Frekvensbegrensning og forsvar med kontolåsing

Brute force-angrep på nett autentiserer mot aktive systemer over et nettverk. Hvert forsøk tar minst én tur-retur, vanligvis 50–500 ms, noe som i beste fall begrenser angriperen til noen få tusen forsøk per minutt. Dette er langt tregere enn frakoblet knekking av hasher. Ratebegrensning og kontosperring utnytter denne begrensningen for å gjøre brute force-angrep på nett praktisk talt umulige innenfor en realistisk tidsramme.

Det enkleste forsvaret mot brute force-angrep på nett er å sperre en konto etter et bestemt antall påfølgende mislykkede innloggingsforsøk, vanligvis 5 til 10. Kontoen kan sperres i et fast tidsrom, for eksempel 15 minutter, eller til en administrator låser den opp manuelt. Kontosperring gjør et brute force-angrep på nett om fra et passordknekkingsforsøk til et utmattelsesangrep mot kontotilgjengeligheten.

Kontosperring skaper en sårbarhet for tjenestenekt: En angriper som kjenner gyldige brukernavn, kan sperre alle kontoer ved å sende 5 mislykkede forsøk mot hver av dem. Dette er en uunngåelig avveining ved retningslinjer for kontosperring. Noen systemer bruker midlertidig sperring, for eksempel i 5 minutter, i stedet for permanent sperring for å redusere DoS-belastningen. Andre sperrer ikke kontoer i det hele tatt, men bruker eksponentiell backoff for å bremse angripere uten å muliggjøre tjenestenekt.

CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) krever at man løser en visuell eller auditiv utfordring som er enkel for mennesker, men vanskelig for automatiserte boter. Google reCAPTCHA v3 bruker atferdsanalyse i stedet for eksplisitte utfordringer og tildeler en risikoscore basert på musbevegelser, tidsmønstre og nettleserhistorikk. CAPTCHA bremser automatiserte brute force-angrep betydelig uten å sperre kontoer.

Eksponentiell backoff øker ventetiden mellom tillatte innloggingsforsøk etter hver feil: 1 sekund etter den første feilen, 2 sekunder etter den andre, 4 sekunder etter den tredje, og så videre. Etter 10 feil er ventetiden over 17 minutter. Dette gjør brute force-angrep ekstremt langsomme uten å sperre kontoen helt, slik at man unngår risikoen for tjenestenekt samtidig som automatiserte angrep avskrekkes.

IP-basert ratebegrensning blokkerer eller utfordrer innloggingsforsøk fra IP-adresser som overskrider en terskel for antall feil per tidsenhet. Hvis en IP-adresse sender inn 50 mislykkede innlogginger på ett minutt, blokkeres senere forsøk fra denne IP-adressen i én time. Distribuerte angrep som bruker botnett med tusenvis av forskjellige IP-adresser, kan omgå enkle grenser per IP-adresse. Det krever mer avansert deteksjon av angrepshastighet basert på flere signaler.

Tidsbaserte engangspassord (TOTP, brukt i Google Authenticator og lignende apper) genererer en sekssifret kode som er gyldig i 30 sekunder. Selv om en angriper knekker det riktige passordet med brute force, trenger angriperen også den gjeldende TOTP-koden. Med bare 1 million mulige sekssifrede koder og et tidsvindu på 30 sekunder er det praktiske tidsvinduet for brute force mot TOTP svært lite. MFA eliminerer i praksis passordbasert brute force som en gjennomførbar angrepsvektor.

bcrypt er en funksjon for passordhashing med en konfigurerbar kostnadsfaktor. Med kostnadsfaktor 10 bruker bcrypt omtrent 100 ms på å hashe ett passord. Med kostnadsfaktor 12 tar det omtrent 400 ms. Det betyr at en angriper som knekker bcrypt-hasher frakoblet, maksimalt kan teste noen hundre passord per sekund på en GPU, sammenlignet med milliarder per sekund for MD5. Arbeidsfaktoren kan økes etter hvert som maskinvaren blir bedre, slik at knekkingens vanskelighetsgrad forblir konstant.

Argon2 vant Password Hashing Competition i 2015 og er den gjeldende anbefalingen for nye systemer. Den viktigste egenskapen er minnehardhet: Det krever en konfigurerbar mengde RAM, vanligvis 64 MB til 1 GB, for å beregne en hash. Dette hindrer GPU- og ASIC-akselerasjon fordi disse enhetene har begrenset minnebåndbredde. En angriper med en GPU som kan kjøre tusenvis av parallelle bcrypt-beregninger, kan bare kjøre en håndfull Argon2-beregninger på grunn av minnebegrensningene.

Web Application Firewalls kan oppdage credential stuffing ved å identifisere mønstre i trafikken fra mislykkede innlogginger: store volumer fra enkelt-IP-adresser, forsøk med vanlige brukernavnlister, unormal geografisk fordeling av innloggingsforsøk og tidsmønstre som samsvarer med automatiserte verktøy. WAF-regler kan blokkere, utfordre eller bremse mistenkelig trafikk før den når applikasjonen. Moderne WAF-er integrerer trusselintelligensstrømmer for kjente botnetts IP-intervaller.

Integrering av Have I Been Pwned API i flyten for endring av passord hindrer brukere i å angi passord som finnes i kjente lekkasjedatabaser. API-et bruker k-anonymitet: Bare de første 5 heksadesimale tegnene i SHA-1-hashen sendes, noe som beskytter personvernet samtidig som det muliggjør sammenligning mot 850 millioner kjente kompromitterte passord. Ved å blokkere lekkede passord under registrering eliminerer man en betydelig del av sårbarheten for credential stuffing.

Brute force-angrep på nett begrenses av nettverksforsinkelse; ratebegrensning og kontosperring utnytter dette. Kontosperring stopper brute force, men muliggjør tjenestenektangrep. Eksponentiell backoff og CAPTCHA reduserer begge risikoene. IP-basert ratebegrensning fanger opp angrep fra én enkelt kilde. TOTP-basert MFA bekjemper passordbasert brute force effektivt. bcrypt og Argon2 bremser knekking av hasher frakoblet. HIBP API blokkerer kjente lekkede passord under registrering.