V2.2.7 General Authenticator Security

Requirement:

Verify intent to authenticate by requiring the entry of an OTP token or user-initiated action such as a button press on a FIDO hardware key.

Explanation:

Использование однофакторной аутентификации может привести к ненужному риску компрометации по сравнению с преимуществами схемы двухфакторной аутентификации.

Remediation:

Чтобы подтвердить намерение пройти аутентификацию, потребовав ввода токена OTP или инициированного пользователем действия, такого как нажатие кнопки на аппаратном ключе FIDO, вы можете выполнить следующие шаги:

• Токен OTP: внедрите систему двухфакторной аутентификации, которая требует от пользователя ввода одноразового пароля (OTP), отправленного на его телефон или электронную почту. Пользователь должен ввести правильный OTP в течение определенного периода времени, чтобы пройти аутентификацию.
• Аппаратный ключ FIDO: используйте аппаратные ключи FIDO (Fast IDentity Online), которые представляют собой устройства физической безопасности, которые можно использовать для защиты доступа к учетным записям в Интернете. Аппаратный ключ FIDO генерирует уникальный одноразовый код, который необходимо ввести в дополнение к паролю. Для аутентификации пользователь должен физически нажать кнопку на ключе FIDO. 

Требуя ввода OTP-токена или действия, инициированного пользователем, вы можете повысить безопасность процесса аутентификации и снизить риск несанкционированного доступа к конфиденциальной информации.

Additional:

https://cwe.mitre.org/data/definitions/308.html

https://pages.nist.gov/800-63-3/sp800-63b.html#sec6