Снизьте ценность украденного пароля
Предлагайте многофакторную аутентификацию или passkeys там, где это доступно. Храните пароли с использованием специализированного адаптивного алгоритма хеширования и никогда не сохраняйте их в открытом виде. Не сообщайте, существует ли конкретная учётная запись, через различающиеся ответы.
Ограничивайте попытки без простого отказа в обслуживании
Сочетайте ограничения частоты по нескольким измерениям и задержки с осторожной реакцией на риск. Жёсткая блокировка аккаунта после ошибочных входов может позволить атакующему блокировать чужие учётные записи. IP-блокировка в одиночку также не учитывает распределённые источники.
Дополнительную проверку применяйте по контексту, с доступной альтернативой.
Реагируйте на признаки компрометации
Следите за необычными сериями неуспешных попыток, успешными входами из нетипичного контекста и последующими изменениями профиля. Уведомляйте пользователя безопасным способом, предоставляйте сценарий восстановления и пересмотра активных сессий.
Не храните в логах пароли, коды MFA и полные секреты сессий.
Частые вопросы
Credential stuffing и brute force — одно и то же?
Нет. Credential stuffing использует готовые пары учётных данных, часто полученные из утечек других сервисов. Brute force перебирает возможные значения пароля.
Стоит ли блокировать аккаунт после нескольких ошибок?
Постоянная или легко вызываемая блокировка создаёт риск отказа в обслуживании для владельца аккаунта. Рассмотрите ступенчатые ограничения, MFA и дополнительные проверки.