V2.3.2 Authenticator Lifecycle

Requirement:#

Verify that enrollment and use of user-provided authentication devices are supported, such as a U2F or FIDO tokens.

Explanation:#

Это требование гласит, что приложение должно обеспечивать возможность пользователей регистрировать и использовать собственные устройства аутентификации, такие как токены U2F или FIDO.

Приложение должно предоставлять пользователям возможность добавления и регистрации их собственных устройств аутентификации, таких как U2F или FIDO токены. Это может включать в себя процесс добавления устройства к учетной записи пользователя и создание связи между устройством и аккаунтом. После регистрации пользователи должны иметь возможность использовать свои устройства для аутентификации при входе в систему. Например, приложение может запросить пользователя вставить или активировать свой токен U2F или FIDO для завершения процесса входа. Приложение должно быть совместимо с протоколом U2F и/или стандартом FIDO, который позволяет использовать физические устройства для аутентификации. Такая поддержка обеспечивает безопасный и надежный способ аутентификации, снижая риски атак на аккаунты пользователей. Разработчики должны убедиться, что функции регистрации и использования устройств аутентификации работают корректно и соответствуют стандартам безопасности.

Remediation:#

Чтобы убедиться, что регистрация и использование предоставленных пользователем устройств аутентификации, таких как токены U2F или FIDO поддерживаются, необходимо выполнить следующие действия:

Регистрация:

Предоставить пользователям процесс регистрации своих токенов U2F или FIDO в системе. Сюда должны входить инструкции по настройке устройства и его регистрации в системе.

Совместимость:

Убедиться, что система совместима с токеном U2F или FIDO пользователя и что устройство поддерживается базовой технологией системы.

Аутентификация:

Интегрировать токен U2F или FIDO в процесс аутентификации системы. Это может потребовать от пользователя физического нажатия кнопки на устройстве или ввода одноразового кода, сгенерированного устройством.

Управление пользователями:

Внедрить процесс управления регистрацией и использованием токенов U2F или FIDO, например отзыв или замену утерянных или украденных устройств.

Соответствие этому требованию OWASP ASVS гарантирует, что приложение обеспечивает безопасный и удобный процесс регистрации и использования пользовательских устройств аутентификации, таких как токены U2F или FIDO.

Additional:#

https://pages.nist.gov/800-63-3/sp800-63b.html#post-enroll-bind