Excessive Failed Login Attempts
Des tentatives de connexion échouées excessives et sans limite permettent aux attaquants de forcer des mots de passe par force brute ou de faire du credential stuffing.
Objectif
Comprendre le risque de force brute dû à l'absence de limitation de débit et ses défenses ; un souci central de la sécurité de l'authentification.
Mécanisme
Les attaquants essaient des mots de passe en boucle sans verrouillage ni délai. Défenses : verrouillage après N échecs, backoff exponentiel, CAPTCHA, limitation de débit par IP, détection de credential stuffing (comparaison aux mots de passe divulgués connus).
Cas d’usage
- Défense contre la force brute
- Limitation de débit
- Politique de verrouillage de compte