Wat is Broken Authentication?
Broken authentication is een kwetsbaarheidscategorie waarmee aanvallers gebruikersidentiteiten kunnen compromitteren door zwakke plekken uit te buiten in de manier waarop applicaties verifiëren wie u bent en deze geverifieerde status behouden. Wanneer inlogmechanismen, sessiebeheer of processen voor het herstellen van inloggegevens fouten bevatten, kunnen aanvallers zich voordoen als legitieme gebruikers, privileges verhogen en systemen zonder toestemming benaderen.
Deze kwetsbaarheid staat sinds de eerste edities op elke OWASP-lijst. OWASP heeft de categorie in de loop der tijd hernoemd en verfijnd, waarmee een bredere dekking van authenticatie-gerelateerde zwakheden wordt weerspiegeld, niet een afname in belangrijkheid.
De reikwijdte van broken authentication gaat veel verder dan simpel wachtwoord raden. Het omvat credential stuffing, session fixation, MFA-omzeiling, tokenvervalsing, hardcoded inloggegevens en ontbrekende authenticatie op kritieke functies. De onderliggende CWE voor de hele categorie is CWE-287, met een breed scala aan gerelateerde CWEs die in nieuwere OWASP-classificaties in de categorie zijn opgenomen.
Volgens het DBIR-rapport blijft misbruik van inloggegevens een van de belangrijkste methoden voor initiële toegang bij datalekken. Als u begrijpt hoe broken authentication werkt, kunt u het effectiever stoppen.
.jpg)
Hoe werkt Broken Authentication?
Broken authentication maakt misbruik van fouten in twee verschillende faaldomeinen: authenticatie, dat bepaalt hoe applicaties verifiëren wie u bent, en sessiebeheer, dat bepaalt hoe ze die geverifieerde identiteit behouden gedurende uw bezoek. Elk domein biedt een ander aanvalsoppervlak, maar beide leiden tot hetzelfde resultaat: ongeautoriseerde toegang.
Authenticatie-fouten
Wanneer een applicatie er niet in slaagt de gebruikersidentiteit correct te verifiëren, krijgen aanvallers toegang via de voordeur. Een credential stuffing-aanval dient gestolen gebruikersnaam- en wachtwoordcombinaties in op uw login endpoint. Als uw applicatie geen rate limiting of accountvergrendeling heeft, kan de aanvaller op grote schaal inloggegevens testen totdat geldige combinaties worden gevonden.
De aanval verloopt eenvoudig. De aanvaller verkrijgt credential dumps uit eerdere datalekken. Ze voeren deze combinaties in geautomatiseerde tools in die uw loginpagina aanvallen. De applicatie accepteert elke poging zonder throttling, vergrendeling of CAPTCHA. Wanneer een geldige combinatie overeenkomt, krijgt de aanvaller volledige toegang tot het account.
Brute force volgt een vergelijkbaar patroon, maar genereert wachtwoordcombinaties in plaats van bekende inloggegevens te hergebruiken. Password spraying pakt het omgekeerd aan: een veelgebruikt wachtwoord wordt op veel accounts tegelijk getest om per-account vergrendeling te omzeilen.
Sessiebeheer-fouten
Zelfs nadat u correct bent geauthenticeerd, kunnen fouten in sessiebeheer die geauthenticeerde status aan een aanvaller overdragen. Bij een session fixation-aanval (CWE-384) stelt de aanvaller een bekend sessie-ID in voordat u inlogt. Als uw applicatie de sessie-ID niet opnieuw genereert na succesvolle authenticatie, gebruikt de aanvaller de vooraf ingestelde ID om toegang te krijgen tot uw geauthenticeerde sessie.
Blootstelling van sessietokens creëert een ander pad. Wanneer sessie-ID's in URL's verschijnen, worden ze gelogd in servertoegangslogs, browsergeschiedenis en HTTP referrer headers. Een aanvaller die de URL verkrijgt, verkrijgt de sessie. Onvoldoende sessieverval (CWE-613) verergert het probleem: als u een browsertabblad sluit zonder uit te loggen, kan iemand die later dezelfde browser gebruikt uw sessie nog steeds actief aantreffen.
MFA-omzeiling
Multi-factor authenticatie voegt een tweede verificatielaag toe, maar aanvallers hebben betrouwbare omzeiltechnieken ontwikkeld. MFA-fatigue, soms prompt bombing genoemd, overspoelt het apparaat van een gebruiker met pushmeldingen totdat deze er een goedkeurt om de onderbrekingen te stoppen. De Uber-inbreuk wordt vaak aangehaald als voorbeeld van hoe gestolen inloggegevens, herhaalde MFA-prompts en social engineering gecombineerd kunnen worden om toegang te krijgen tot interne systemen.
Deze mechanismen werken omdat broken authentication zelden één enkele fout is. Het is een keten van zwakheden, van zwakke inloggegevens tot ontbrekende rate limits tot slecht sessiebeheer, die aanvallers achtereenvolgens uitbuiten.
Typen Broken Authentication
Broken authentication is geen enkele kwetsbaarheid, maar een categorie die zes verschillende faaltypen omvat. Elk richt zich op een andere laag van de authenticatiestack en vereist andere maatregelen om te stoppen.
| Type | Wat faalt | Veelvoorkomende aanvalsmethoden | Kern-CWEs |
| Aanvallen op basis van inloggegevens | Wachtwoordbeleid, rate limiting | Credential stuffing, brute force, password spraying | CWE-307, CWE-521 |
| Sessiebeheerfouten | Sessie-ID levenscyclus en opslag | Session fixation, session hijacking, cookie diefstal | CWE-384, CWE-613 |
| MFA-omzeiling | Implementatie van tweede factor | MFA-fatigue, TOTP relay, SIM-swapping | CWE-308 |
| Tokenvervalsing | Bescherming van cryptografische sleutels | SAML assertion forgery, JWT-manipulatie, OAuth token diefstal | CWE-347, CWE-345 |
| Hardcoded inloggegevens | Beheer van inloggegevens in code | Statische credential extractie uit bron- of configuratiebestanden | CWE-798 |
| Ontbrekende authenticatie | Authenticatie afdwingen op kritieke functies | Direct object access, API endpoint omzeiling, alternatieve padtoegang | CWE-306, CWE-288 |
Begrijpen welk type aanwezig is in een applicatie bepaalt welke maatregelen van toepassing zijn en welk forensisch bewijs gezocht moet worden. Credential stuffing vereist rate limiting en MFA; ontbrekende authenticatie op een admin-API vereist een fundamenteel andere aanpak.
Oorzaken van Broken Authentication
Broken authentication ontstaat niet door één ontwerpfout. Het komt voort uit opeenstapeling van zwakheden in vier categorieën die OWASP-richtlijnen als onderling verbonden met andere Top 10-risico's aanduiden, waaronder broken access controls, cryptografische fouten en verouderde libraries.
Fouten in credentialbeleid
Het toestaan van zwakke, standaard of algemeen bekende wachtwoorden blijft de meest fundamentele oorzaak. Wanneer uw applicatie veelvoorkomende standaardwachtwoorden accepteert zonder handhaving, geeft u aanvallers een eenvoudig toegangspunt (CWE-521). NIST 63B-4 vereist dat verifiers nieuwe wachtwoorden controleren op lijsten met bekende gecompromitteerde wachtwoorden, maar veel applicaties slaan deze stap nog steeds over.
Wachtwoordhergebruik versterkt het probleem. Het DBIR-rapport benadrukt dat wachtwoordhergebruik tussen diensten veel voorkomt, waardoor gestolen inloggegevens veel waardevoller zijn voor aanvallers.
Fouten in authenticatieflow-ontwerp
Ontbrekende MFA (CWE-308) laat accounts beschermen door één factor die gestolen, geraden of gephisht kan worden. Zwakke mechanismen voor credential recovery die vertrouwen op kennisvragen creëren een parallel authenticatiepad dat triviaal te raden is. Het ontbreken van rate limiting op loginpogingen (CWE-307) stelt aanvallers in staat grote aantallen combinaties te testen zonder gevolgen.
Hardcoded inloggegevens in broncode of configuratiebestanden (CWE-798) vormen een volledig ontwerpfout. Deze zwakte staat in recente CWE Top 25-ranglijsten en is bevestigd door een CISA-waarschuwing bij actieve uitbuiting van industriële controlesystemen.
Fouten in sessielevenscyclusbeheer
Drie fouten in de sessielevenscyclus creëren directe uitbuitingspaden:
- Het niet opnieuw genereren van sessie-ID's na inloggen maakt session fixation mogelijk
- Het toestaan dat sessies blijven bestaan zonder idle- of absolute time-outs vergroot het venster voor session hijacking
- Het opnemen van sessietokens in URL's in plaats van in beveiligde cookies lekt inloggegevens via elk systeem dat de URL logt of cachet
Elk van deze fouten verhoogt het risico afzonderlijk; gecombineerd bieden ze aanvallers meerdere opties om ongeautoriseerde toegang te behouden.
Cryptografische en transportfouten
Wachtwoorden in platte tekst opslaan, omkeerbare encryptie gebruiken of zwakke hashing-algoritmen toepassen betekent dat elke database-inbreuk inloggegevens direct blootlegt. Transportfouten zoals onjuiste certificaatvalidatie (CWE-295) stellen aanvallers in staat authenticatieverkeer te onderscheppen. Deze oorzaken overlappen vaak met OWASP A02:2021 Cryptographic Failures, waarmee wordt aangetoond hoe broken authentication samenhangt met andere kwetsbaarheidscategorieën.
Deze vier categorieën komen zelden geïsoleerd voor. Een zwak credentialbeleid maakt credential stuffing mogelijk; een ontbrekende rate limit maakt het praktisch; slecht sessiebeheer verlengt het venster voor de aanvaller zodra deze binnen is. Begrijpen welke oorzaken in uw systeem aanwezig zijn, bepaalt zowel de ernst van het risico als waar herstel moet beginnen.
Impact en risico van Broken Authentication
De gevolgen van broken authentication variëren van het compromitteren van individuele accounts tot organisatiebrede datalekken met regelgevende, financiële en operationele gevolgen.
Voorkomen van datalekken
Authenticatiefouten behoren tot de meest uitgebuite paden voor initiële toegang. Het DBIR-rapport bevestigt dat misbruik van inloggegevens een van de belangrijkste oorzaken van datalekken blijft. Binnen basale webapplicatie-aanvallen zijn gestolen inloggegevens vooral prominent in de financiële sector.
Financiële gevolgen
Het IBM-rapport stelt dat de wereldwijde gemiddelde kosten van een datalek in 2024 $4,88 miljoen bedroegen, een stijging van 10% ten opzichte van het voorgaande jaar. Financiële organisaties hadden gemiddeld $6,08 miljoen per lek, 22% boven het wereldwijde gemiddelde. Naast directe kosten meldde 70% van de getroffen organisaties aanzienlijke of matige operationele verstoring.
Cascaderende bedrijfseffecten
Broken authentication blijft zelden beperkt. Een gecompromitteerde inlogcombinatie wordt een draaipunt voor laterale beweging, privilege-escalatie, data-exfiltratie en ransomware-implementatie. De Verizon DBIR vond een verband tussen ransomware-slachtoffers en het voorkomen van slachtoffer-domeinen in credential dumps, waarmee authenticatiezwakte direct aan ransomware-risico wordt gekoppeld.
Broken authentication is geen abstract applicatiebeveiligingsprobleem. Het is een primair mechanisme waarmee datalekken beginnen.
Hoe maken aanvallers misbruik van Broken Authentication?
Aanvallers kiezen hun aanpak op basis van de specifieke authenticatiezwakte die ze ontdekken. Hier zijn de belangrijkste uitbuitingstechnieken, gekoppeld aan de CWEs waarop ze zich richten.
MFA-fatigue en social engineering
Wanneer MFA een credential stuffing-poging blokkeert, schakelen aanvallers over op social engineering. MFA-fatigue stuurt herhaaldelijk pushmeldingen naar de legitieme gebruiker totdat deze er een goedkeurt. De CISA-adviesdocumentatie beschrijft een gerelateerde techniek: na het brute-forcen van een zwak wachtwoord op een slapend account, registreerden de aanvallers een nieuw MFA-apparaat omdat de standaardconfiguratie van Duo herregistratie voor inactieve accounts toestond, waarmee netwerktoegang werd verkregen.
SAML-tokenvervalsing
In de SolarWinds/SUNBURST-campagne haalden aanvallers privésleutels uit Active Directory Federation Services-containers en vervalsten vervolgens SAML-asserties die geldig leken voor elke relying party. Volgens een CISA-advies omzeilde deze Golden SAML-techniek authenticatie volledig zonder legitieme inloggegevens, waarmee toegang werd verkregen tot cloudomgevingen bij meerdere Amerikaanse federale instanties.
Sessieovername via tokenblootstelling
CVE-2023-4966, bekend als Citrix Bleed, stelde aanvallers in staat geldige sessietokens te extraheren uit remote access-appliances. Met een gestolen sessietoken kan de aanvaller zich voordoen als een reeds geauthenticeerde gebruiker, waarmee zowel het wachtwoord- als MFA-niveau volledig wordt omzeild. CISA bevestigde actieve zero-day-exploitatie voordat er een patch beschikbaar was [cite-19].
Authenticatie-omzeiling via alternatieve paden
Sommige kwetsbaarheden elimineren authenticatie-eisen volledig. Een netwerk-appliancefout stond ongeauthenticeerde super-admin-toegang toe via een Node.js-websocket en kreeg een kritieke ernstscore [cite-20]. Een andere fout in de beheerinterface maakte ongeauthenticeerde admin privilege-escalatie mogelijk via de webbeheerinterface. Het probleem met de beheerinterface vertegenwoordigt CWE-306: het volledig ontbreken van authenticatie op een kritieke functie, terwijl het websocketprobleem overeenkomt met CWE-288: authenticatie-omzeiling via een alternatief pad of kanaal.
Capture-replay-aanvallen
Aanvallers onderscheppen authenticatietokens of inloggegevens tijdens transport en spelen deze opnieuw af om toegang te krijgen (CWE-294). Zonder sender-constrained tokens zoals gespecificeerd in RFC 9700 blijven OAuth-implementaties kwetsbaar voor deze techniek.
Elk van deze technieken levert verschillende forensische sporen op, wat bepaalt hoe u ze vindt en erop reageert.
Wie wordt getroffen door Broken Authentication?
Broken authentication treft elke organisatie die vertrouwt op gebruikersidentiteit voor toegangscontrole. Bepaalde sectoren en systeemtypen lopen echter verhoogd risico.
Webapplicaties en API's
Elke applicatie die zijn eigen authenticatie beheert, is direct blootgesteld. OWASP behandelt API-specifieke broken authentication expliciet in het OWASP API Security-project, waarbij wordt opgemerkt dat authenticatie-endpoints strengere brute force-bescherming vereisen dan reguliere API rate limiting.
Cloud- en SaaS-platforms
De Snowflake/UNC5537-campagne toonde aan dat cloudplatforms met single-factor authenticatie waardevolle doelwitten zijn, waarbij veel organisaties werden gecompromitteerd omdat getroffen accounts geen MFA hadden. Cloudplatforms die authenticatie delegeren aan identity providers erven de zwakheden van de IdP.
Financiële dienstverlening
Financiële instellingen lopen onevenredig veel risico. Het Verizon finance snapshot toonde aan dat gestolen inloggegevens domineren bij basale webapplicatie-inbreuken in de financiële sector. Het credential stuffing-incident bij PayPal resulteerde in een regulerende schikking en verplichte MFA voor Amerikaanse klantaccounts.
Kritieke infrastructuur en netwerkapparatuur
VPN-gateways, firewalls en netwerkbeheerinterfaces zijn belangrijke doelwitten. CVE-2019-11510, CVE-2024-55591 en CVE-2024-53704 zijn allemaal voorbeelden van authenticatie-omzeilingskwetsbaarheden in perimeterapparaten die CISA aan zijn Known Exploited Vulnerabilities-catalogus heeft toegevoegd.
Zorg en overheid
Organisaties die gevoelige persoonsgegevens verwerken lopen zowel datalek- als regelgevingsrisico, waarbij CISA documenteert dat zwakke authenticatie consequent tot de belangrijkste bevindingen behoort volgens CISA's authenticatiebeoordeling voor Federal High Value Asset-systemen.
De volgende datalekken laten zien hoe deze risico's zich in verschillende sectoren manifesteren.
Praktijkvoorbeelden van Broken Authentication
Deze datalekken illustreren hoe broken authentication zich manifesteert in verschillende sectoren, aanvalstechnieken en impactschalen.
23andMe: Credential stuffing leidt tot massale gegevensblootstelling
Aanvallers gebruikten credential stuffing om toegang te krijgen tot een kleine subset van 23andMe-gebruikersaccounts waarvan de wachtwoorden overeenkwamen met die uit eerdere datalekken. Via de DNA Relatives-functie breidde dat toegangspunt zich uit tot een veel bredere set blootgestelde profielgegevens. Volgens 23andMe SEC-filings maakte het bedrijf incidentgerelateerde kosten. MFA was ten tijde van het lek niet verplicht.
Snowflake/UNC5537: Infostealer-inloggegevens later gebruikt
De dreigingsactor UNC5537 gebruikte credential theft via infostealer-malware om organisaties te compromitteren via Snowflake cloud data warehouse-accounts. Volgens het onderzoek van Mandiant hadden geen van de getroffen accounts MFA ingeschakeld. Slachtoffers waren onder andere Ticketmaster, Santander Bank en Advance Auto Parts.
SolarWinds/SUNBURST: SAML-tokenvervalsing
Russische statelijke actoren compromitteerden het SolarWinds-buildproces en gebruikten de verkregen toegang om ADFS privésleutels te stelen. Volgens een CISA-rapport vervalsten ze vertrouwde SAML-authenticatietokens om toegang te krijgen tot cloudomgevingen bij meerdere Amerikaanse overheidsinstanties zonder legitieme inloggegevens te bezitten.
PayPal: Credential stuffing met regelgevende gevolgen
Aanvallers gebruikten credential stuffing om toegang te krijgen tot klantaccounts, waarbij zeer gevoelige klantgegevens werden blootgesteld. De New York DFS legde een regulerende schikking op en verplichtte MFA voor Amerikaanse klantaccounts.
GoDaddy: Meerjarige credential-compromittering
Een gecompromitteerd beheerderswachtwoord gaf aanvallers toegang tot GoDaddy's Managed WordPress-omgeving, volgens GoDaddy breach reporting. Het lek trof een grote groep huidige en inactieve Managed WordPress-klanten, met gestolen WordPress admin-inloggegevens, FTP-accounts en e-mailadressen. Aanvallers installeerden ook malware en verkregen broncode.
Yahoo: Cookievervalsing op grote schaal
Het Yahoo-lek trof uiteindelijk alle 3 miljard gebruikersaccounts, volgens New York Times coverage. Aanvallers gebruikten vervalste authenticatiecookies om toegang te krijgen tot accounts zonder wachtwoorden. Een later lek betrof spear-phishing op beheerdersinloggegevens, waarbij cookievervalsing werd gekoppeld aan een statelijke actor.
Deze incidenten maken deel uit van een bredere historische trend die twee decennia teruggaat.
Broken Authentication: Een tijdlijn
De geschiedenis van broken authentication volgt de evolutie van webbeveiliging zelf, van vroege sessiebeheerfouten tot hedendaagse aanvallen op de identiteitslaag.
| Jaar | Mijlpaal |
| 2004 | Eerste OWASP Top 10 gepubliceerd; "Broken Authentication and Session Management" genoemd op A3. |
| 2012 | LinkedIn-lek onthult een enorme set inloggegevens via unsalted SHA-1 hashing. |
| 2013 | Yahoo-lek treft alle gebruikersaccounts; kwaadaardige code omzeilt accountcontroles. OWASP plaatst broken authentication op A2. |
| 2017 | OWASP Top 10 houdt broken authentication op A2 en benadrukt de beschikbaarheid van grote credential-collecties voor stuffing. |
| 2019 | CVE-2019-11510, Pulse Connect Secure, wordt toegevoegd aan CISA KEV. |
| 2020 | SolarWinds/SUNBURST: SAML-tokenvervalsing compromitteert Amerikaanse federale instanties. |
| 2021 | CISA documenteert Russische statelijke actoren die Duo MFA omzeilen via herregistratie van slapende accounts. OWASP herclassificeert de categorie als A07. |
| 2022 | Uber gecompromitteerd via MFA-fatigue. PayPal credential stuffing leidt tot een regulerende schikking. |
| 2023 | 23andMe credential stuffing legt miljoenen profielen bloot. Citrix Bleed maakt sessieovername mogelijk. |
| 2024 | Snowflake/UNC5537-campagne compromitteert veel organisaties zonder MFA. |
| 2025 | OWASP Top 10:2025 breidt de categorie verder uit. CVE-2024-55591 krijgt kritische aandacht en Verizon DBIR bevestigt credential abuse als leidend toegangspad. |
Broken authentication is uitgegroeid van een webapplicatiefout tot een full-stack identity security-probleem dat applicaties, infrastructuur en cloudomgevingen omvat.
Hoe Broken Authentication detecteren?
Het opsporen van broken authentication vereist een gelaagde aanpak die ontwerpfouten in applicaties, misbruik van inloggegevens tijdens runtime en gedragsafwijkingen na authenticatie afdekt.
Log- en sessieanalyse
Het OWASP Authentication Cheat Sheet schrijft voor dat u alle authenticatiefouten, wachtwoordfouten en accountvergrendelingen moet loggen en beoordelen. Let op patronen die wijzen op credential stuffing: grote aantallen mislukte logins op verschillende accounts vanaf hetzelfde IP-bereik, of mislukte logins op één account vanuit diverse geografische locaties.
Het OWASP Session Management Cheat Sheet benoemt sessiegebeurtenissen die een herauthenticatie moeten triggeren: logins vanaf nieuwe of verdachte IP-adressen, pogingen tot wachtwoordwijziging en voltooide account recovery-flows. Maak onderscheid tussen permissief sessiebeheer, dat elke door de gebruiker ingestelde sessie-ID accepteert en kwetsbaar is, en strikt sessiebeheer, dat alleen door de server gegenereerde ID's accepteert.
Dynamisch applicatiebeveiligingstesten (DAST)
De OWASP Testing Guide definieert authenticatie-specifieke testprocedures in de WSTG-ATHN-serie. Deze omvatten testen op standaard inloggegevens, zwakke lockout-mechanismen, authenticatieschema-omzeiling, kwetsbare wachtwoordresetflows, zwakke beveiligingsvragen en fouten in MFA-implementatie. Tools zoals DAST-scanners en wachtwoordtesthulpmiddelen voeren deze tests uit op draaiende applicaties.
Statische analyse op hardcoded inloggegevens
Static application security testing (SAST)-tools scannen broncode vóór implementatie om hardcoded wachtwoorden (CWE-798), zwakke cryptografie en onveilige sessielogica te vinden. Dit spoort fouten in credentialbeheer op die DAST niet kan vinden omdat ze bestaan in codepaden die niet via de externe interface van de applicatie bereikbaar zijn.
Identity threat identification and response (ITDR)
Aanvallers die geldige gestolen inloggegevens gebruiken, ontwijken zowel netwerk- als endpointbeveiliging omdat hun verkeer legitiem lijkt en geen malware bevat. ITDR-systemen monitoren specifiek de identiteitslaag en vergelijken authenticatiegebeurtenissen met gedragsbaselines. Afwijkingen zijn onder meer logins vanuit ongebruikelijke geografische locaties, laterale beweging tussen niet-gerelateerde datasets en ongebruikelijke privilege-escalatieverzoeken. XDR-architectuur breidt dit uit door authenticatieafwijkingen te correleren met daaropvolgende netwerklaag-laterale beweging, waarmee de volledige aanvalsketen zichtbaar wordt die door gescheiden tools wordt gemist.
Hoe Broken Authentication voorkomen?
Preventie sluit direct aan op de onderliggende oorzaken. Elke onderstaande maatregel adresseert specifieke subtypen van broken authentication met verwijzingen naar relevante standaarden.
Implementeer phishing-resistente MFA
CISA-richtlijnen benoemen FIDO2/WebAuthn en PIV/CAC smartcards als de gouden standaard voor phishing-resistente MFA. Push-gebaseerde MFA is kwetsbaar voor fatigue-aanvallen en realtime phishing die eenmalige codes opvraagt. NIST SP 800-63B vereist goedgekeurde MFA op hogere betrouwbaarheidsniveaus.
Handhaaf modern credentialbeleid
Stem af op NIST 63B-4-eisen: controleer nieuwe wachtwoorden op lijsten met bekende gecompromitteerde wachtwoorden, sta alle tekentypen toe inclusief Unicode en spaties, handhaaf een minimale lengte en vereis geen periodieke rotatie. De OWASP Authentication Cheat Sheet raadt aan een wachtwoordsterktemeter op te nemen en inloggegevens alleen te roteren bij een bevestigd lek.
Voor opslag raadt de password storage cheat sheet Argon2id aan als primaire hashing-algoritme, met scrypt, bcrypt en PBKDF2 als acceptabele alternatieven. Gebruik correcte salting, peppering en work factor-configuratie met upgradepaden voor legacy hashes.
Implementeer rate limiting en account lockout
Pas brute force-bescherming toe op authenticatie-endpoints die strenger is dan standaard API rate limiting. Het OWASP API Security 2023-project specificeert het implementeren van account lockout, CAPTCHA en progressieve vertragingen. De OWASP Testing Guide beschrijft ook typische lockout-drempels die in de praktijk worden gebruikt.
Nadat een gebruiker succesvol is geauthenticeerd, wordt de sessie zelf het nieuwe aanvalsoppervlak. Het beveiligen van hoe die sessie wordt uitgegeven, opgeslagen en verlopen is een aparte en even belangrijke maatregel.
Beveilig sessiebeheer
Gebruik door de server gegenereerde sessie-ID's met hoge entropie uit een cryptografisch veilige random number generator. Genereer sessie-ID's opnieuw na elke succesvolle login. Stel idle- en absolute time-outs in. Plaats nooit sessietokens in URL's. Het OWASP Session Management Cheat Sheet raadt aan gebruik te maken van ingebouwde sessiebeheerframeworks, J2EE, ASP.NET, PHP, in plaats van maatwerkimplementaties.
Maak accountenumeratie en herstel robuuster
Gebruik identieke responsberichten voor alle authenticatie-uitkomsten zodat aanvallers geen onderscheid kunnen maken tussen geldige en ongeldige gebruikersnamen. De forgot password cheat sheet schrijft voor dat beveiligingsvragen niet als enige herstelmechanisme mogen dienen en dat credential recovery-endpoints dezelfde brute force-bescherming vereisen als login-endpoints.
Elimineer standaard inloggegevens
OWASP A07 stelt direct: "Lever of implementeer nooit met standaard inloggegevens, vooral niet voor admin-gebruikers." Neem controles op standaard inloggegevens op in uw implementatiechecklist.
Voor applicaties die OAuth en OIDC gebruiken, zijn sterke inloggegevens en sessiehygiene op zichzelf niet voldoende. Tokenmaatregelen voorkomen replay- en vervalsingsaanvallen die boven de credentiallaag opereren.
Handhaaf tokenbeveiliging voor OAuth/OIDC
RFC 9700 vereist sender-constrained access tokens, refresh token-rotatie voor publieke clients en Mutual TLS volgens RFC 8705 om token replay-aanvallen te voorkomen.
Het implementeren van deze maatregelen vereist de juiste tooling over meerdere beveiligingslagen.
Tools voor detectie en preventie
Het stoppen van broken authentication vereist dekking over meerdere toolcategorieën, omdat geen enkele categorie het volledige aanvalsoppervlak afdekt.
| Toolcategorie | Primaire functie | Aangesproken authenticatie-aanvallen |
| DAST-tools | Testen van authenticatieflows tijdens runtime | Omzeiling, zwakke lockout, sessietokenblootstelling, standaard inloggegevens |
| SAST-tools | Broncode-analyse vóór implementatie | Hardcoded inloggegevens, zwakke cryptografie, onveilige sessielogica |
| ITDR | Gedragsmonitoring op identiteitslaag | Credential stuffing, laterale beweging na compromittering, privilege-escalatie |
| XDR met identiteitscorrelatie | Cross-layer telemetry, endpoint, netwerk, cloud, identiteit | Laterale beweging na authenticatie, onmogelijke reis, volledige aanvalsketenreconstructie |
| Behavioral AI / UEBA | Statistische anomaliedetectie op authenticatiegebeurtenissen | Credential abuse, afwijkende serviceaccount-activiteit |
Geen enkele tool dekt het volledige aanvalsoppervlak alleen. Effectieve dekking combineert testen vóór implementatie, gedragsmonitoring tijdens runtime en correlatie op identiteitslaag over alle bronnen. Hieronder wordt beschreven hoe SentinelOne die stack end-to-end adresseert.
Hoe kan SentinelOne helpen?
Wanneer aanvallers inloggegevens stelen, handelen ze snel. SentinelOne helpt u identiteitsgebaseerde aanvallen in uw hele omgeving in realtime te detecteren en te stoppen. Zo werken onze oplossingen samen en helpen ze u.
Singularity™ AI SIEM: Krijg breed inzicht in dreigingen
Begin met Singularity™ AI SIEM. Het verzamelt authenticatietelemetrie van endpoints, netwerken, clouddiensten en identity providers, en correleert alles op één plek. De gedragsanalyse detecteert onmogelijke reispatronen (dezelfde token in New York en Tokio binnen enkele minuten), gelijktijdige sessie-anomalieën en privilege-escalatie via tokenmanipulatie. In de 2024 MITRE ATT&CK Evaluations detecteerde het Singularity-platform 100% van de aanvalsstappen zonder vertraging en met 88% minder meldingen dan het mediane aantal—zodat uw team niet verdrinkt in ruis.
Singularity™ Identity: Vind zwakke plekken vóór uw aanvallers
Singularity™ Identity biedt continue identity threat detection and response (ITDR). Het scant op zwakke, blootgestelde of gecompromitteerde inloggegevens in on-premises Active Directory en cloud identity providers zoals Entra ID, Okta, Ping, Duo en SecureAuth. U ziet ongebruikelijke pieken in mislukte logins, logins vanaf vreemde locaties en Kerberosting-pogingen op serviceaccounts. Het bevat ook identity security posture management (ISPM), zodat u doorlopende posture-assessments van uw identity security krijgt—niet alleen eenmalige audits.
Purple AI: Stel natuurlijke taalvragen, krijg snel antwoorden
Wanneer er een melding afgaat, versnelt Purple AI het onderzoek. Stel gewoon een vraag in normaal Nederlands zoals “toon alle systemen die dit gecompromitteerde account de afgelopen 72 uur heeft benaderd.” U krijgt gecorreleerde resultaten terug met MITRE ATT&CK-tactiekcontext. Volgens een IDC Business Value-onderzoek identificeren securityteams met Purple AI dreigingen 63% sneller en verhelpen ze 55% sneller.
Gebruik Singularity™ Data Lake en Storyline™
Alle gebeurtenisdata komen terecht in het Singularity™ Data Lake, genormaliseerd naar het Open Cybersecurity Schema Framework (OCSF). Queries worden tot 100x sneller uitgevoerd dan bij legacy SIEMs. Storyline-technologie reconstrueert vervolgens de volledige aanvalsketen—van de initiële credential theft tot elke laterale beweging, privilege-escalatie en data access—zodat u de hele tijdlijn ziet zonder handmatige correlatie.
Vraag een SentinelOne-demo aan om Singularity AI SIEM en Singularity Identity in actie te zien.
Identiteitsrisico's in uw hele organisatie verminderen
Detecteer en reageer in realtime op aanvallen met holistische oplossingen voor Active Directory en Entra ID.
Vraag een demo aanGerelateerde kwetsbaarheden
Broken authentication overlapt met en maakt verschillende andere kwetsbaarheidscategorieën mogelijk:
- Broken Access Control (OWASP A01:2021): Authenticatie verifieert wie u bent; access control verifieert wat u mag doen. Een broken authentication-fout die een aanvaller toegang geeft tot een geldig account, erft de rechten van dat account, waardoor access control irrelevant wordt.
- Cryptographic Failures (OWASP A02:2021): Zwakke wachtwoordhashing, opslag van inloggegevens in platte tekst en onjuiste certificaatvalidatie zijn cryptografische fouten die authenticatiecompromittering direct mogelijk maken.
- Security Misconfiguration (OWASP A05:2021): Standaard inloggegevens, te permissieve MFA-herregistratie-instellingen en te lange sessietime-outs zijn configuratiefouten die authenticatiezwaktes creëren.
- Server-Side Request Forgery (SSRF): SSRF kan worden gecombineerd met authenticatie-omzeiling om interne diensten te benaderen die vertrouwen op verzoeken van de gecompromitteerde server.
- Injectie-kwetsbaarheden: SQL-injectie op authenticatiequeries kan de loginlogica volledig omzeilen door de query die inloggegevens valideert te manipuleren.
- Credential Theft (MITRE ATT&CK T1078 Valid Accounts): Het gebruik van geldige accounts verkregen via welke diefstalmethode dan ook, komt direct overeen met de post-exploitatie-fase van broken authentication.
Broken authentication aanpakken vermindert niet alleen identiteitsrisico op zichzelf. Sterker credentialbeleid, verplichte MFA en versterkt sessiebeheer verkleinen het gedeelde aanvalsoppervlak waarop broken access control, cryptografische fouten en misconfiguratie allemaal afhankelijk zijn.
Gerelateerde CVE's
| CVE-ID | Beschrijving | Ernst | Getroffen product | Jaar |
| API-authenticatie-omzeiling in mobile device management-platform maakt ongeauthenticeerde toegang tot beperkte functionaliteit mogelijk | HOOG | Ivanti Endpoint Manager Mobile | 2025 | |
| Ontbrekende authenticatie op code execution-endpoint maakt ongeauthenticeerde remote code-injectie mogelijk | KRITIEK | Langflow AI workflow platform | 2025 | |
| Ontbrekende authenticatie op management webinterface maakt ongeauthenticeerde administratieve toegang mogelijk | HOOG | Palo Alto PAN-OS | 2025 | |
| Onjuiste authenticatie in SSLVPN-component maakt het mogelijk voor aanvallers om actieve VPN-sessies over te nemen | HOOG | SonicWall SonicOS | 2024 | |
| Authenticatie-omzeiling op adminconsole maakt het mogelijk voor ongeauthenticeerde externe aanvallers om volledige administratieve toegang te verkrijgen | KRITIEK | Ivanti Cloud Services Appliance | 2024 | |
| Authenticatie-omzeiling via alternatief pad maakt volledige ongeauthenticeerde overname van remote support-platform mogelijk | KRITIEK | ConnectWise ScreenConnect | 2024 | |
| Sessietokenblootstelling uit geheugen maakt het mogelijk voor aanvallers om geauthenticeerde sessies over te nemen en MFA te omzeilen (Citrix Bleed) | KRITIEK | Citrix NetScaler ADC and Gateway | 2023 | |
| Authenticatie-omzeiling op kritieke API-endpoints leidt tot ongeauthenticeerde remote code execution op CI/CD-server | KRITIEK | JetBrains TeamCity | 2023 | |
| API-authenticatie-omzeiling maakt ongeauthenticeerde toegang tot beperkte endpoints en gevoelige data mogelijk | KRITIEK | Ivanti Endpoint Manager Mobile | 2023 | |
| SAML-authenticatie-omzeiling via verouderde Apache xmlsec-library maakt ongeauthenticeerde remote code execution mogelijk | KRITIEK | Zoho ManageEngine (20+ producten) | 2022 | |
| Authenticatie-omzeiling via alternatief pad of kanaal maakt het mogelijk voor ongeauthenticeerde aanvallers om bevoorrechte handelingen uit te voeren | KRITIEK | Fortinet FortiOS / FortiProxy / FortiSwitchManager | 2022 | |
| Ontbrekende authenticatie op iControl REST API maakt het mogelijk voor ongeauthenticeerde aanvallers om willekeurige systeemcommando's uit te voeren | KRITIEK | F5 BIG-IP | 2022 | |
| Ontbrekende authenticatie op OpenSSO Agent-component maakt ongeauthenticeerde volledige systeemovername via HTTP mogelijk | KRITIEK | Oracle Access Manager (Fusion Middleware) | 2021 | |
| SSRF-kwetsbaarheid maakt pre-authenticatie-omzeiling en ongeauthenticeerde remote code execution mogelijk (ProxyLogon) | KRITIEK | Microsoft Exchange Server | 2021 | |
| Authenticatie-omzeiling via Windows File Share Browser en Collaboration-functies maakt ongeauthenticeerde RCE mogelijk | KRITIEK | Ivanti Connect Secure (Pulse Connect Secure) | 2021 | |
| Niet-gepubliceerd hardcoded account met onveranderbaar wachtwoord geeft ongeauthenticeerde volledige admin-toegang via SSH en web UI | KRITIEK | Zyxel USG / ATP / VPN firmware | 2020 | |
| Ontbrekende authenticatie op Experimental API maakt ongeauthenticeerde remote toegang en willekeurige code-uitvoering mogelijk | KRITIEK | Apache Airflow | 2020 | |
| Onjuiste hoofdlettergevoeligheid van gebruikersnaam maakt het mogelijk voor aanvallers om tweefactorauthenticatie op SSL VPN zonder FortiToken te omzeilen | KRITIEK | Fortinet FortiOS SSL VPN | 2020 | |
| Authenticatie-omzeiling op wsdReadForm-endpoint maakt het mogelijk alle gebruikersinloggegevens op te halen en te ontsleutelen via hardcoded XOR-sleutel | MEDIUM | eWON Firmware 12.2–13.0 | 2019 | |
| SQL-injectie op login-endpoint omzeilt authenticatie volledig en geeft ongeauthenticeerde dashboardtoegang | KRITIEK | E Learning Script 1.0 | 2019 | |
| SQL-injectie via POST-parameter maakt authenticatie-omzeiling en ongeautoriseerde database-toegang mogelijk | HOOG | Simplejobscript | 2019 |
Conclusie
Broken authentication blijft een van de meest uitgebuite paden voor initiële toegang bij enterprise-datalekken. Als uw authenticatiecontroles falen, kunnen aanvallers zwakke wachtwoorden, kwetsbare sessies, MFA-omzeiling of ontbrekende controles omzetten in volledige accountcompromittering.
U verkleint dat risico met phishing-resistente MFA, modern credentialbeleid, veilig sessiebeheer en zichtbaarheid op identiteitslaag die laat zien hoe gestolen inloggegevens worden gebruikt.
Veelgestelde vragen
Broken authentication is een identiteitsvertrouwensfout. Dit gebeurt wanneer een applicatie niet betrouwbaar kan verifiëren wie een gebruiker is of die identiteit na het inloggen niet veilig kan behouden.
In de praktijk omvat dit zwakke controle van inloggegevens, kwetsbare herstelprocessen en fouten in sessiebeheer waardoor aanvallers als legitieme gebruikers kunnen optreden.
Ja. OWASP heeft deze categorie sinds het begin van de Top 10 in 2004 opgenomen. De naamswijzigingen zijn belangrijk: de verschuiving van "Broken Authentication" naar "Identification and Authentication Failures" en vervolgens "Authentication Failures" laat zien dat het risico nu wachtwoorden, MFA, sessiestatus, federatie en alternatieve toegangswegen omvat.
Meestal wel. De vertrouwensgrens bevindt zich vaak bij een internetgerichte login, API, VPN-gateway, SaaS-account of beheerinterface.
Aanvallers kunnen geldige inloggegevens hergebruiken, blootgestelde authenticatiepaden misbruiken of sessies kapen, waardoor de activiteit op normaal gebruik kan lijken in plaats van een traditionele exploit.
De systemen met het hoogste risico zijn die welke identiteitsbeslissingen nemen voor andere systemen: webapplicaties, API's, cloudconsoles, SSO-verbonden diensten en perimeterapparaten.
Een eenvoudige regel geldt: hoe breder een account kan pivoteren na inloggen, hoe schadelijker een authenticatiefout wordt.
Ze combineren meestal testen met hergebruik. Testen onthult zwakke lockout, herstel, MFA of sessiegedrag. Hergebruik past gestolen inloggegevens, tokens of bekende CVE's toe die al werken.
Dit maakt ontdekking relatief goedkoop omdat aanvallers vaak geen nieuwe exploit nodig hebben om binnen te komen.
Vroege tekenen zijn meestal patronen, geen enkele waarschuwingen. Veelvoorkomende indicatoren zijn verspreide inlogfouten, onmogelijke reisbewegingen, ongebruikelijke herstelactiviteiten, herhaalde MFA-prompts en nieuw sessiegedrag na een succesvolle login.
Het belangrijkste signaal is een reeks gebeurtenissen die authenticatie-, sessie- en privilegegebeurtenissen overschrijdt.
Het is ernstig omdat het de controle ondermijnt die alle andere controles beschermt. Wanneer authenticatie faalt, kan een aanvaller normale gebruikersrechten, verhoogde rechten of gefedereerd vertrouwen in onderliggende systemen verkrijgen.
Die grotere impact is waarom misbruik van inloggegevens en authenticatie-omzeilingen vaak leiden tot ernstige datalekken.
Ja. Authenticatiefouten zijn vaak het toegangspunt, niet het einddoel. Eenmaal binnen kunnen aanvallers lateraal bewegen, rechten verhogen, cloudresources benaderen of persistent blijven via vertrouwde identiteitskanalen.
Eén gecompromitteerd account kan snel een organisatiebreed toegangsprobleem worden.
Slechts gedeeltelijk. Geautomatiseerd testen is nuttig voor het vinden van zwakke lockout, herstelproblemen, ontbrekende controles en hardcoded inloggegevens. Het is minder effectief wanneer aanvallers geldige inloggegevens of gestolen tokens gebruiken, omdat die acties legitiem kunnen lijken.
Daarom zijn identiteitsmonitoring en correlatie over meerdere lagen belangrijk.
De meest blootgestelde sectoren zijn die waar geauthenticeerde toegang direct leidt tot gereguleerde data, geldstromen, administratieve controle of kritieke operaties. Financiële dienstverlening, overheid, gezondheidszorg, cloud-intensieve bedrijven en infrastructuurbeheerders passen allemaal in dat patroon.
De gedeelde risicofactor is de waarde en het bereik van wat een vertrouwd account kan ontgrendelen.
