Excessive Failed Login Attempts
Unbegrenzte übermäßige fehlgeschlagene Anmeldeversuche erlauben Angreifern Brute-Force-Angriffe auf Passwörter oder Credential Stuffing.
Zweck
Das Brute-Force-Risiko fehlender Rate-Limits und ihre Abwehr verstehen; ein Kernanliegen der Authentifizierungssicherheit.
Mechanismus
Angreifer probieren Passwörter ohne Sperre oder Verzögerung wiederholt aus. Abwehr: Sperre nach n Fehlversuchen, exponentieller Backoff, CAPTCHA, IP-Rate-Limiting, Credential-Stuffing-Erkennung (Abgleich mit bekannten geleakten Passwörtern).
Anwendungsfälle
- Brute-Force-Abwehr
- Rate-Limiting
- Konto-Sperrrichtlinie