V4.3.1 Other Access Control Considerations

Requirement:

Verify administrative interfaces use appropriate multi-factor authentication to prevent unauthorized use.

Explanation:

Программное обеспечение использует основной канал для администрирования или ограниченной функциональности, но оно не защищает канал должным образом.

Remediation:

Вот несколько шагов по устранению несанкционированного доступа к административным интерфейсам:

1. Многофакторная аутентификация (MFA).

Предоставить возможность пользователям выбрать как минимум две формы аутентификации для доступа к административным интерфейсам. Это может включать что-то, что знает пользователь (например, пароль), что-то, что есть у пользователя (например, смарт-карта) и/или что-то, чем является пользователь (например, биометрические данные).

2. Надежно хранить информацию для проверки подлинности.

Хранить всю информацию для проверки подлинности, например пароли и токены MFA, надежно с помощью шифрования и безопасного управления ключами.

3. Отслеживать и регистрировать административный доступ.

Отслеживать и регистрировать все доступы к административным интерфейсам, включая успешные и неудачные попытки входа, чтобы помочь обнаружить и расследовать несанкционированный доступ.

Вот пример кода на Python, который реализует многофакторную аутентификацию с использованием веб-фреймворка Flask и библиотеки PyOTP:

from flask import Flask, request, render_template

import pyotp

app = Flask(__name__)

@app.route('/login', methods=['GET', 'POST'])

def login():

"""Display a login form and process the login request."""

if request.method == 'GET':

return render_template('login.html')

# Validate the username and password

if request.form['username'] != 'admin':

return "Invalid username.", 400

if request.form['password'] != 'secret':

return "Invalid password.", 400

# Validate the TOTP token

totp = pyotp.TOTP('base32secret3232')

if request.form['token'] != totp.now():

return "Invalid TOTP token.", 400

# Log the successful login attempt

# ...

return "Login successful."

Этот код реализует форму входа, которая требует, чтобы пользователь предоставил имя пользователя, пароль и токен TOTP, сгенерированный библиотекой PyOTP. Код проверяет соответствие имени пользователя и пароля ожидаемым значениям, а затем проверяет допустимость токена TOTP с помощью метода now библиотеки PyOTP. Код необходимо будет адаптировать для использования надлежащего шифрования и безопасного управления ключами для хранения аутентификационной информации, а также для мониторинга и регистрации всех обращений к административным интерфейсам.

Additional:

https://cwe.mitre.org/data/definitions/419.html