Un atacante prueba miles de contraseñas por minuto en una cuenta. ¿Qué control ayuda más directamente?
Opciones
- Un servidor mayor para soportar todo el tráfico
- Rate limiting y bloqueo de cuenta, más MFA (Opción correcta)
- Cambiar cada mes la URL de la página de login
- Usar contraseñas más cortas para recordarlas mejor
Respuesta
Rate limiting y bloqueo temporal de los intentos de login, más MFA
Por qué
Adivinar contraseñas probando muchas combinaciones es un ataque de fuerza bruta.
Si el servidor permite solo unos pocos intentos por minuto por cuenta e IP (rate limiting) y añade retrasos o bloqueos temporales, adivinar deja de ser práctico.
MFA hace que acertar la contraseña no sirva por sí solo.
Recuerda
Fuerza bruta → rate limiting + bloqueo + MFA.