Protection contre le credential stuffing pour vos utilisateurs
Le credential stuffing est une attaque qui consiste à prendre des identifiants et des mots de passe volés sur un site pour les essayer, par milliers, sur un autre. La protection contre le credential stuffing rend ces paires volées inutiles sur votre produit, et Skycloak Platform l'intègre à la connexion au lieu de la laisser à votre application.
Comment se déroule une attaque par credential stuffing
Les attaquants rassemblent des listes d'identifiants et de mots de passe issus de fuites passées et les passent dans des scripts qui essaient chaque paire sur votre page de connexion. Comme beaucoup de gens réutilisent leur mot de passe, une petite part des tentatives réussit, et chaque réussite est un vrai compte pris sans la moindre faille dans votre propre code.
L'attaque ressemble à des échecs de connexion ordinaires, répartis sur de nombreux comptes et de nombreux réseaux. C'est pourquoi bloquer un compte après quelques mauvais mots de passe ne l'arrête pas : chaque compte ne voit qu'une tentative.
Ce que fait la plateforme
La plateforme prévoit d'agir sur le mot de passe et sur le compte. Chaque mot de passe est comparé à ceux issus de fuites publiques, quand il est choisi et quand il est utilisé, si bien qu'un mot de passe déjà divulgué est repéré avant qu'un attaquant puisse compter dessus.
Les passkeys et l'authentification multifacteur mettent ensuite le mot de passe hors de portée de l'attaquant. Une passkey ne fonctionne que sur le site pour lequel elle a été créée, il n'y a donc rien à rejouer, et un mot de passe volé ne suffit pas à se connecter quand un second facteur est activé.
Les limites contre les abus à la connexion font partie du travail de sécurité que la plateforme termine avant d'accueillir de vrais utilisateurs, avec un test de sécurité externe du moteur de connexion.
Une connexion plus sûre sans perdre d'utilisateurs
Renforcer la connexion n'a d'intérêt que si vos utilisateurs restent. Quand vous quittez Keycloak, l'import de la plateforme conserve le mot de passe, le second facteur et la passkey de chaque utilisateur : vous pouvez activer une protection plus forte sans demander à quiconque de repartir de zéro.
Nous ne présentons une fonctionnalité de la plateforme comme disponible qu'une fois livrée : une démo est le bon moment pour voir ce que vous pouvez utiliser aujourd'hui.
Questions fréquentes
Le credential stuffing est-il une attaque par force brute ?
Non. Une attaque par force brute essaie de nombreux mots de passe sur un seul compte. Le credential stuffing essaie un mot de passe connu sur chacun de nombreux comptes, si bien qu'une défense qui ne surveille qu'un compte à la fois ne le voit pas.
Découvrez Skycloak Platform par vous-même
Réservez une démo : nous vous présentons la plateforme en partant de vos propres parcours de connexion.