Credential stuffing i password spraying

Credential stuffing to zautomatyzowany atak, w którym pary nazw użytkowników i haseł skradzione podczas jednego wycieku danych są testowane w innych usługach. Wykorzystuje on ponowne używanie haseł — jeśli ktoś używa tego samego hasła wszędzie, jeden wyciek zagraża wszystkim jego kontom.

Miliardy danych uwierzytelniających są dostępne do kupienia na rynkach dark webu i forach. Narzędzia takie jak Sentry MBA, SNIPR i niestandardowe skrypty Pythona automatyzują testowanie tysięcy par danych uwierzytelniających na minutę w wielu usługach jednocześnie.

Badania pokazują, że ponad 65% osób ponownie używa haseł w wielu witrynach. Wyciek danych z forum o niskim poziomie zabezpieczeń może zagrozić kontom bankowym, pocztowym i firmowym tego samego użytkownika, jeśli ponownie używa on tych samych danych uwierzytelniających.

Password spraying polega na próbowaniu kilku powszechnie używanych haseł (np. „Spring2024!”, „Password1”) na wielu kontach. W przeciwieństwie do brute force metoda ta pozwala uniknąć blokad, ponieważ próby są rozkładane na wiele kont, po jednym haśle naraz.

Porównanie:

• Brute force — wiele haseł na jednym koncie → wywołuje blokadę
• Password spraying — jedno hasło na wielu kontach → pozostaje poniżej progu blokady
• Credential stuffing — znane pary danych z wycieków → nie polega na zgadywaniu

Wskaźniki wykrywania:

• Duża liczba nieudanych prób logowania z wielu adresów IP
• Współczynnik powodzenia nagle wyższy niż wartość bazowa
• Logowania z węzłów wyjściowych sieci Tor, VPN-ów lub proxy domowych
• Odciski urządzeń charakterystyczne dla narzędzi automatycznych
• Logowania z geograficznie niemożliwych lokalizacji

Wskaźniki password spraying:

• Wiele kont z nieudanymi logowaniami w tym samym czasie
• Nieudane próby tuż poniżej progu blokady (np. jeśli blokada następuje po 5 próbach, po 4 nieudanych próbach na konto)
• To samo hasło próbowane na wielu kontach

Najważniejsze zabezpieczenia:

• MFA — same skradzione dane uwierzytelniające są niewystarczające
• Wykrywanie haseł ujawnionych w wyciekach — odrzucanie znanych haseł ujawnionych w wyciekach podczas rejestracji lub zmiany hasła
• CAPTCHA w formularzach logowania
• Reputacja adresów IP — blokowanie znanych złośliwych zakresów
• Odciski urządzeń — oznaczanie logowań z nowych urządzeń

Zabezpieczenia:

• Zasady blokowania kont (z alertami)
• Wymaganie MFA dla wszystkich kont
• Blokowanie popularnych haseł za pomocą listy zabronionych haseł
• Monitorowanie dzienników uwierzytelniania pod kątem wzorców password spraying
• Dostęp warunkowy wymagający dodatkowej weryfikacji w przypadku nietypowych logowań

Informowanie użytkowników o logowaniach z nowych urządzeń lub lokalizacji pozwala im natychmiast zgłosić przejęcie konta. Wiele usług wysyła wiadomości e-mail „New login from [City, Device]” — użytkownicy powinni sprawdzać nieoczekiwane powiadomienia i odpowiednio na nie reagować.

HaveIBeenPwned firmy Troya Hunta agreguje dane o wyciekach. Organizacje mogą zintegrować API HIBP wykorzystujące k-anonimizację, aby sprawdzać, czy hasła występują w znanych wyciekach — bez wysyłania do API całego hasła.

Atakujący próbuje hasła „Summer2024!” na 50 000 kont, następnie czeka i próbuje hasła „Password1!” na tych samych 50 000 kont. Jaką technikę stosuje?

Credential stuffing polega na ponownym użyciu skradzionych danych uwierzytelniających z jednego wycieku w innych usługach — umożliwia go ponowne używanie haseł. Password spraying polega na próbowaniu popularnych haseł na wielu kontach w celu uniknięcia blokad. Zabezpieczenia obejmują MFA, sprawdzanie haseł ujawnionych w wyciekach, CAPTCHA, blokowanie na podstawie reputacji adresów IP oraz monitorowanie dzienników uwierzytelniania pod kątem nietypowych wzorców.