Password Spray vs Credential Stuffing: Rozdíly a prevence

Všechny informace, které potřebujete o těchto útocích hrubou silou

Hlavním rozdílem mezi sprejem hesel a vycpáváním pověření je požadavek potřebný k provedení útoku. Oba jsou útoky hrubou silou, které používají špatní herci k nelegálnímu získání přístupu k uživatelským účtům.

I když to na první pohled může znít děsivě, stále závisí na chybách z vaší strany. V tomto průvodci heslem sprej vs credential stuffing si ukážeme, jak těmto útokům předcházet a jak se liší.

Co je sprej na hesla?

Sprej hesel je forma útoku hrubou silou, kdy pachatel zkouší nějaké náhodné běžně používané heslo na různá platná uživatelská jména. To znamená, že útočník nemá žádné legitimní informace.

Místo toho nastříkají některá z běžných a snadno zapamatovatelných hesel, která průměrný uživatel používá, na mnoho platných uživatelských jmen. Některá z těchto slabých hesel zahrnují heslo, 123456, 123abc a 111111 atd.

Tento postup opakují s různými společnými hesly, dokud nakonec neporuší jeden z účtů.

Co je vycpávání pověření?

Na rozdíl od spreje hesel získá útočník při plnění pověření přístup k přihlašovacím údajům pro uživatelský účet. To se obvykle děje prostřednictvím online úniků; možná byla ohrožena databáze webu, kde máte účet.

S heslem z jediného účtu se zlý herec snaží získat přístup k dalším online účtům stejného uživatele. Pokud heslo ne, zkouší hacker různé varianty stejného hesla.

Hacker může například získat přístup k uživatelskému jménu, e-mailu a heslu uživatele na Facebooku. Poté se pokusí heslo dostat do účtu Twitter nebo Gmail dané osoby. Pokud to nefunguje, použijí místo toho variantu hesla.

Jaký je rozdíl mezi sprejováním hesla a vycpáváním pověření?

1. Cíl útoku

Hlavním cílem těchto dvou typů útoků je nelegálně získat přístup k uživatelským účtům. Pro plnění pověření je však cílem použít uniklé uživatelské pověření pro jeden účet, abyste získali přístup k více účtům drženým stejným uživatelem.

Nastříkání hesel na druhé straně vyžaduje, aby špatný herec měl seznam běžných hesel, která budou nastříkána na různá platná uživatelská jména.

Přečtěte si více o tomto tématu

• Statistiky, které byste měli vědět o kybernetických útocích v roce 2023
• Nejnovější antivirové statistiky s 8 nejhrubšími fakty

2. Požadavek

Požadavek na útok nacpáním pověření je uniklá online základna pověření, se kterou lze pracovat. Obvykle to získávají prostřednictvím online úniků nebo hackováním databáze organizace.

Zatímco sprejování hesel nevyžaduje žádná uniklá data. Jen náhodný seznam platných uživatelských jmen, což je obvykle e-mailová adresa a běžně používaná a jednoduchá hesla.

3. Provozní režim

Zatímco pověření lze provádět ručně, hackeři používají botnety. Poskytují dostupná data robotům, kteří začnou vytvářet různé varianty, aby získali přístup k jiným účtům.

Tato forma útoku funguje, protože většina uživatelů internetu nedrží jedinečná hesla pro různé účty. Místo toho používají stále stejné heslo nebo jeho obměnu.

Útočníci také používají botnety pro sprejování hesel. Roboti pracují s platnými uživatelskými jmény a přiřazují je k běžně používaným heslům, dokud nezískají platné přihlašovací údaje k účtu.

Tato forma útoku je někdy úspěšná, protože průměrný uživatel internetu má desítky účtů, které vyžadují hesla. Většina lidí tedy raději používá tato slabá a takzvaně snadno zapamatovatelná hesla. Díky tomu mohou hackeři snadno získat přístup ke svým účtům.

Jak mohu zabránit vycpávání přihlašovacích údajů a sprejování hesel?

Níže jsou uvedeny některé z věcí, které mohou organizace a jednotlivci udělat, aby těmto útokům hrubou silou zabránili:

• Používejte jedinečná hesla – I když je lákavé jít na běžně používaná hesla, obvykle to končí špatně. Vždy používejte silné a jedinečné heslo pro různé účty. Pokud se obáváte, že si je budete muset všechny pamatovat, můžete použít a důvěryhodný správce hesel namísto.
• Odmítněte běžně používaná hesla – Jako organizace s online portály musíte mít zásady vytváření hesel, které odmítají slabá a běžně používaná hesla. Díky tomu si můžete rychle všimnout útoku sprejem hesel, než dojde k uskutečnění.
• Použít vícefaktorové ověření (MFA) – Chcete-li zvýšit zabezpečení svého portálu a účtů, musíte snížit důležitost hesel. Jedním z účinných způsobů, jak toho dosáhnout, je implementace dvoufaktorové (2FA) nebo vícefaktorové autentizace. Díky tomu budou uživatelé muset kromě hesel poskytovat další informace, mít přístup ke svým zařízením nebo používat biometrické ověření.
• Často kontrolujte narušení databáze – Občas některé organizace kontrolují svou databázi, zejména sdílenou s databází známých uniklých přihlašovacích údajů. Díky tomu můžete vědět a rychle podniknout kroky proti narušeným účtům.
• Omezit pokusy o přihlášení – Dalším účinným způsobem, jak zabránit vycpávání přihlašovacích údajů a sprejování hesel, je omezit počet pokusů o přihlášení najednou. Také můžete do procesu přihlášení zavést CAPTCHA a další nástroje pro detekci živosti, abyste omezili roboty.

Dosáhli jsme konce této příručky nacpáním pověření vs. sprejem na heslo. Díky informacím v nich nyní máte vše, co potřebujete vědět o těchto formách útoku a jak jim předcházet.

Pokud potřebujete seznam offline správci hesel Abychom vám pomohli ochránit vaše přihlašovací údaje, podívejte se do našeho podrobného průvodce, kde najdete ty nejlepší dostupné.

Neváhejte se s námi podělit o své zkušenosti s těmito útoky hrubou silou v komentářích níže.