2022年6月27日，全球隐私大会（GPA）这一由130多个数据保护和隐私监管及执法机构组成的协会发布了首份关于凭据填充攻击的政府间指南。该指南指出，凭据填充攻击会对全球范围内的个人数据构成风险，数据保护法律要求组织采取措施防范此类攻击。
F5很荣幸参与制定这些指南，并感谢GPA的认可。F5很早就认识到凭据填充的威胁。F5的Sumit Agarwal首创了“凭据填充”一词。当时，他正在五角大楼担任国防部副助理部长。这一洞见促成了Shape Security（现为F5的一部分）于2011年成立，并成为备受认可的机器人管理供应商。如今，F5继续帮助全球大型银行、电子商务零售商、航空公司、酒店服务提供商和社交媒体公司抵御凭据填充及相关威胁。
这份新指南由GPA的常设工作组国际执法合作工作组（IEWG）发布，介绍了撞库攻击的实施方式，阐释了导致此类攻击盛行的攻击者经济动因，说明了为何这是一个全球性问题以及为何需要将其纳入数据隐私法，并概述了多种缓解撞库攻击的方法。
GPA指南以政府机构近期发布的多项警告为基础。2022年1月5日，纽约州总检察长办公室发布了一份《企业指南》，指出凭据填充攻击正迅速激增，企业需要采取预防措施。2020年9月15日，美国证券交易委员会发布了一份《风险警示》，指出针对在该委员会注册的投资顾问、经纪商和交易商的凭据填充攻击大幅增加。2020年9月10日，美国联邦调查局发布了一份《私营行业通知》，警告称美国金融机构接连遭受凭据填充攻击，超过50,000个账户受到影响，仅通知和补救费用一项，企业每年平均就要承担600万美元。这些事件持续影响首席隐私官。近期一篇CPO文章记录了针对通用汽车的大规模凭据填充攻击，也印证了这一点。
凭据填充是一种网络犯罪，犯罪分子通过在网站上尝试使用窃取的凭据来接管账户。他们使用称为机器人的自动化工具大规模实施此类攻击。这种网络犯罪的成功率和投资回报率都很高，原因包括：1）窃取的凭据很容易获得；2）多达60%的人会在不同账户中重复使用密码（据FBI称）；3）许多组织依赖CAPTCHA和IP拒绝列表等效果不佳的缓解措施。
被盗凭据的数量令人震惊。根据F5 Labs 2021 年凭据填充报告，仅2020年就有18.6亿条凭据被盗。GPA指南指出，2013年Yahoo数据泄露等大规模数据泄露事件已导致数十亿条凭据泄露。在数据泄露事件公开披露之前，攻击者可能会利用这些被盗凭据长达数年。
“……私营部门的研究发现，2017年11月至2019年3月期间，游戏行业发生了550亿次凭据填充攻击，相当于每月超过30亿次、每天超过1.07亿次。进一步研究发现，2020年全球发生了1,930亿次凭据填充攻击，相当于每月超过160亿次、每天超过5亿次。”
GPA指南还指出，这些隐私泄露事件的受害者除了遭受经济损失外，还可能受到其他伤害，包括有人利用其已遭入侵的账户散布虚假信息或发表有关受害者的不实言论，从而损害其声誉。不难想象，这些侵犯隐私的行为可能会毁掉受害者的生活。
最重要的是，该指南援引欧盟《通用数据保护条例》（GDPR）和美国联邦贸易委员会《保障规则》中的具体条款，得出结论认为，组织应将防范凭据填充攻击视为数据隐私法律所要求的“适当”安全措施之一。
“鉴于凭据填充攻击显然会威胁个人数据（对于拥有可在线访问的用户账户的组织而言尤其如此），并可能导致未经授权的数据处理或访问，数据保护和隐私法律通常会至少以隐含方式要求采取措施，保护个人数据免受凭据填充攻击。”
GPA指南建议组织考虑采用多种缓解方法，防范凭据填充攻击：
- 访客结账，无需使用任何凭据
- 采用严格的密码策略，尽可能降低密码重复使用的风险
- 密码的替代方案，例如单点登录（SSO）
- 多重身份验证（MFA）
- 辅助密码和PIN码
- 设备指纹识别
- 不可预测的用户名
- 识别已泄露的密码
- 速率限制
- 登录页面和流程（多步骤登录）
- 账户监控与检测
- 对匿名网络（如TOR）进行额外检查
- 验证码
- WAF
- IP阻止列表和允许列表
- 事件响应计划和用户通知
这些方法确实有效，有助于缓解凭据填充攻击。在评估哪些方法更适合贵组织时，F5凭借多年来在这一领域的持续创新，建议考虑采用能够实时有效缓解机器人攻击的技术，同时避免增加用户体验阻力，也无需重新设计应用。
辅助密码和PIN、难以预测的用户名以及多步骤登录页面虽然能增强保护，但也会增加用户操作阻力。希望提高客户转化率并减少购物车放弃率的企业，应避免在客户购买过程中设置障碍。访客结账或许也有帮助，但会使企业无法提供个性化的精准体验。MFA虽然有效，但同样会增加用户操作阻力，而且一直是犯罪分子重点攻击的目标。
CAPTCHA同样会增加操作阻力，其防御效果也不如许多人想象的那么好。CAPTCHA破解服务利用机器学习和点击农场，让机器人能够以较低成本绕过CAPTCHA。（阅读Dan Woods的亲身经历：《人工CAPTCHA破解者历险记》。）
与F5合作过的组织发现，IP阻止列表和静态WAF规则维护起来过于困难。代理服务让机器人能够利用数百万个有效的住宅IP地址。与此同时，机器人每次被阻止后，都能在数小时内调整策略。这些方法迫使安全团队陷入疲于应对却难以取胜的困境。
同样，账户监控和检测、事件响应计划以及用户通知都很重要，需要纳入机器人管理方案，但这些保护措施都是事后采取的。所幸，目前已有技术可以从源头上防止犯罪分子接管账户。
F5与致力于保护自身及其客户的组织合作，帮助其防范凭据填充引发的欺诈滥用，同时提供出色的数字体验，赢得客户青睐，并在当今竞争激烈的市场中脱颖而出。F5赢得了客户的信赖，能够在不增加用户操作阻力的情况下，以出色的防护效果抵御机器人。该技术基于F5多年来对JavaScript和移动原生信号的研发成果，这些信号涵盖设备环境和机器人的行为特征。除了基于这些信号进行实时检测外，F5 Distributed Cloud Bot Defense还提供机器学习分析服务，可快速检测并应对机器人工具调整。为确保长期有效，信号收集代码采用先进的混淆技术，以防止逆向工程和信号篡改。
F5致力于让网络安全与每个人息息相关，而凭据填充攻击会欺诈组织并给个人带来严重伤害，这正是我们致力于解决的问题。正如F5全球情报负责人Dan Woods在《Fast Company》中指出的那样，此类攻击此前受到的关注太少。值得庆幸的是，GPA和多家隐私保护机构正推动各方重视个人隐私面临的风险。
“Colonial攻击事件凸显出，公众认知与媒体对网络安全的叙事之间存在明显脱节。让数百万人受到一点影响，就会登上国际头条；而通过一系列独立骗局窃取毕生积蓄，令数千个家庭陷入绝境，却无人问津。”
在这个数字时代，我们生活中的大量信息都以数据形式存储在网上，因此需要各组织高度重视数据隐私。世界各地政府颁布的隐私法律日益严格，进一步凸显了这一点。GDPR等数据隐私法规要求各组织采取一切适当措施保护隐私。基于目前对凭据填充的了解，这些GPA指南明确指出，防范凭据填充必须纳入任何组织采取的适当措施。
如需进一步了解机器人防护的投资回报率，请参阅《Forrester总体经济影响报告》。访问f5.com/bot-defense，了解详情并预约与F5机器人防护专家交流。
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。