凭据填充与密码喷洒

凭据填充是一种自动化攻击：攻击者获取从一次数据泄露中窃取的用户名和密码组合，然后在其他服务上尝试使用这些组合。它利用了密码重复使用这一问题——如果某人在各处使用相同的密码，一次泄露就会危及其所有账户。

数十亿条凭据可以在暗网市场和论坛上购买。Sentry MBA、SNIPR 之类的工具以及自定义 Python 脚本，可以在多个服务上同时自动化测试，每分钟测试数千组凭据。

研究表明，超过 65% 的人会在多个网站重复使用密码。如果一个安全性较低的论坛发生数据泄露，而同一用户重复使用凭据，其银行、电子邮件和企业账户也可能受到危害。

密码喷洒会使用少量常见密码（例如“Spring2024!”、“Password1”）尝试登录大量账户。与暴力破解不同，它通过一次使用一个密码、将尝试分散到多个账户来避免触发账户锁定。

比较：

• 暴力破解——针对一个账户尝试许多密码 → 触发账户锁定
• 密码喷洒——使用一个密码尝试许多账户 → 保持在账户锁定阈值以下
• 凭据填充——使用数据泄露中已知的凭据组合 → 不进行猜测

检测指标：

• 来自许多 IP 的大量登录失败尝试
• 成功率突然高于基准值
• 来自 Tor 出口节点、VPN 或住宅代理的登录
• 自动化工具的设备指纹
• 来自地理位置上不可能的地点的登录

密码喷洒指标：

• 许多账户同时出现登录失败
• 失败尝试次数刚好低于账户锁定阈值（例如，若锁定阈值为 5，则每个账户出现 4 次失败尝试）
• 在许多账户上尝试使用相同的密码

主要防御措施：

• MFA——仅凭窃取的凭据不足以完成登录
• 泄露密码检测——注册或修改密码时拒绝使用已知的泄露密码
• 在登录表单上使用 CAPTCHA
• IP 信誉——拦截已知的恶意 IP 段
• 设备指纹识别——标记新设备登录

防御措施：

• 账户锁定策略（并配置告警）
• 所有账户都必须使用 MFA
• 使用拒绝列表拦截常见密码
• 监控身份验证日志中的密码喷洒模式
• 对于异常登录，使用条件访问要求额外验证

向用户告知来自新设备或新位置的登录，可以让他们立即自行报告账户接管事件。许多服务会发送“来自[城市，设备]的新登录”电子邮件——用户应检查意外收到的通知并采取相应措施。

Troy Hunt 的 HaveIBeenPwned 汇总数据泄露信息。组织可以集成 HIBP 的 k-匿名 API，以检查密码是否出现在已知的数据泄露中，同时无需将完整密码发送给该 API。

凭据填充会将在一次数据泄露中窃取的凭据用于其他服务，其成因是密码重复使用。密码喷洒会在许多账户上尝试常见密码，以避免触发账户锁定。防御措施包括 MFA、泄露密码检查、CAPTCHA、IP 信誉拦截，以及监控身份验证日志中的异常模式。