V2.2.4 General Authenticator Security

Requirement:

Verify impersonation resistance against phishing, such as the use of multi-factor authentication, cryptographic devices with intent (such as connected keys with a push to authenticate), or at higher AAL levels, client-side certificates.

Explanation:

Использование однофакторной аутентификации может привести к ненужному риску компрометации по сравнению с преимуществами схемы двухфакторной аутентификации.

Хотя использование нескольких схем аутентификации просто усложняет аутентификацию, иметь такие меры избыточности неоценимо. Использование слабых, повторно используемых и распространенных паролей широко распространено в Интернете. Без дополнительной защиты нескольких схем аутентификации одна ошибка может привести к компрометации учетной записи. По этой причине, если несколько схем возможны, а также просты в использовании, они должны быть реализованы и необходимы.

Remediation:

Следующие шаги могут быть предприняты в качестве исправления для обеспечения устойчивости к олицетворению против фишинга:

• Внедрение многофакторной аутентификации (MFA): MFA добавляет дополнительный уровень безопасности, требуя от пользователей предоставления нескольких форм аутентификации, таких как пароль и одноразовый код, отправленный на их телефон.
• Используйте криптографические устройства с намерением: криптографические устройства с намерением, такие как подключенные ключи с принудительной аутентификацией, добавляют дополнительный уровень безопасности, требуя от пользователей физического подтверждения своей личности перед доступом к своей учетной записи.
• Внедрение сертификатов на стороне клиента. На более высоких уровнях обеспечения (AAL) сертификаты на стороне клиента могут использоваться для обеспечения надежной проверки подлинности пользователей. Это включает в себя получение пользователями сертификата от доверенного центра сертификации и установку его на свое устройство.
• Информируйте пользователей о фишинге: информируйте пользователей о том, как распознавать фишинговые атаки и какие шаги они должны предпринять, чтобы не попасться на их удочку.
• Внедрите меры защиты от фишинга. Внедрите меры защиты от фишинга, такие как фильтрация электронной почты, чтобы предотвратить попадание фишинговых писем к пользователям.
• Отслеживание фишинга: регулярно отслеживайте попытки фишинга и принимайте меры для их предотвращения.
• Регулярно обновляйте меры безопасности: регулярно обновляйте меры безопасности для устранения любых новых угроз или уязвимостей, которые могут возникнуть. 

Применяя эти меры, вы можете обеспечить защиту своих пользователей от фишинговых атак и безопасность их учетных записей.

Additional:

https://cwe.mitre.org/data/definitions/308.html