Il riempimento delle credenziali è un attacco di forza bruta agli account utente di un servizio. Non un account specifico, ma molti. In genere utilizzando le credenziali trovate in altri hack. Come utente, puoi vedere tramite haveibeenpawned.com se uno dei tuoi account è stato compromesso. Molto probabilmente lo era. Impariamo cosa puoi fare!

Perché dovresti preoccuparti

• Credential Stuffing fa parte di "Broken Authentication" e quindi # 2 nella Top 10 di OWASP ( fonte )
• 2020: $ 3,5 milioni in prelievi fraudolenti di assegni con credential stuffing ( maggiori dettagli )
• 2020: sono state trovate credenziali di circa 500.000 utenti Zoom con credential stuffing ( fonte )
• 2020: "Le industrie del commercio al dettaglio, dei viaggi e dell'ospitalità hanno attirato un sorprendente 63% di attacchi di credential stuffing" secondo Akamai.
• 2021: AVM (FritzBox) registra molti attacchi di credential stuffing ( fonte )

1. L'attaccante ottiene un elenco di credenziali valide , ad esempio (nome utente, password) per milioni di persone. Ci sono molte perdite .
2. L'attaccante le prova su grandi servizi (Gmail, Facebook, Twitter, Banche, Reddit, …)

Come posso difendermi da un attacco di credential stuffing?

Come utente, ci sono due misure di difesa perfette:

1. Password complesse : le password valide potrebbero avere un aspetto diverso da quello che pensi. Ma è facile generare password complesse memorizzabili .
2. Password univoche : non condividere le password tra i servizi. Mai.

Come fornitore di servizi, le difese non sono perfette e più complicate:

• Limitazione della velocità : se un singolo IP effettua troppi tentativi di password non valide, rallenta quell'IP. Ad esempio, chiedi loro di risolvere prima un CAPTCHA. Oppure dì loro che non sono autorizzati ad accedere per i prossimi 30 secondi. Basta essere consapevoli del fatto che ciò potrebbe anche bloccare utenti validi, ad esempio nelle scuole o in altre reti aperte più grandi.
• Web Application Firewalls (WAF) : Disclaimer completo qui: non ho esperienza pratica qui. Ho sentito parlare di "Difesa bot proattiva" che potrebbe essere interessante anche per altri scenari di attacco. Tuttavia, ha certamente anche i problemi per rilevare tutti gli attacchi (falsi negativi) e bloccare solo gli attacchi (falsi positivi).
• Autenticazione a due fattori (2FA) : costringere l'utente a utilizzare un secondo fattore rende molto meno probabile che il credential stuffing funzioni, anche se l'utente ha condiviso le password con un servizio vulnerabile e anche quando la password è debole.
• Single-Sign-On (SSO) : lasciare che un altro servizio gestisca l'autenticazione elude tutte queste seccature. Una variante ben nota è il "social login". Questo è semplicemente SSO da grandi siti web sociali come Facebook, Twitter, Github o LinkedIn.
• Controlla le password degli utenti per le violazioni : haveibeenpawned ti consente di verificare se le combinazioni di credenziali sono in violazione.

10 suggerimenti per fermare gli attacchi di riempimento delle credenziali

Qual è il prossimo?

In questa serie sulla sicurezza delle applicazioni (AppSec) abbiamo già spiegato alcune delle tecniche degli attaccanti e anche delle tecniche dei difensori :

• Parte 1: Iniezioni SQL
• Parte 2: Non trapelare Segreti
• Parte 3: Scripting tra siti (XSS)
• Parte 4: Hashing delle password
• Parte 5: Bombe ZIP
• Parte 6: CAPTCHA
• Parte 7: Spoofing e-mail
• Parte 8: Analisi della composizione del software (SCA)
• Parte 9: attacchi XXE
• Parte 10: Controllo degli accessi efficace
• Parte 11: DOS tramite un miliardo di risate
• Parte 12: Crittografia completa del disco
• Parte 13: Deserializzazione insicura
• Parte 14: Sicurezza Docker
• Parte 15: riempimento delle credenziali

• CSRF
• DOS
• ReDoS
• Crittografia
• Single Sign-On
• Autenticazione a due fattori
• Backup