V2.3.1 Authenticator Lifecycle

Requirement:

Verify system generated initial passwords or activation codes SHOULD be securely randomly generated, SHOULD be at least 6 characters long, and MAY contain letters and numbers, and expire after a short period of time. These initial secrets must not be permitted to become the long term password.

Explanation:

Программное обеспечение использует недостаточно случайные числа или значения в контексте безопасности, который зависит от непредсказуемых чисел.

Когда программное обеспечение генерирует предсказуемые значения в контексте, требующем непредсказуемости, злоумышленник может угадать следующее значение, которое будет сгенерировано, и использовать это предположение, чтобы выдать себя за другого пользователя или получить доступ к конфиденциальной информации.

Remediation:

Чтобы проверить безопасность сгенерированных системой начальных паролей или кодов активации, вы можете применить следующие рекомендации:

• Безопасная генерация случайных чисел: используйте безопасный генератор случайных чисел для создания начальных паролей или кодов активации. Это поможет гарантировать, что секреты трудно предсказуемы, и повысит общую безопасность системы.
• Длина: Требуйте, чтобы начальные пароли или коды активации были длиной не менее 6 символов. Более длинные пароли, как правило, более безопасны и их труднее взломать.
• Сложность: разрешите начальным паролям или кодам активации содержать комбинацию букв и цифр. Это увеличит сложность секрета и затруднит его угадывание или взлом злоумышленником.
• Срок действия: Установите срок действия исходных паролей или кодов активации через короткий период времени, например 24 часа. Это снизит риск перехвата секрета и его использования неавторизованной стороной.
• Долгосрочный пароль: не допускайте, чтобы первоначальные пароли или коды активации становились долгосрочным паролем. Поощряйте пользователей создавать надежные, уникальные пароли, которые они могут запомнить, и регулярно обновлять свои пароли для обеспечения безопасности своих учетных записей. 

Внедряя эти рекомендации, вы можете помочь обеспечить безопасность генерируемых системой начальных паролей или кодов активации и снизить риск несанкционированного доступа к конфиденциальной информации.

Additional:

https://cwe.mitre.org/data/definitions/330.html