Hız Sınırlama ve Hesap Kilitleme Savunmaları

Çevrim içi kaba kuvvet saldırıları, bir ağ üzerinden çalışan sistemlere kimlik doğrulaması yapar. Her deneme en az bir gidiş-dönüş süresi (genellikle 50-500 ms) gerektirir; bu da saldırganı en iyi ihtimalle dakikada birkaç bin denemeyle sınırlar. Bu hız, çevrim dışı özet kırmaya kıyasla son derece düşüktür. Hız sınırlama ve hesap kilitleme, çevrim içi kaba kuvveti gerçekçi herhangi bir zaman aralığında fiilen imkânsız hâle getirmek için bu sınırlamadan yararlanır.

Çevrim içi kaba kuvvete karşı en basit savunma, art arda gerçekleşen belirli sayıda başarısız oturum açma denemesinden sonra hesabı kilitlemektir; bu sayı genellikle 5 ila 10 arasındadır. Hesap sabit bir süre boyunca (15 dakika) kilitli tutulabilir veya yönetici hesabın kilidini manuel olarak açana kadar kilitli kalabilir. Kilitleme, çevrim içi kaba kuvvet saldırısını parola kırma çalışmasından hesap kullanılabilirliğine yönelik bir kaynak tüketme saldırısına dönüştürür.

Hesap kilitleme, bir hizmet reddi güvenlik açığı oluşturur: geçerli kullanıcı adlarını bilen bir saldırgan, her biri için 5 başarısız deneme göndererek tüm hesapları kilitleyebilir. Bu, kilitleme politikalarının doğasında bulunan bir ödünleşimdir. Bazı sistemler, hizmet reddi etkisini azaltmak için kalıcı kilitleme yerine geçici kilitleme (5 dakika) kullanır. Diğerleri hesapları hiç kilitlemez; bunun yerine saldırganları yavaşlatmak için üstel geri çekilme kullanır ve hizmet reddine olanak tanımaz.

CAPTCHA (Bilgisayarları ve İnsanları Ayırt Etmek için Tamamen Otomatikleştirilmiş Genel Turing testi), insanlar için kolay ancak otomatik botlar için zor olan görsel veya işitsel bir görevin çözülmesini gerektirir. Google reCAPTCHA v3, açıkça sunulan görevler yerine davranış analizi kullanır; fare hareketlerine, zamanlamaya ve gezinme geçmişine göre bir risk puanı belirler. CAPTCHA, hesapları kilitlemeden otomatik kaba kuvvet saldırılarını önemli ölçüde yavaşlatır.

Üstel geri çekilme, her başarısızlıktan sonra izin verilen oturum açma denemeleri arasındaki bekleme süresini artırır: ilk başarısızlıktan sonra 1 saniye, ikinciden sonra 2 saniye, üçüncüden sonra 4 saniye ve bu şekilde devam eder. 10 başarısızlıktan sonra bekleme süresi 17 dakikayı aşar. Bu yöntem, hesabı tamamen kilitlemeden kaba kuvveti son derece yavaşlatır; böylece hizmet reddi riskini önlerken otomatik saldırıları yine de caydırır.

IP tabanlı hız sınırlama, birim zamanda belirli bir başarısızlık eşiğini aşan IP adreslerinden gelen oturum açma denemelerini engeller veya ek doğrulamaya tabi tutar. Bir IP bir dakika içinde 50 başarısız oturum açma denemesi gönderirse, o IP'den gelen sonraki denemeler bir saat boyunca engellenir. Binlerce farklı IP adresine sahip botnet'leri kullanan dağıtık saldırılar, IP başına uygulanan basit sınırları aşabilir; bu durumda birden çok sinyal üzerinden daha gelişmiş hız tespiti gerekir.

Zamana Dayalı Tek Kullanımlık Parolalar (TOTP, Google Authenticator ve benzeri uygulamalarda kullanılır), 30 saniye boyunca geçerli olan 6 haneli bir kod üretir. Saldırgan doğru parolayı kaba kuvvetle bulsa bile güncel TOTP koduna da ihtiyaç duyar. Yalnızca 1 milyon olası 6 haneli kod ve 30 saniyelik bir zaman aralığı bulunduğundan TOTP'yi kaba kuvvetle denemek için kullanılabilir süre son derece kısadır. MFA, parola kaba kuvvetini uygulanabilir bir saldırı vektörü olmaktan fiilen çıkarır.

bcrypt, yapılandırılabilir bir maliyet katsayısına sahip parola özetleme işlevidir. Maliyet katsayısı 10 iken bcrypt'in tek bir parolayı özetlemesi yaklaşık 100 ms sürer. Maliyet katsayısı 12 iken bu süre yaklaşık 400 ms olur. Bu, çevrim dışı bcrypt özetlerini kırmaya çalışan bir saldırganın GPU üzerinde saniyede en fazla birkaç yüz parola deneyebileceği anlamına gelir; MD5 ile bu sayı saniyede milyarlarca parolaya ulaşabilir. Donanım geliştikçe iş katsayısı artırılarak kırma zorluğunun sabit kalması sağlanabilir.

Argon2, 2015 yılında Parola Özetleme Yarışması'nı kazanmıştır ve yeni sistemler için güncel öneridir. Temel özelliği bellek açısından zorlayıcı olmasıdır: hesaplama için yapılandırılabilir miktarda RAM (genellikle 64 MB ile 1 GB arasında) gerektirir. Bu durum, bu cihazların bellek bant genişliği sınırlı olduğundan GPU ve ASIC hızlandırmasını engeller. Binlerce bcrypt hesaplamasını paralel olarak çalıştırabilen bir saldırgan, bellek kısıtlamaları nedeniyle yalnızca birkaç Argon2 hesaplaması çalıştırabilir.

Web Uygulaması Güvenlik Duvarları, başarısız oturum açma trafiğindeki örüntüleri belirleyerek kimlik bilgisi doldurma saldırılarını tespit edebilir: tek IP adreslerinden gelen yüksek hacimli trafik, yaygın kullanıcı adı listeleri kullanılarak yapılan denemeler, oturum açma denemelerinin anormal coğrafi dağılımı ve otomatik araçlarla uyumlu zaman örüntüleri. WAF kuralları, şüpheli trafiği uygulamaya ulaşmadan önce engelleyebilir, ek doğrulamaya tabi tutabilir veya yavaşlatabilir. Modern WAF sistemleri, bilinen botnet IP aralıklarına ilişkin tehdit istihbaratı akışlarını entegre eder.

Have I Been Pwned API'sinin parola değiştirme akışlarına entegre edilmesi, kullanıcıların bilinen veri ihlali veritabanlarında yer alan parolaları belirlemesini önler. API, k-anonimlik kullanır: kullanıcı gizliliğini korurken eşleştirme yapılmasına olanak tanımak için SHA-1 özetinin yalnızca ilk 5 onaltılık karakteri gönderilir; böylece bilinen veri ihlallerinde yer alan 850 milyon parolayla karşılaştırma yapılabilir. Veri ihlalinde ele geçirilmiş parolaların kayıt sırasında engellenmesi, kimlik bilgisi doldurma açığının önemli bir bölümünü ortadan kaldırır.

Hesapları kalıcı olarak kilitleyen katı hesap kilitleme politikalarının oluşturduğu temel güvenlik riski nedir?

Çevrim içi kaba kuvvet, ağ gecikmesiyle sınırlıdır; hız sınırlama ve kilitleme bundan yararlanır. Hesap kilitleme kaba kuvveti durdurur, ancak hizmet reddi saldırılarına olanak tanır. Üstel geri çekilme ve CAPTCHA her iki riski de azaltır. IP tabanlı hız sınırlama, tek kaynaktan gelen saldırıları yakalar. TOTP kullanan MFA, parola kaba kuvvetini etkili biçimde önler. bcrypt ve Argon2, çevrim dışı özet kırmayı yavaşlatır. HIBP API'si, bilinen veri ihlali parolalarını kayıt sırasında engeller.