V2.2.6 General Authenticator Security

Requirement:

Verify replay resistance through the mandated use of One-time Passwords (OTP) devices, cryptographic authenticators, or lookup codes.

Explanation:

Использование однофакторной аутентификации может привести к ненужному риску компрометации по сравнению с преимуществами схемы двухфакторной аутентификации.

Хотя использование нескольких схем аутентификации просто усложняет аутентификацию, иметь такие меры избыточности неоценимо. Использование слабых, повторно используемых и распространенных паролей широко распространено в Интернете. Без дополнительной защиты нескольких схем аутентификации одна ошибка может привести к компрометации учетной записи. По этой причине, если несколько схем возможны, а также просты в использовании, они должны быть реализованы и необходимы.

Remediation:

Следующие шаги могут быть предприняты в качестве исправления для обеспечения устойчивости к повторному использованию за счет использования устройств с одноразовыми паролями (OTP), криптографических аутентификаторов или кодов поиска:

• Внедрение одноразовых паролей (OTP). Внедрение одноразовых паролей (OTP), представляющих собой уникальные временные коды, которые можно использовать для аутентификации. OTP могут генерироваться устройством, например аппаратным токеном, или отправляться на телефон пользователя с помощью SMS.
• Используйте криптографические аутентификаторы: Реализуйте использование криптографических аутентификаторов, таких как смарт-карты или USB-токены, которые можно использовать для безопасного хранения учетных данных аутентификации.
• Использовать коды поиска: реализуйте использование кодов поиска, которые являются уникальными кодами, которые можно использовать для проверки личности пользователя. Коды поиска могут быть отправлены на телефон пользователя с помощью SMS или могут быть сгенерированы устройством, например аппаратным токеном.
• Информируйте пользователей о повторных атаках. Расскажите пользователям об угрозе повторных атак и о том, какие шаги они должны предпринять, чтобы защитить себя, например, проверить подлинность OTP, криптографического аутентификатора или кода поиска перед их использованием.
• Регулярно обновляйте меры безопасности: регулярно обновляйте меры безопасности для устранения любых новых угроз или уязвимостей, которые могут возникнуть. 

Применяя эти меры, вы можете помочь обеспечить безопасную передачу данных аутентификации и предотвратить повторные атаки. Это поможет защитить конфиденциальную информацию и обеспечить доступ к ней только авторизованным пользователям.

Additional:

https://pages.nist.gov/800-63-3/sp800-63b.html#throttle

https://cwe.mitre.org/data/definitions/308.html