Penjejalan kredensial adalah serangan brute force pada akun pengguna layanan. Bukan satu akun tertentu, tapi banyak. Biasanya dengan menggunakan kredensial yang ditemukan di peretasan lainnya. Sebagai pengguna, Anda dapat melihat melalui haveibeenpawned.com jika salah satu akun Anda disusupi. Kemungkinan besar, itu. Ayo pelajari apa yang bisa kamu lakukan!

Mengapa Anda harus peduli?

• Credential Stuffing adalah bagian dari “Broken Authentication” dan dengan demikian #2 dalam 10 Teratas OWASP ( sumber )
• 2020: $3,5 juta dalam penarikan cek palsu dengan isian kredensial ( lebih detail )
• 2020: Sekitar 500.000 kredensial pengguna Zoom ditemukan dengan isian kredensial ( sumber )
• 2020: “Industri ritel, perjalanan, dan perhotelan menarik 63% serangan isian kredensial yang mengejutkan” menurut Akamai.
• 2021: AVM (FritzBox) mendaftarkan banyak serangan isian kredensial ( sumber )

1. Penyerang mendapatkan daftar kredensial yang valid , misalnya (nama pengguna, kata sandi) untuk jutaan orang. Ada banyak kebocoran .
2. Penyerang mencoba mereka di layanan besar (Gmail, Facebook, Twitter, Bank, Reddit, ...)

Bagaimana saya bisa bertahan melawan serangan isian kredensial?

Sebagai pengguna, ada dua langkah pertahanan yang sempurna:

1. Kata Sandi Kuat : Kata sandi yang baik mungkin terlihat berbeda dari yang Anda kira. Tetapi mudah untuk membuat kata sandi kuat yang mudah diingat .
2. Kata Sandi Unik : Jangan bagikan kata sandi antar layanan. Tidak pernah.

Sebagai penyedia layanan, pertahanannya tidak sempurna dan lebih rumit:

• Pembatasan Tingkat : Jika satu IP membuat terlalu banyak upaya kata sandi yang tidak valid, perlambat IP itu. Misalnya, minta mereka untuk memecahkan CAPTCHA terlebih dahulu. Atau beri tahu mereka bahwa mereka tidak diizinkan masuk selama 30 detik berikutnya. Perlu diketahui bahwa ini juga dapat memblokir pengguna yang valid, misalnya di sekolah atau jaringan terbuka lainnya yang lebih besar.
• Firewall Aplikasi Web (WAF) : Penafian penuh di sini: Saya tidak memiliki pengalaman praktis di sini. Saya pernah mendengar tentang "Pertahanan Bot Proaktif" yang mungkin menarik untuk skenario serangan lainnya juga. Namun, tentu juga memiliki masalah untuk mendeteksi semua serangan (False-Negatives) dan untuk memblokir hanya serangan (False-Positives).
• Otentikasi dua faktor (2FA) : Memaksa pengguna untuk menggunakan faktor kedua akan memperkecil kemungkinan bahwa isian kredensial berfungsi, bahkan jika pengguna berbagi kata sandi dengan layanan yang rentan dan bahkan ketika kata sandinya lemah.
• Single-Sign-On (SSO) : Membiarkan layanan lain menangani otentikasi mengesampingkan semua kerepotan itu. Salah satu varian yang cukup terkenal adalah “social login”. Itu hanyalah SSO oleh situs web sosial besar seperti Facebook, Twitter, Github, atau LinkedIn.
• Periksa kata sandi pengguna untuk pelanggaran : haveibeenpawned memungkinkan Anda untuk memeriksa apakah kombinasi kredensial dalam pelanggaran.

10 Tips Untuk Menghentikan Serangan Credential Stuffing

Apa berikutnya?

Dalam seri tentang keamanan aplikasi (AppSec) ini kami telah menjelaskan beberapa teknik penyerang dan juga teknik para pembela :

• Bagian 1: Injeksi SQL
• Bagian 2: Jangan membocorkan Rahasia
• Bagian 3: Pembuatan Skrip Lintas Situs (XSS)
• Bagian 4: Hashing Kata Sandi
• Bagian 5: Bom ZIP
• Bagian 6 : CAPTCHA
• Bagian 7: Email Spoofing
• Bagian 8: Analisis Komposisi Perangkat Lunak (SCA)
• Bagian 9: Serangan XXE
• Bagian 10: Kontrol Akses Efektif
• Bagian 11: DOS melalui Miliar Tertawa
• Bagian 12: Enkripsi Disk Penuh
• Bagian 13: Deserialisasi Tidak Aman
• Bagian 14: Keamanan Docker
• Bagian 15: Isian Kredensial

• CSRF
• DOS
• ReDoS
• Pembajakan Kripto
• Sistem Masuk Tunggal
• Otentikasi Dua Faktor
• Cadangan