Kuidas lisada äppi kaksikautentimine (2FA)

Kaksikautentimise (2FA) lisamiseks äppi lase kasutajatel siduda autentimisrakendus, skannides QR-koodi, ja küsi parooli järel kuuekohalist koodi, mida see näitab. Loo täielik seanss serveris alles siis, kui see kood on kontrollitud. Anna igale kasutajale sisselülitamisel ühekordsed taastekoodid, piira, kui mitut koodi keegi saab arvata, ja nõua 2FA väljalülitamiseks parooli ja praegust koodi. Kui kasutad hostitud autentimisteenust, lülita sisse selle sisseehitatud mitmefaktorilisus, selle asemel et ise ehitada.

See juhend käib läbi valikud, täpse voo, juhised AI-äpiloojale ja vead, mis teevad 2FA-st olemasoleva, aga mitte toimiva kaitse. Kui mõiste on uus, alusta mis on kaksikautentimine.

Enne alustamist: vajad töötavat sisselogimist

2FA istub olemasoleva sisselogimise peal. Vajad ühte neist enne:

• Oma sisselogimist, kus kasutajad ja räsitud paroolid on sinu äpi andmebaasis.
• Hostitud autentimisteenust, mis haldab kasutajaid sinu eest.

Kui sul pole kumbagi veel, alusta juhendiga kuidas lisada äppi sisselogimine. See juhend eeldab, et parooli samm juba töötab.

Vali teine faktor

TOTP tähendab ajapõhist ühekordset parooli (time-based one-time password), standardit (RFC 6238), mida autentimisrakendused kasutavad. Sinu server ja kasutaja telefon jagavad saladust; mõlemad genereerivad saladusest ja praegusest ajast sama lühikese koodi, mis tavaliselt muutub iga 30 sekundi järel. Ühendust võrguga ega SMS-teenuse pakkujat pole vaja.

Pääsukoodid asendavad või täiendavad paroole krüptograafilise võtmega, mis on salvestatud kasutaja seadmesse. Need on tugevamad, aga nende ise ehitamine on rohkem tööd, seega alustavad paljud äpid TOTP-ga ja lisavad pääsukoodid hiljem või saavad need autentimisteenuse pakkujalt.

Kas ehitad ise või lülitad sisse?

Kontrolli oma pakkuja praegust dokumentatsiooni, milliseid faktoreid ta toetab ja millistel plaanidel. Igal juhul ära kirjuta koodi genereerimise matemaatikat ise; kasuta laialdaselt kasutatavat teeki.

Otsusta poliitika enne

Vasta nendele enne viipamist, sest need muudavad disaini:

1. Kes peab seda kasutama? Valikuline kõigile, kohustuslik administraatoritele ja töötajatele või kohustuslik kõigile. Levinud on nõuda seda kõigile, kellel on administraatori õigused. Vaata rollipõhine ligipääsukontroll.
2. Kui tihti kasutajad koodi uuesti sisestavad? Igal sisselogimisel või ühe korra seadme kohta 30 päeva jooksul („jäta see seade meelde“).
3. Millised tegevused vajavad värsket kontrolli? E-posti vahetamine, makseandmete muutmine ja 2FA väljalülitamine on head kandidaadid. Seda nimetatakse astmelise autentimise (step-up authentication).
4. Milline on kadunud telefoni protsess? Taastekoodid ja käsitsi varuvariant, mida oled valmis läbi viima.

Samm-sammult: TOTP 2FA oma sisselogimisel

1. Salvesta õiged väljad

Iga kasutaja vajab: kas 2FA on sisse lülitatud, TOTP saladus (krüpteeritult puhkeolekus, mitte lihttekstina), aeg, millal see sisse lülitati, ja nimekiri taastekoodidest, mis on salvestatud räsitult, nagu paroolid. Lisa koht ebaõnnestunud katsete loendamiseks.

2. Registreerimine

1. Kasutaja avab seaded ja klõpsab Lülita kaksikautentimine sisse.
2. Server genereerib uue saladuse ja tagastab selle QR-koodina, plus tekstiversioonina neile, kes ei saa skannida.
3. Kasutaja skannib selle autentimisrakenduses ja sisestab praeguse koodi.
4. Server kontrollib koodi. Alles siis, kui see on õige, salvestab ta saladuse ja märgib 2FA sisselülitatuks.
5. Äpp näitab 8–10 taastekoodi ühe korra ja palub kasutajal need salvestada.

Samm 4 on oluline: 2FA sisselülitamine enne koodi kinnitamist lukustab välja igaühe, kelle skannimine ebaõnnestus.

3. Sisselogimine teise sammuga

1. Kasutaja sisestab e-posti ja parooli. Server kontrollib neid.
2. Kui 2FA on sisse lülitatud, ei loo server täielikku seanssi. Selle asemel loob ta lühiajalise olekus „teine faktor ootel“.
3. Äpp näitab koodi sisestamise ekraani. Server kontrollib koodi, lubades väikese ajanihke varu.
4. Alles nüüd annab server tegeliku seansi.

Iga kaitstud marsruut ja API-lõpp-punkt peab olemasoleva ootel oleku tagasi lükkama. 2FA ekraan, mis ainult peidab lehti brauseris, saab mööda minna, kui API-d kutsutakse otse.

4. Piirangud ja hoiatused

Kuuekohalisel koodil on miljon kombinatsiooni, mida saab ilma piiranguteta arvata. Piira katseid, lukusta teine samm pärast korduvaid ebaõnnestumisi teatud ajaks ja saada kasutajale e-kiri, kui see juhtub. Vaata päringute piiramist ja kuidas saata e-kirju oma äpist.

5. Taastamine ja väljalülitamine

• Taastekood töötab ühe korra ja kustutatakse.
• 2FA väljalülitamine nõuab parooli ja praegust koodi või taastekoodi.
• Taastekoodide uuestiloomine tühistab vana komplekti.
• Saada kasutajale e-kiri alati, kui 2FA sisse või välja lülitatakse.

Juhised AI-äpiloojale

Alusta põhivooga:

Lisa valikuline kaksikautentimine autentimisrakenduse (TOTP) abil meie olemasolevale e-posti ja parooli sisselogimisele. Kasuta tuntud TOTP teeki, ära kirjuta algoritmi ise. Seadetes näita QR-koodi ja tekstilist saladust ning luba 2FA alles pärast seda, kui kasutaja sisestab kehtiva koodi. Salvesta saladus krüpteeritult ja ära seda pärast seadistamist enam näita. Näita 10 ühekordset taastekoodi üks kord ja salvesta need räsitult.

Seejärel jõustamine, kus genereeritud kood kõige sagedamini puudu jääb:

Jõusta 2FA serveris. Pärast õiget parooli saavad 2FA-ga kasutajad lühiajalise „teine faktor ootel“ oleku, mitte täielikku seanssi. Iga kaitstud leht ja API-marsruut peab selle oleku tagasi lükkama. Piira koodi katseid 5-ni, seejärel lukusta teine samm 15 minutiks ja saada kasutajale e-kiri.

Siis poliitika:

Nõua administraatorikontodele 2FA-d: administraator ilma 2FA-ta suunatakse seadistusse ega pääse juhtpaneelile, kuni see on tehtud. Nõua 2FA väljalülitamiseks või konto e-posti muutmiseks parooli ja praegust koodi. Saada kasutajale e-kiri, kui 2FA sisse või välja lülitatakse.

Lõpuks palu agendil selgitada, mida ta ehitas:

Loetle iga marsruut, mis kontrollib lõpetatud teist faktorit, kus TOTP saladus ja taastekoodid on salvestatud ning kuidas need on kaitstud.

Levinud vead

• Seanss välja antud pärast parooli. Kõige tõsisem viga. Kui täielik seanss eksisteerib enne koodi kontrollimist, on 2FA ainult dekoratsioon. Testi, kutsudes kaitstud API-d ainult pärast parooli sammu.
• Katsete piirangu puudumine. Piiramatud arvamised muudavad koodi jõuga murtavaks.
• Lihttekstilised saladused või taastekoodid. Andmebaasi leke annab siis kõigi teise faktori käsku.
• Sisselülitamine enne kontrollimist. Kasutajad, kes skannisid valesti, lukustatakse järgmisel sisselogimisel välja.
• Taastetee puudumine. Iga kadunud telefon muutub tugiteenuse pileteks või kaotatud kliendiks.
• Lihtne väljalülitamine. Kui varastatud seanss saab 2FA välja lülitada ilma koodita, on kaitse kadunud.
• Koodid logides. Veendu, et koodid ja saladused ei ilmu kunagi serverilogidesse ega veateadetesse.
• Kontrollimine ainult sisselogimislehel. Parooli lähtestamine, „maagilise lingiga“ sisselogimine ja iga sotsiaalne sisselogimine peavad samuti 2FA-d arvestama, muidu muutuvad need mööduteeks.

Testimise nimekiri

• Registreerimine lõpeb alles pärast kehtiva koodi sisestamist
• Sisselogimine õige parooliga, aga ilma koodita, ei anna ligipääsu ühelegi kaitstud lehele ega API-le
• Vale kood lükatakse tagasi; korduvad valed koodid käivitavad lukustuse ja e-kirja
• Paar minutit vana kood lükatakse tagasi
• Iga taastekood töötab täpselt ühe korra
• 2FA väljalülitamine nõuab parooli ja praegust koodi
• Parooli lähtestamine ei möödu 2FA-st
• Administraatorid ilma 2FA-ta ei pääse administraatorilehtedele (kui nõutud)
• Saladused ja taastekoodid on andmebaasis krüpteeritud või räsitud
• Koode ega saladusi ei ilmu logides

Käi enne starti läbi ka täielik AI-ga ehitatud äppide turvanimekiri.

2FA lisamine Mythexis

Mythex ei sisalda sinu äpi lõppkasutajatele sisseehitatud sisselogimissüsteemi, seega on 2FA osa sellest autentimisviisist, mille valid: oma e-posti ja parooli sisselogimine projekti andmebaasi kaudu või hostitud teenus mitmefaktorilisusega. Kirjeldad, mida tahad, chatis sarnaste promptidega nagu ülal, ja kõik teenusepakkuja võtmed lähevad projekti saladustesse (läbi lehe /secrets, projekti seadete või saladuste kaardi, mida agent näitab), mitte sõnumi kasti. Dokumentatsiooni retsept Lisa äppi sisselogimine sisaldab alguspromptit ning Turvalisus sinu ehitatud äppides selgitab harjumusi võtmete ja õiguste ümber. Pärast agendi lõpetamist testi kogu kontrollnimekirja eelvaates enne avaldamist.

Küsimused