In che modo un ingegnere può mitigare semplici attacchi di replay contro una REST API utilizzata per tentativi di brute-force?

Aggiungere un timestamp alla richiesta nell'intestazione dell'API è il metodo più efficace per mitigare semplici attacchi di replay. Un timestamp, combinato con un meccanismo di non-ripetibilità (nonce) o un controllo di validità entro un breve intervallo di tempo, rende ogni richiesta unica e impedisce a un attaccante di riutilizzare una richiesta intercettata. Usare un hash della password non previene attacchi di replay; protegge la password stessa, ma una richiesta hashata può comunque essere riutilizzata. Aggiungere OAuth è un meccanismo di autorizzazione e autenticazione più robusto, ma non affronta direttamente la riproduzione di richieste già autenticate. Usare HTTPS cripta il traffico, prevenendo l'intercettazione e la modifica, ma non impedisce a un attaccante di registrare una richiesta valida e riproporla se non ci sono altri meccanismi anti-replay.