Brute force ile credential stuffing arasındaki fark nedir?

Brute force, saldırganın bir hesabın parolasını tahmin ederek veya çok sayıda parola kombinasyonunu deneyerek ele geçirmeye çalışmasıdır. Credential stuffing ise daha önce başka bir hizmetten sızmış gerçek kullanıcı adı-parola çiftlerinin, başka sitelerde otomatik olarak denenmesidir. Kısaca brute force parolayı bulmaya çalışır; credential stuffing ise bulunmuş veya sızdırılmış parolayı yeniden kullanır.

Nasıl çalışırlar?​

Brute force saldırısında saldırganın elinde çoğu zaman geçerli parola yoktur. Dar sınıflandırmada brute force tek hesaba çok sayıda parola denemesidir. Aynı zayıf parolanın birçok hesapta denenmesi password spraying olarak ayrıca adlandırılır. Denemeler kısa ve basit parolalardan başlayabilir ya da daha önce elde edilmiş parola listeleriyle birleştirilebilir. Başarılı olma ihtimali, parolanın uzunluğuna, tahmin edilebilirliğine ve giriş sisteminin denemeleri sınırlayıp sınırlamadığına bağlıdır.

Credential stuffing'de ise saldırgan, örneğin başka bir web sitesinden elde edilmiş [email protected] + parola çiftlerini kullanır. Kullanıcı aynı parolayı sizin sitenizde de kullandıysa saldırganın yeni bir parola tahmin etmesi gerekmez. Bu nedenle başarısız girişler farklı hesaplara dağılabilir ve her hesap için yalnızca bir veya birkaç deneme görülebilir.

Somut örnek​

Varsayımsal olarak 10.000 kullanıcı hesabınız olduğunu düşünün. Tek hesaba birçok aday parola göndermek brute force; aynı 123456 adayını çok sayıda hesapta denemek password spraying örneğidir. Her ikisi de önceden doğrulanmış hesap-parola çiftinin yeniden denenmesinden farklı başlangıç bilgisine dayanır.

Aynı saldırgan başka bir hizmetten sızdığı varsayılan 50.000 kullanıcı adı-parola çiftini sitenizde denerse bu credential stuffing'dir. Başarılı girişler, kullanıcıların parolalarını farklı hizmetlerde tekrar kullanmasına bağlıdır. Günlüklerde her hesaba tek deneme görünmesi, saldırının zararsız olduğu anlamına gelmez.

Temel farklar​

Saldırıyı sınıflandırmak, yalnızca etiketi doğru koymak için değil, doğru savunmayı seçmek için önemlidir:


Bu iki yöntem aynı olayda birlikte de görülebilir. Örneğin saldırgan önce yaygın parolaları deneyebilir, ardından elindeki sızmış kimlik bilgilerini kullanabilir. Bu yüzden yalnızca tek bir eşik kuralına güvenmek yerine hesap, IP adresi, cihaz, oturum açma hızı ve başarısızlık dağılımını birlikte değerlendirmek gerekir.

Site yöneticisi ne yapmalı?​

1. Giriş günlüklerinde aynı IP'den gelen yoğun denemeleri, aynı kullanıcıya yönelen tekrarları ve çok sayıda kullanıcıya dağılan tekil denemeleri ayrı ayrı inceleyin.
2. Başarısız giriş sayısını yalnızca IP adresine göre değil, hesap ve IP kombinasyonuna göre de sınırlayın. Aksi durumda saldırgan IP değiştirerek veya aynı IP'den farklı hesaplara geçerek kuralı aşabilir.
3. Başarılı girişlerde yeni cihaz, alışılmadık konum, kısa sürede farklı konumlardan erişim ve art arda parola sıfırlama gibi belirtileri kontrol edin.
4. Riskli hesaplarda oturumları sonlandırın, parolayı benzersiz bir parolayla değiştirin ve mümkünse çok faktörlü kimlik doğrulamayı etkinleştirin. Kullanıcı parolayı başka hizmetlerde de kullanıyorsa bu hizmetlerde de değiştirmesi gerekir.
5. Parolaları düz metin olarak saklamayın. Uygulamanın güvenli parola karma ve doğrulama mekanizmalarını kullanın; giriş ekranında kullanıcıya hesabın mevcut olup olmadığını gereksiz yere açıklamayın.
6. Engelleme kararını yalnızca tek bir IP adresine bağlamayın. Paylaşımlı ağlar nedeniyle masum kullanıcılar da etkilenebilir; kademeli gecikme, ek doğrulama ve olay kaydı gibi önlemleri birlikte değerlendirin.

Sık yapılan hatalar​

En yaygın hata, her başarısız giriş dalgasını brute force kabul etmektir. Farklı hesaplara dağılan az sayıdaki denemeler credential stuffing işareti olabilir. Diğer hata ise yalnızca IP engellemektir; dağıtık saldırılarda bu yaklaşım yetersiz kalabilir. Ayrıca yalnızca parola değiştirmek, ele geçirilmiş etkin oturumları sonlandırmıyorsa hesabı hemen güvenli hâle getirmeyebilir.

Sık sorulan sorular​

Günlükte her hesaba tek deneme varsa stuffing kesin midir?​

Hayır. Dağıtılmış deneme biçimi yalnız bir belirtidir; password spraying veya normal kullanıcı hataları da farklı hesaplarda görülebilir. Denenen parolaları günlüğe yazmadan zaman, kaynak ve sonuç örüntülerini ilişkilendirin. Kaynak listenin nereden geldiği sırf deneme sayısından kanıtlanamaz.

Parolaları güçlü hash ile saklamak stuffing’i önler mi?​

Güvenli parola saklama, kendi veritabanınız sızdığında parolaların çözülmesine karşı önemlidir. Fakat başka yerden alınmış geçerli parolayla normal giriş denenmesini tek başına engellemez. Benzersiz parola ve MFA gibi giriş korumaları bu nedenle ayrı gereksinimdir.