वीकरण के जोखिम से बचाव होता है और स्वचालित हमले हतोत्साहित होते हैं।

IP-आधारित दर-सीमांकन उन IP पतों से आने वाले लॉग-इन प्रयासों को रोकता है या उनमें चुनौती जोड़ता है, जहाँ प्रति इकाई समय असफलताओं की सीमा पार हो गई हो। यदि कोई IP एक मिनट में 50 असफल लॉग-इन भेजता है, तो उस IP से आने वाले बाद के प्रयासों को एक घंटे के लिए रोक दिया जाता है। हज़ारों अलग-अलग IP पतों वाले बॉटनेट का उपयोग करने वाले वितरित हमले सरल प्रति-IP सीमाओं से बच सकते हैं। ऐसे हमलों के लिए अनेक संकेतों के आधार पर अनुरोधों की गति का अधिक परिष्कृत पता लगाना आवश्यक होता है।

समय-आधारित एकबारगी पासवर्ड (TOTP, जिसका उपयोग Google Authenticator और इसी तरह के ऐप्स में होता है) 30 सेकंड तक मान्य रहने वाला 6 अंकों का कोड उत्पन्न करते हैं। यदि कोई हमलावर सही पासवर्ड बलपूर्वक खोज भी ले, तब भी उसे वर्तमान TOTP कोड की आवश्यकता होगी। केवल 10 लाख संभावित 6 अंकों के कोड और 30 सेकंड की अवधि होने के कारण TOTP की बलपूर्वक खोज के लिए व्यावहारिक अवसर बहुत छोटा होता है। MFA पासवर्ड की बलपूर्वक खोज को एक व्यवहार्य हमले के माध्यम के रूप में लगभग समाप्त कर देता है।

bcrypt एक ऐसा पासवर्ड हैशिंग फ़ंक्शन है जिसमें लागत-कारक को विन्यस्त किया जा सकता है। लागत 10 पर bcrypt को एक पासवर्ड का हैश बनाने में लगभग 100 मिलीसेकंड लगते हैं। लागत 12 पर इसमें लगभग 400 मिलीसेकंड लगते हैं। इसका अर्थ है कि ऑफ़लाइन bcrypt हैश तोड़ने वाला हमलावर GPU पर प्रति सेकंड अधिकतम कुछ सौ पासवर्ड जाँच सकता है, जबकि MD5 के लिए यही संख्या अरबों में होती है। हार्डवेयर बेहतर होने पर कार्य-कारक बढ़ाया जा सकता है, ताकि हैश तोड़ने की कठिनाई स्थिर बनी रहे।

Argon2 ने 2015 में पासवर्ड हैशिंग प्रतियोगिता जीती थी और नई प्रणालियों के लिए वर्तमान अनुशंसा है। इसकी मुख्य विशेषता स्मृति-आधारित कठिनाई है: गणना के लिए विन्यस्त की जा सकने वाली मात्रा में RAM, आमतौर पर 64MB से 1GB तक, आवश्यक होती है। इससे GPU और ASIC त्वरण रुकता है, क्योंकि इन उपकरणों में स्मृति बैंडविड्थ सीमित होती है। GPU वाला हमलावर जहाँ bcrypt की हज़ारों समानांतर गणनाएँ चला सकता है, वहीं स्मृति की सीमाओं के कारण Argon2 की केवल कुछ गणनाएँ चला पाता है।

वेब अनुप्रयोग फ़ायरवॉल असफल लॉग-इन ट्रैफ़िक के पैटर्न पहचानकर प्रमाणीकरण-विवरण भरने वाले हमलों का पता लगा सकते हैं: एकल IP पतों से आने वाली बड़ी मात्रा, सामान्य उपयोगकर्ता-नाम सूचियों का उपयोग करने वाले प्रयास, लॉग-इन प्रयासों का असामान्य भौगोलिक वितरण और स्वचालित उपकरणों के अनुरूप समय-पैटर्न। WAF नियम संदिग्ध ट्रैफ़िक को अनुप्रयोग तक पहुँचने से पहले रोक, चुनौती या धीमा कर सकते हैं। आधुनिक WAF ज्ञात बॉटनेट IP श्रेणियों के लिए खतरा-सूचना फ़ीड को एकीकृत करते हैं।

Have I Been Pwned एपीआई को पासवर्ड बदलने की प्रक्रियाओं में एकीकृत करने से उपयोगकर्ता ऐसे पासवर्ड निर्धारित नहीं कर पाते जो ज्ञात डेटा-उल्लंघन डेटाबेस में दिखाई देते हैं। एपीआई k-अनामिता का उपयोग करता है: SHA-1 हैश के केवल पहले 5 हेक्साडेसिमल वर्ण भेजे जाते हैं, जिससे 85 करोड़ ज्ञात उल्लंघित पासवर्डों से मिलान करते हुए उपयोगकर्ता की गोपनीयता सुरक्षित रहती है। पंजीकरण के समय उल्लंघित पासवर्डों को रोकने से प्रमाणीकरण-विवरण भरने की भेद्यता का एक बड़ा हिस्सा समाप्त हो जाता है।

ऑनलाइन बलपूर्वक खोज नेटवर्क विलंबता से सीमित होती है; दर-सीमांकन और खाता लॉक इस सीमा का लाभ उठाते हैं। खाता लॉक बलपूर्वक खोज को रोकता है, लेकिन सेवा-अस्वीकरण के हमले संभव बनाता है। घातीय विलंब-वृद्धि और CAPTCHA दोनों जोखिमों को कम करते हैं। IP-आधारित दर-सीमांकन एक ही स्रोत से होने वाले हमलों को पकड़ता है। TOTP MFA पासवर्ड की बलपूर्वक खोज को प्रभावी रूप से विफल कर देता है। bcrypt और Argon2 ऑफ़लाइन हैश-भंजन को धीमा करते हैं। HIBP एपीआई पंजीकरण के समय ज्ञात उल्लंघित पासवर्डों को रोकता है।