क्रेडेंशियल स्टफिंग सेवाओं के उपयोगकर्ता खातों पर एक क्रूर-बल वाला हमला है। एक विशिष्ट खाता नहीं, बल्कि कई। आम तौर पर अन्य हैक्स में पाए गए क्रेडेंशियल्स का उपयोग करके। एक उपयोगकर्ता के रूप में, आप haveibeenpawned.com के माध्यम से देख सकते हैं कि क्या आपके किसी खाते से छेड़छाड़ की गई थी। सबसे अधिक संभावना है, यह था। आइए जानें कि आप क्या कर सकते हैं!

आपको परवाह क्यों करनी चाहिए

• क्रेडेंशियल स्टफिंग "टूटे हुए प्रमाणीकरण" का हिस्सा है और इस प्रकार OWASP शीर्ष 10 में #2 ( स्रोत )
• 2020: क्रेडेंशियल स्टफिंग के साथ धोखाधड़ी से चेक निकासी में $3.5 मिलियन ( अधिक विवरण )
• 2020: लगभग 500,000 ज़ूम उपयोगकर्ता क्रेडेंशियल क्रेडेंशियल स्टफिंग के साथ पाए गए ( स्रोत )
• 2020: अकामाई के अनुसार "खुदरा, यात्रा और आतिथ्य उद्योगों ने 63% क्रेडेंशियल स्टफिंग हमलों को आकर्षित किया" ।
• 2021: एवीएम (फ्रिट्ज़बॉक्स) ने बहुत सारे क्रेडेंशियल स्टफिंग हमलों को दर्ज किया ( स्रोत )

1. हमलावर को वैध क्रेडेंशियल्स की एक सूची मिलती है , जैसे (उपयोगकर्ता नाम, पासवर्ड) लाखों लोगों के लिए। कई लीक हैं ।
2. हमलावर उन्हें बड़ी सेवाओं (जीमेल, फेसबुक, ट्विटर, बैंक, रेडिट,…)

मैं क्रेडेंशियल स्टफिंग हमले से कैसे बचाव कर सकता हूं?

एक उपयोगकर्ता के रूप में, दो पूर्ण रक्षा उपाय हैं:

1. मजबूत पासवर्ड : अच्छे पासवर्ड आपके विचार से भिन्न दिख सकते हैं। लेकिन यादगार मजबूत पासवर्ड बनाना आसान है ।
2. अद्वितीय पासवर्ड : सेवाओं के बीच पासवर्ड साझा न करें। कभी नहीँ।

एक सेवा प्रदाता के रूप में, बचाव सही और अधिक जटिल नहीं हैं:

• दर सीमित करना : यदि एक एकल आईपी बहुत अधिक अमान्य पासवर्ड प्रयास करता है, तो उस आईपी को धीमा कर दें। उदाहरण के लिए, उन्हें पहले कैप्चा हल करने के लिए कहें । या उन्हें बता दें कि उन्हें अगले 30 सेकंड के लिए लॉग इन करने की अनुमति नहीं है। बस इस बात से अवगत रहें कि यह वैध उपयोगकर्ताओं को भी ब्लॉक कर सकता है, जैसे स्कूलों या अन्य बड़े खुले नेटवर्क में।
• वेब एप्लिकेशन फायरवॉल (डब्ल्यूएएफ) : यहां पूर्ण अस्वीकरण: मुझे यहां व्यावहारिक अनुभव नहीं है। मैंने "प्रोएक्टिव बॉट डिफेंस" के बारे में सुना है जो अन्य हमले परिदृश्यों के लिए भी दिलचस्प हो सकता है। हालांकि, इसमें निश्चित रूप से सभी हमलों (झूठी-नकारात्मक) का पता लगाने और केवल हमलों (गलत-सकारात्मक) को अवरुद्ध करने के मुद्दे भी हैं।
• दो-कारक प्रमाणीकरण (2FA) : उपयोगकर्ता को दूसरे कारक का उपयोग करने के लिए मजबूर करने से क्रेडेंशियल स्टफिंग के काम करने की संभावना बहुत कम हो जाती है, भले ही उपयोगकर्ता ने कमजोर सेवा के साथ पासवर्ड साझा किया हो और पासवर्ड कमजोर होने पर भी।
• सिंगल-साइन-ऑन (एसएसओ) : किसी अन्य सेवा को प्रमाणीकरण को संभालने देना उन सभी परेशानियों को दूर करता है। एक प्रकार जो प्रसिद्ध है वह है "सामाजिक लॉगिन"। फेसबुक, ट्विटर, जीथब, या लिंक्डइन जैसी बड़ी सामाजिक वेबसाइटों द्वारा यह केवल एसएसओ है।
• उल्लंघनों के लिए उपयोगकर्ताओं के पासवर्ड की जाँच करें : haveibeenpawned आपको यह जाँचने की अनुमति देता है कि क्या क्रेडेंशियल संयोजन उल्लंघन में हैं।

क्रेडेंशियल स्टफिंग अटैक को रोकने के लिए 10 टिप्स

आगे क्या होगा?

एप्लिकेशन सुरक्षा (AppSec) के बारे में इस श्रृंखला में हमने पहले ही हमलावरों की कुछ तकनीकों और रक्षकों की तकनीकों के बारे में बताया है:

• भाग 1: SQL इंजेक्शन
• भाग 2: रहस्य लीक न करें
• भाग 3: क्रॉस-साइट स्क्रिप्टिंग (XSS)
• भाग 4: पासवर्ड हैशिंग
• भाग 5: ज़िप बम
• भाग 6 : कैप्चा
• भाग 7: ईमेल स्पूफिंग
• भाग 8: सॉफ्टवेयर संरचना विश्लेषण (एससीए)
• भाग 9: XXE हमले
• भाग 10: प्रभावी अभिगम नियंत्रण
• भाग 11: डॉस वाया ए बिलियन लाफ्स
• भाग 12: पूर्ण डिस्क एन्क्रिप्शन
• भाग 13: असुरक्षित अक्रमांकन
• भाग 14: डॉकर सुरक्षा
• भाग 15: क्रेडेंशियल स्टफिंग

• सीएसआरएफ
• डॉस
• रीडोस
• क्रिप्टोजैकिंग
• सिंगल-साइन-ऑन
• दो-कारक प्रमाणीकरण
• बैकअप