پر کردن اعتبار یک روش حمله سایبری است که در آن مهاجمان از اسکریپت های خودکار برای آزمایش ترکیبی از نام های کاربری و رمزهای عبور در وب سایت های مختلف استفاده می کنند. مهاجم اغلب این جفت‌های نام کاربری/گذرواژه را از نقض‌های داده‌های قبلی به دست می‌آورد و از آنها در تلاش برای دسترسی غیرمجاز به حساب‌های کاربری در پلتفرم‌های مختلف استفاده می‌کند.
تاریخچه پر کردن اعتبار و اولین ذکر آن
اصطلاح "Credential Stuffing" برای اولین بار در اواخر دهه 2000، به دنبال افزایش قابل توجهی در نقض اطلاعات در مقیاس بزرگ که میلیون ها اعتبار کاربر را فاش کرد، ظهور کرد. این اساساً تکامل روش حمله brute-force است، اما به جای تلاش برای ترکیب تصادفی نام کاربری و رمز عبور، حملات پر کردن اعتبار از ترکیباتی استفاده می‌کنند که قبلاً توسط افراد استفاده شده است.
اولین نمونه شناسایی شده پر کردن اعتبار به سال 2014 باز می گردد، زمانی که مهاجمان از نفوذ اطلاعات Adobe سوء استفاده کردند که حدود 153 میلیون حساب کاربری را به بیرون درز کرد. آنها این جفت‌های اعتبار افشا شده را در وب‌سایت‌های مختلف آزمایش کردند و موفق شدند به حساب‌های متعددی دسترسی غیرمجاز به دست آورند.
نگاهی عمیق به پر کردن اعتبار
پر کردن اعتبار یک تهدید بزرگ برای امنیت سایبری است، در درجه اول به این دلیل که بسیاری از افراد از رمزهای عبور یکسان در چندین وب سایت استفاده می کنند. اگر نقض اطلاعات این گذرواژه‌ها را فاش کند، مهاجم می‌تواند به چندین حساب متعلق به یک فرد دسترسی پیدا کند.
حملات پر کردن اعتبار معمولاً خودکار هستند و از ربات‌ها برای وارد کردن سیستماتیک جفت‌های اعتبار به وب‌سایت‌های هدف استفاده می‌کنند. اگر یک وب سایت اقدامات امنیتی موثری برای شناسایی و جلوگیری از چنین حملاتی نداشته باشد، مهاجم می تواند هزاران جفت اعتبار را در مدت کوتاهی آزمایش کند.
مقیاس این حملات و تأثیر بالقوه آنها عظیم است. به عنوان مثال، در سال 2018، شرکت امنیتی Shape Security تخمین زد که 90% از تمام تلاش‌های ورود به وب‌سایت‌های تجارت الکترونیک، حملات پر کردن اعتبار بوده است.
ساختار داخلی پر کردن اعتبار
ساختار داخلی یک حمله پر کردن اعتبار شامل سه جزء اصلی است:
-
پایگاه اطلاعات اعتبار افشا شده: اینها پایگاه های داده ای هستند که شامل ترکیب نام کاربری- رمز عبور به دست آمده از نقض داده ها هستند. این پایگاه داده ها اغلب در وب تاریک در دسترس هستند.
-
ابزارهای اتوماسیون: این ابزارها که به عنوان «پرکننده اعتبار» نیز شناخته می‌شوند، برای خودکارسازی حمله استفاده می‌شوند. آنها جفت نام کاربری و رمز عبور را در فیلدهای ورود به وب سایت های هدف وارد می کنند.
-
شبکه پروکسی: مهاجمان از شبکه های پروکسی برای پنهان کردن آدرس IP خود و فرار از شناسایی استفاده می کنند.
این فرآیند نسبتاً ساده است: ابزار خودکار یک جفت اعتبار را از پایگاه داده انتخاب می‌کند، آن را از طریق یک سرور پراکسی به وب‌سایت وارد می‌کند، سپس ثبت می‌کند که آیا تلاش برای ورود به سیستم موفق بوده است یا خیر.
ویژگی های کلیدی Credential Stuffing
برخی از ویژگی های کلیدی حملات پر کردن اعتبار عبارتند از:
- اتوماسیون: حملات پر کردن اعتبار به صورت خودکار انجام می شود و به مهاجمان اجازه می دهد هزاران اعتبار را در مدت کوتاهی آزمایش کنند.
- نفوذ به داده ها: این حملات متکی به داده های لو رفته قبلی از نقض داده ها هستند.
- تشخیص مشکل: به دلیل استفاده از جفت‌های نام کاربری و رمز عبور قانونی و سرورهای پراکسی، شناسایی حملات پر کردن اعتبار ممکن است دشوار باشد.
- تأثیر گسترده: از آنجایی که مردم اغلب از رمزهای عبور در چندین وب سایت استفاده می کنند، یک حمله موفقیت آمیز می تواند چندین حساب متعلق به یک کاربر را در معرض خطر قرار دهد.
انواع پر کردن اعتبار
دو نوع اصلی پر کردن اعتبار وجود دارد:
-
پر کردن گواهینامه سنتی: در این مورد، مهاجم از یک اسکریپت یا ربات ساده برای آزمایش اعتبار لو رفته در یک وب سایت هدف استفاده می کند.
-
پر کردن اعتبار دائمی پیشرفته: در این نوع، مهاجم از ابزارها و روش‌های پیچیده‌تری استفاده می‌کند، اغلب آدرس‌های IP را می‌چرخاند و رفتارهای انسان‌مانند را تقلید می‌کند تا از شناسایی فرار کند.
| نوع پر کردن اعتبارنامه | ابزارهای مورد استفاده | سطح پیچیدگی |
|---|---|---|
| سنتی | ربات ها یا اسکریپت های ساده | کم |
| پایدار پیشرفته | ربات های پیشرفته، آدرس های IP در حال چرخش، تقلید رفتار انسان | بالا |
راه های استفاده از پر کردن اعتبارنامه، مشکلات و راه حل ها
حملات پر کردن اعتبار خطرات امنیتی قابل توجهی هم برای مشاغل و هم برای افراد ایجاد می کند. این حملات می تواند منجر به دسترسی غیرمجاز، سرقت اطلاعات، ضرر مالی و سایر عواقب جدی شود.
با این حال، چندین راه برای کاهش این خطرات وجود دارد:
- احراز هویت چند عاملی (MFA): MFA از کاربران می‌خواهد که مدرک هویتی بیشتری ارائه دهند، که می‌تواند به طور موثر از حملات پر کردن اعتبار جلوگیری کند.
- استفاده از CAPTCHA: CAPTCHA می تواند به تمایز بین کاربران انسانی و ربات ها کمک کند و میزان موفقیت حملات خودکار را کاهش دهد.
- نظارت بر اعتبار: نظارت منظم و ایمن کردن اعتبار شما می تواند به شناسایی و کاهش تهدیدات احتمالی کمک کند.
- محدود کردن نرخ IP: این تکنیک تعداد تلاش‌های ورود به سیستم را که می‌توان از یک آدرس IP انجام داد، محدود می‌کند و انجام عملیات‌های مهاجمان را دشوارتر می‌کند.
پر کردن اعتبار در مقابل شرایط مشابه
| مدت، اصطلاح | شرح |
|---|---|
| پر کردن اعتبار | یک روش حمله که در آن مهاجمان از اعتبارنامه های لو رفته قبلی برای دسترسی غیرمجاز به حساب های کاربری استفاده می کنند. |
| حمله نیروی بی رحم | یک روش حمله که در آن مهاجمان تمام ترکیبات ممکن از نام های کاربری و رمز عبور را امتحان می کنند تا دسترسی پیدا کنند. |
| پاشش رمز عبور | یک روش حمله که در آن مهاجمان برای جلوگیری از قفل شدن حساب، چند رمز عبور رایج را در مقابل بسیاری از حساب‌ها قبل از شروع به امتحان رمز عبور دیگر امتحان می‌کنند. |
دیدگاه ها و فناوری های آینده مرتبط با پر کردن اعتبار
همانطور که دنیای دیجیتال تکامل می یابد، روش های استفاده شده توسط مهاجمان نیز تغییر می کند. Advanced Persistent Credential Stuffing نمونه بارز این موضوع است. با این حال، فناوری برای مقابله با چنین تهدیداتی نیز در حال تکامل است. تکنیک‌هایی مانند بیومتریک رفتاری، که رفتار کاربر را برای شناسایی ناهنجاری‌ها مطالعه می‌کند، برای مبارزه با پر کردن اعتبار استفاده می‌شود. یادگیری ماشینی و هوش مصنوعی نیز برای شناسایی و جلوگیری از این حملات استفاده می شود.
در آینده، می‌توان انتظار داشت اقدامات امنیتی پیشرفته‌تری از جمله فناوری‌های پیچیده‌تر CAPTCHA، استفاده رایج‌تر از MFA، و افزایش استفاده از هوش مصنوعی و یادگیری ماشینی برای شناسایی و کاهش تهدیدات را شاهد باشیم.
سرورهای پروکسی و پر کردن اعتبار
سرورهای پروکسی نقش مهمی در حملات پر کردن اعتبار دارند. مهاجمان اغلب از آنها برای مخفی کردن آدرس IP خود و فرار از شناسایی استفاده می کنند. با این حال، سرورهای پروکسی نیز می توانند بخشی از راه حل باشند. برخی از سرورهای پروکسی به ابزارهایی برای شناسایی و مسدود کردن فعالیت‌های مشکوک مجهز هستند، بنابراین به کاهش خطرات مرتبط با پر کردن اعتبار کمک می‌کنند.
علاوه بر این، کسب و کارها می توانند از سرورهای پروکسی برای افزودن یک لایه امنیتی اضافی استفاده کنند. با قیف کردن تمام ترافیک از طریق یک سرور پراکسی، سازمان ها می توانند داده های در حال انتقال را نظارت و کنترل کنند، بنابراین به جلوگیری از دسترسی غیرمجاز و محافظت از اطلاعات حساس کمک می کنند.
لینک های مربوطه
- باز کردن پروژه امنیتی برنامه وب (OWASP)
- مؤسسه ملی استاندارد و فناوری (NIST) - دستورالعمل های هویت دیجیتال
- اطلاعیه خدمات عمومی FBI در مورد پر کردن اعتبار
برای محافظت از خود و کسب و کارتان در برابر حملات پر کردن اعتبار، مهم است که با آخرین اطلاعات و پیشرفت‌ها در امنیت سایبری به‌روز باشید.
