Kort uitgelegd
Aanvallers kunnen hergebruikte inloggegevens uit datalekken proberen, waarschijnlijke menselijke patronen raden of kandidaatwachtwoorden testen tegen gestolen wachtwoordverificatiegegevens. De methode hangt ervan af of ze een actieve inlogpagina aanvallen of verificatiegegevens hebben buitgemaakt.
Gestolen inloggegevens hergebruiken
Bij credential stuffing worden combinaties van gebruikersnamen en wachtwoorden uit een datalek op andere diensten geprobeerd. Een uniek wachtwoord voor elk account voorkomt dat één gelekt wachtwoord toegang geeft tot accounts bij andere diensten. (OWASP-overzicht over authenticatie)
Online raden en offline kraken
Online pogingen verlopen via een dienst, die ze kan beperken of detecteren. Bij offline kraken worden gestolen wachtwoordverificatiegegevens gebruikt en kunnen pogingen worden getest zonder contact met de dienst. Een wachtwoordhashmethode met salt die bewust veel rekenwerk vergt, verhoogt de kosten van elke poging. (NIST SP 800-63B-4) (OWASP-overzicht over wachtwoordopslag)
Wat helpt om accounts te beschermen?
Gebruik unieke wachtwoorden, schakel multifactorauthenticatie in, installeer updates en wijzig een wachtwoord wanneer een dienst een datalek meldt. Hergebruik een wachtwoord niet alleen omdat het ingewikkeld lijkt. (NIST SP 800-63B-4)