V2.2.2 General Authenticator Security

Requirement:

Verify that the use of weak authenticators (such as SMS and email) is limited to secondary verification and transaction approval and not as a replacement for more secure authentication methods. Verify that stronger methods are offered before weak methods, users are aware of the risks, or that proper measures are in place to limit the risks of account compromise.

Explanation:

Использование слабых методов аутентификации (как, например, через SMS или email) ограничено только для вторичного подтверждения верификации или транзакций и слабые методы не используются как замена для более безопасных методов аутентификации. Более безопасные методы аутентификации предлагаются в первую очередь и только затем предлагаются слабые и при этом пользователи предупреждены о рисках или применены достаточные меры для снижения риска компрометации аккаунта.

Remediation:

Чтобы убедиться, что слабые аутентификаторы, такие как SMS и электронная почта, ограничены вторичной проверкой и одобрением транзакций, вы можете предпринять следующие шаги:

• Проверьте процесс проверки подлинности: проверьте процесс проверки подлинности, чтобы убедиться, что пользователи должны предоставить надежную форму проверки подлинности, такую ​​как пароль или биометрические данные, прежде чем им будет предложено пройти дополнительную проверку через SMS или электронную почту.
• Оцените реализацию более надежных методов. Оцените реализацию более надежных методов, таких как многофакторная проверка подлинности, чтобы определить, предлагаются ли они пользователям раньше слабых методов.
• Проверьте осведомленность пользователей: убедитесь, что пользователи осведомлены о рисках, связанных со слабыми аутентификаторами, и о важности использования более надежных методов защиты.
• Оцените имеющиеся меры безопасности: оцените действующие меры безопасности, чтобы убедиться, что принимаются надлежащие меры для ограничения рисков компрометации учетной записи в случае использования слабого аутентификатора.

Выполняя эти шаги, вы можете убедиться, что использование слабых аутентификаторов ограничено вторичной проверкой и одобрением транзакций.

Additional: