Menghentikan Credential Stuffing di Edge

Credential stuffing

adalah serangan yang menggunakan alat otomatis untuk menguji kombinasi username dan password curian terhadap halaman login. Serangan ini masif — satu operator bisa menguji jutaan kredensial per hari di ratusan situs target. Pertahanan tradisional seperti rate limiting dan CAPTCHA tidak memadai karena penyerang menyebarkan request mereka ke ribuan alamat IP dan memakai layanan pemecah CAPTCHA. Berikut cara kami menghentikan credential stuffing di edge, sebelum request mencapai sistem autentikasi Anda.

Permukaan Serangan

Operasi credential stuffing yang umum menggunakan daftar kredensial curian (tersedia di pasar gelap seharga hanya $10 per satu juta record), alat otomatisasi (biasanya skrip khusus atau alat seperti OpenBullet), dan pool IP proxy (residential proxy yang dirotasi pada setiap request untuk menghindari rate limiting berbasis IP).

Penyerang mengonfigurasi alat mereka untuk mengirim request login pada laju terkendali — cukup lambat untuk menghindari pemicuan rate limit sederhana, tetapi cukup cepat untuk menguji ribuan kredensial per jam. Setiap request datang dari alamat IP berbeda, dengan string user agent yang berbeda, sehingga tampak seperti aliran upaya login sah dari pengguna yang berbeda-beda.

Mengapa Rate Limiting Gagal

Rate limiting berbasis IP adalah garis pertahanan pertama yang diterapkan kebanyakan tim, dan menjadi yang pertama gagal. Layanan residential proxy menyediakan akses ke jutaan alamat IP asli — router rumah, perangkat mobile, dan perangkat IoT — yang dirotasi pada setiap request. Dari sudut pandang server, setiap upaya login datang dari IP residential unik yang tidak memiliki riwayat penyalahgunaan.

Rate limiting berbasis akun (membatasi upaya login per username) lebih efektif tetapi menciptakan celah denial-of-service: penyerang bisa mengunci pengguna sah dengan sengaja menggagalkan beberapa upaya login terhadap username mereka.

Device Fingerprinting sebagai Fondasi

Device fingerprinting mengubah persamaan karena mengidentifikasi perangkat yang menjalankan serangan, bukan IP yang digunakannya. Alat credential stuffing yang berjalan pada satu mesin atau VM farm menghasilkan device fingerprint yang konsisten di semua request-nya, terlepas dari IP proxy mana yang dirotasinya.

Engine Bot Detection kami mengidentifikasi alat otomatisasi itu sendiri. Selenium meninggalkan artefak navigator.webdriver. Puppeteer dan Playwright memiliki karakteristik runtime JavaScript yang khas. Headless Chrome kehilangan API browser tertentu yang dimiliki Chrome mode headed. Bahkan HTTP client khusus yang tidak mengeksekusi JavaScript pun terdeteksi melalui TLS fingerprinting — pesan Client Hello mereka mengungkap library HTTP yang mendasarinya.

Pelacakan Velocity per Perangkat

Setelah kami memiliki identifier perangkat yang stabil (melalui Device Identification), kami dapat menerapkan velocity check di level perangkat, bukan level IP. Jika satu perangkat mencoba 50 login dalam 5 menit — terlepas dari berapa banyak IP berbeda yang menjadi asal request tersebut — polanya jelas merupakan credential stuffing.

Modul IP Intelligence kami melacak velocity pada tiga jendela waktu: 5 menit, 1 jam, dan 24 jam. Pendekatan multi-jendela ini menangkap baik serangan agresif (ratusan upaya per menit) maupun serangan slow-and-low (beberapa upaya per jam yang berkelanjutan selama berhari-hari).

Analisis Sinyal Perilaku

Selain bot detection dan pelacakan velocity, analisis Smart Signals kami memeriksa sinyal perilaku yang membedakan serangan otomatis dari login sah. Pengguna nyata menunjukkan variasi alami dalam waktu request, kecepatan mengetik, dan pola navigasi. Alat otomatis cenderung menghasilkan waktu yang mekanis konsisten, header request yang identik, serta tanpa gerakan mouse atau peristiwa scroll.

Kami juga memeriksa inkonsistensi sinyal yang mengindikasikan spoofing lingkungan. Browser yang mengaku sebagai Chrome di macOS tetapi menampilkan parameter WebGL yang terkait dengan VM Linux langsung ditandai. String user agent yang tidak cocok dengan TLS fingerprint memicu peringatan tampering.

Deployment di Edge

Kunci menghentikan credential stuffing adalah menghentikannya sebelum mencapai sistem autentikasi Anda. Agent kami dimuat pada halaman login dan mengumpulkan sinyal selama pemuatan halaman — sebelum pengguna (atau bot) mengirimkan kredensial. Hasil fingerprint dan bot detection sudah tersedia saat form login dikirim, memungkinkan server Anda menolak upaya otomatis secara instan.

Untuk target bervolume tinggi, kami merekomendasikan penerapan integrasi Cloudflare Worker atau CloudFront Lambda@Edge kami, yang menjalankan validasi fingerprint di edge CDN. Ini berarti request credential stuffing diblokir di edge node terdekat dengan penyerang, tidak pernah mencapai origin server Anda.

Hasil

Pelanggan kami melaporkan penurunan 99% volume credential stuffing setelah menerapkan tracio.ai pada halaman login mereka. Sisa 1% terdiri dari serangan yang sangat canggih menggunakan otomatisasi browser penuh dengan sinyal yang di-spoof secara hati-hati — yang tertangkap oleh deteksi multi-metode kami dalam beberapa lusin request pertama saat pola velocity muncul.