c3.6 Proteja a identidade de clientes
Não construa a autenticação manualmente: páginas de login próprias são propensas a injeção de SQL e falhas de autenticação quebrada. Use um serviço de identidade gerenciado como o Amazon Cognito para o login de clientes e adicione proteção contra tomada de contas do AWS WAF no endpoint de login.
Guia de implementação
Use um serviço de identidade de clientes gerenciado
Código de autenticação próprio é uma fonte frequente de vulnerabilidades: injeção de SQL contra as tabelas de usuários e outras falhas de autenticação quebrada. Use o Amazon Cognito para o login de clientes (CIAM): ele fornece autenticação segura baseada em padrões (SAML, OpenID Connect, OAuth 2.0), MFA opcional, single sign-on e federação social. Provedores de identidade parceiros como Okta, Auth0 e Ping Identity também estão no AWS Marketplace.
Defenda o endpoint de login
Adicione o AWS WAF Fraud Control – Account Takeover Prevention (ATP) para interceptar comportamentos maliciosos de login como o credential stuffing com credenciais vazadas e as tentativas de adivinhação de senhas.
Como se encaixa
Como validar
- Você usa um serviço de identidade gerenciado (como o Amazon Cognito) em vez de código de autenticação próprio?
- O MFA está disponível para seus clientes?
- Você adicionou proteção contra tomada de contas (AWS WAF ATP ou similar) no endpoint de login?
Ameaças atendidas
- Páginas de autenticação próprias são um alvo comum de ataques de injeção de SQL e de autenticação quebrada que podem expor ou contornar as credenciais dos clientes.
- O credential stuffing e a adivinhação de senhas contra o endpoint de login podem tomar contas de clientes se não forem bloqueados ativamente.
Serviços AWS
Amazon Cognito 
AWS WAF Preços
O Cognito é cobrado por usuário ativo mensal (MAU) nos seus planos de recursos Lite, Essentials e Plus; o nível Essentials (o padrão para novos user pools) inclui 10.000 MAUs gratuitos. Veja os preços do Cognito. O WAF ATP tem uma taxa mensal mais uma cobrança por mil tentativas de login analisadas; veja os preços do AWS WAF.