← Dokumentace WAF / managed-rules

Kontrola odhalených přihlašovacích údajů

Mnoho webových aplikací již čelilo credential stuffing útoky v nedávné minulosti. Při těchto útocích dochází k obrovskému počtu pokusů o přihlášení pomocí dvojic uživatelské jméno a heslo z databází odhalené přihlašovací údaje.

Cloudflare nabízí automatizované kontroly odhalených přihlašovacích údajů pomocí Cloudflare Web Application Firewall (WAF).

WAF pro tuto kontrolu poskytuje dva mechanismy:

• Exposed Credentials Check Managed Ruleset, která obsahuje předdefinovaná pravidla pro oblíbené aplikace CMS. Zapnutím této sady pravidel pro danou zónu okamžitě aktivujete kontroly odhalených přihlašovacích údajů pro tyto známé aplikace. Spravovaná sada pravidel je dostupná ve všech placených plánech.

• Možnost psát vlastní pravidla na úrovni účtu, která kontrolují únik přihlašovacích údajů podle vašich kritérií. Tato možnost konfigurace je dostupná zákazníkům s plánem Enterprise s placeným doplňkem.

Cloudflare pravidelně aktualizuje databáze odhalených přihlašovacích údajů, které podporují funkci kontroly odhalených přihlašovacích údajů.

Přihlašovací údaje (uživatelské jméno a heslo) v čitelné podobě nikdy neopouštějí síť Cloudflare. WAF používá při zjišťování, zda nedošlo k úniku přihlašovacích údajů, pouze anonymizovanou verzi uživatelského jména a hesla. Cloudflare přitom postupuje podle k-anonymita, matematická vlastnost popsaná v následujícím příspěvku na blogu: Ověřování uniklých hesel pomocí k-anonymity ↗.

Když WAF zjistí odhalené přihlašovací údaje, může provést jednu z následujících akcí:

• Hlavička Exposed-Credential-Check: Přidá do požadavků HTTP s odhalenými přihlašovacími údaji novou hlavičku HTTP. Vaše aplikace na origin serveru pak může vynutit reset hesla, zahájit proces dvoufaktorové autentizace nebo provést jakoukoli jinou akci. Název přidané hlavičky HTTP je Exposed-Credential-Check a jeho hodnota je 1. Název akce je Rewrite v Security Events.

• Non-Interactive Challenge: Zobrazí neinteraktivní výzvu klientům, kteří odesílají požadavky HTTP s odhalenými přihlašovacími údaji.

• Managed Challenge: Pomáhá celosvětově zkracovat čas, který lidé stráví řešením CAPTCHA. V závislosti na vlastnostech požadavku Cloudflare dynamicky vybere vhodný typ výzvy podle konkrétních kritérií.

• Block: Blokuje požadavky HTTP obsahující odhalené přihlašovací údaje.

• Log: Dostupné pouze v plánech Enterprise. Zaznamenává požadavky s odhalenými přihlašovacími údaji do protokolů Cloudflare. Doporučeno pro ověření pravidla před nastavením přísnější akce.

• Interactive Challenge: Zobrazí interaktivní výzvu klientům, kteří odesílají požadavky HTTP s odhalenými přihlašovacími údaji.

Výchozí akce pro pravidla v Exposed Credentials Check Managed Ruleset je Hlavička Exposed-Credential-Check (s názvem rewrite v API).

Cloudflare doporučuje používat pouze následující akce: Hlavička Exposed-Credential-Check (s názvem rewrite v API) a Log (log).

Kromě povolení Exposed Credentials Check Managed Ruleset, můžete také kontrolovat odhalené přihlašovací údaje v vlastní pravidla. Jedním z běžných případů použití je vytvoření vlastních pravidel na autentizačních endpointech koncových uživatelů vaší aplikace pro kontrolu odcizených přihlašovacích údajů. Pravidla, která kontrolují odcizené přihlašovací údaje, se vyhodnocují před pravidly omezení frekvence požadavků.

Chcete-li ve vlastním pravidle kontrolovat odhalené přihlašovací údaje, zahrňte do definice pravidla na úrovni účtu kontrolu odhalených přihlašovacích údajů a určete, jak z požadavku HTTP získat hodnoty uživatelského jména a hesla. Další informace najdete v Vytvoření vlastního pravidla pro kontrolu odhalených přihlašovacích údajů.