Hoe kan een engineer eenvoudige replay-aanvallen tegen een REST API, die gebruikt wordt voor brute-force pogingen, tegengaan?

Een timestamp in de API-header helpt replay-aanvallen te voorkomen door ervoor te zorgen dat elk verzoek uniek is en slechts binnen een korte tijdsperiode geldig is. Als een aanvaller een eerder onderschept verzoek opnieuw probeert te verzenden, zal de server dit afwijzen omdat de timestamp te oud is. Dit maakt brute-force pogingen via replay ineffectief. Het gebruik van een wachtwoord-hash beschermt wachtwoorden in rust, maar voorkomt geen replay van het gehashte wachtwoord zelf. OAuth is een autorisatieprotocol dat toegang tot bronnen regelt, maar biedt op zichzelf geen bescherming tegen replay-aanvallen van een reeds geautoriseerd token. HTTPS versleutelt de communicatie, wat man-in-the-middle aanvallen tegengaat, maar het voorkomt niet dat een aanvaller een onderschept, versleuteld verzoek opnieuw verzendt als de sessie nog geldig is.