نبود Rate Limiting روی فرم ورود (Credential Stuffing)
چرا فقط «رمز قوی» کافی نیست؛ بدون محدودیت تلاش، حتی رمزهای پیچیده هم با لیست‌های نشت‌یافته قابل‌حدس‌زدن می‌شوند.
Credential Stuffing یعنی استفاده از جفت ایمیل/رمزهای نشت‌یافته از سایت‌های دیگر، روی فرم ورود هدف؛ چون بسیاری از کاربران رمز را در چند سایت تکرار می‌کنند. اگر فرم ورود هیچ محدودیت نرخ یا قفل حساب نداشته باشد، مهاجم می‌تواند میلیون‌ها ترکیب را به‌صورت خودکار تست کند.
نحوه‌ی شناسایی
- تعداد زیادی درخواست ورود پی‌درپی با یک حساب ثابت و رمزهای متفاوت بفرستید.
- ببینید آیا بعد از N تلاش، تاخیر، کپچا یا قفل موقت اعمال می‌شود.
راه‌حل
Rate limiting روی IP و روی حساب کاربری به‌صورت همزمان، قفل موقت حساب بعد از تلاش‌های ناموفق متوالی، و احراز هویت دومرحله‌ای (MFA) به‌عنوان دفاع نهایی.