Ինչպես ավելացնել երկփուլ նույնականացում (2FA) ձեր հավելվածին

Երկփուլ նույնականացում (2FA) ավելացնելու համար թույլ տվեք օգտատերերին կապել **նույնականացման հավելված` սկանավորելով QR կոդը, խնդրեք վեցանիշ կոդը, որ այն ցույց է տալիս գաղտնաբառից հետո, և ստեղծեք լրիվ սեսիա սերվերում միայն այն ժամանակ, երբ այդ կոդը ճիշտ է։ Յուրաքանչյուր օգտատիրոջ տվեք մեկանգամյա վերականգնման կոդեր, երբ նա միացնում է 2FA-ն, սահմանափակեք, թե քանի կոդ կարող է գուշակել մարդը, և պահանջեք գաղտնաբառ և ընթացիկ կոդ՝ նախքան 2FA-ն անջատելը։ Եթե օգտագործում եք հոստված նույնականացման մատակարար, միացրեք նրա ներկառուցված բազմաբաղադրիչ տարբերակը՝ սեփական ստեղծելու փոխարեն։

Այս ուղեցույցը անցնում է ընտրությունների միջով, ճշգրիտ հոսքը, հրամաններ, որ կարող եք տալ AI կառուցողին, և սխալները, որոնք 2FA-ն դարձնում են ներկա, բայց անօգուտ։ Եթե հայեցակարգը նոր է, սկսեք ինչ է երկփուլ նույնականացումը էջից։

Նախքան սկսելը. ձեզ պետք է աշխատող մուտք

2FA-ն նստում է արդեն գոյություն ունեցող մուտքի վրա։ Ձեզ պետք է սրանցից մեկը նախապես․

• Ձեր սեփական մուտքը, որտեղ օգտատերերը և հեշավորված գաղտնաբառերը պահված են ձեր հավելվածի տվյալների բազայում։
• Հոստված նույնականացման մատակարար, որ օգտատերերը կառավարում է ձեր փոխարեն։

Եթե դեռ չունեք որևէ մեկը, սկսեք ինչպես ավելացնել մուտք ձեր հավելվածին-ից։ Մնացած ուղեցույցը ենթադրում է, որ գաղտնաբառի քայլն արդեն աշխատում է։

Ընտրեք ձեր երկրորդ գործոնը

TOTP-ն նշանակում է time-based one-time password, այն ստանդարտը (RFC 6238), որ օգտագործում են նույնականացման հավելվածները։ Ձեր սերվերը և օգտատիրոջ հեռախոսը կիսում են գաղտնիք․ յուրաքանչյուրը այդ գաղտնիքից և ընթացիկ ժամանակից գեներացնում է միևնույն կարճ կոդը, սովորաբար փոխվում է յուրաքանչյուր 30 վայրկյանը մեկ։ Ցանցային կապ կամ SMS մատակարար պետք չէ։

Passkey-ները փոխարինում կամ լրացնում են գաղտնաբառերը` սարքի վրա պահված կրիպտոգրաֆիկ բանալիով։ Դրանք ավելի ուժեղ են, բայց ավելի շատ աշխատանք են պահանջում ինքներդ կառուցելու համար, ուստի շատ հավելվածներ սկսում են TOTP-ով և ավելի ուշ ավելացնում passkey-ներ, կամ ստանում են դրանք նույնականացման մատակարարից։

Կառուցել, թե միացնել?

Ստուգեք ձեր մատակարարի ընթացիկ փաստաթղթերը, թե որ գործոններն է աջակցում և որ պլաններում։ Ցանկացած դեպքում երբեք մի գրեք կոդ գեներացնող մաթեմատիկան ինքներդ․ օգտագործեք լայնորեն կիրառվող գրադարան։

Նախ որոշեք քաղաքականությունը

Պատասխանեք սրանց, նախքան հրաման գրելը, քանի որ դրանք փոխում են դիզայնը․

1. Ում համար է պարտադիր? Կամընտիր բոլորի համար, պարտադիր ադմինների և աշխատակիցների համար, թե պարտադիր բոլորի համար։ Պարտադիր դարձնելը ցանկացած մեկի համար, ով ունի ադմինի իրավունքներ, սովորական է։ Տես դերերի վրա հիմնված մուտքի կառավարում։
2. Որքան հաճախ են օգտատերերը մուտքագրում կոդ? Յուրաքանչյուր մուտքի ժամանակ, թե մեկ անգամ յուրաքանչյուր սարքի համար 30 օրով («հիշել այս սարքը»)։
3. Ո՞ր գործողությունները պահանջում են նոր ստուգում? Էլ. փոստը փոխելը, վճարման տվյալները, 2FA-ն անջատելը լավ թեկնածուներ են։ Սա կոչվում է step-up նույնականացում։
4. Ո՞րն է կորցրած հեռախոսի գործընթացը? Վերականգնման կոդեր, գումարած ձեռքով պահուստային եղանակ, որ պատրաստ եք կատարել։

Քայլ առ քայլ. TOTP 2FA ձեր սեփական մուտքի վրա

1. Պահեք ճիշտ դաշտերը

Յուրաքանչյուր օգտատիրոջ պետք են՝ արդյոք 2FA-ն միացված է, TOTP գաղտնիքը (պահված գաղտնագրված, ոչ թե պարզ տեքստով), միացման ժամանակը և վերականգնման կոդերի ցուցակը, հեշավորված, ինչպես գաղտնաբառերը։ Ավելացրեք տեղ, որտեղ հաշվում եք ձախողված փորձերը։

2. Գրանցում

1. Օգտատերը բացում է Settings-ը և սեղմում Միացնել երկփուլ նույնականացումը։
2. Սերվերը գեներացնում է նոր գաղտնիք և վերադարձնում այն որպես QR կոդ՝ գրավոր տարբերակով նրանց համար, ովքեր չեն կարող սկանավորել։
3. Օգտատերը սկանավորում է այն նույնականացման հավելվածում և մուտքագրում ընթացիկ կոդը։
4. Սերվերը ստուգում է կոդը։ Միայն եթե այն ճիշտ է, պահում է գաղտնիքը և նշում 2FA-ն որպես միացված։
5. Հավելվածը մեկ անգամ ցույց է տալիս 8–10 վերականգնման կոդ և խնդրում պահել դրանք։

Քայլ 4-ը էական է․ եթե 2FA-ն միացնեք, նախքան կոդը հաստատելը, կկողպեք յուրաքանչյուրին, ում սկանավորումը ձախողվել է, հաջորդ մուտքի ժամանակ։

3. Մուտք երկրորդ քայլով

1. Օգտատերը ներկայացնում է էլ. փոստը և գաղտնաբառը։ Սերվերը ստուգում է դրանք։
2. Եթե 2FA-ն միացված է, սերվերը չի ստեղծում լրիվ սեսիա։ Փոխարենը ստեղծում է կարճատև «երկրորդ գործոնը սպասում է» վիճակ։
3. Հավելվածը ցույց է տալիս կոդի էկրանը։ Սերվերը ստուգում է կոդը՝ թողնելով փոքր պատուհան ժամացույցի շեղման համար։
4. Միայն այդ ժամանակ սերվերը տալիս է իրական սեսիան։

Ամեն պաշտպանված երթուղի և API endpoint պետք է մերժի այդ սպասող վիճակը։ Կոդի էկրան, որ միայն թաքցնում է էջերը բրաուզերում, կարող է բաց թողնվել՝ ուղղակիորեն կանչելով API-ն։

4. Սահմանափակումներ և ահազանգներ

Վեց նիշանի կոդը միլիոն համադրություն ունի, ինչը գուշակելի է առանց սահմանափակումների։ Սահմանափակեք փորձերը, կողպեք երկրորդ քայլը որոշ ժամանակով կրկնվող ձախողումներից հետո և էլ. փոստով տեղեկացրեք օգտատիրոջը։ Տես դրույքաչափի սահմանափակում և ինչպես ուղարկել էլ. նամակներ ձեր հավելվածից։

5. Վերականգնում և անջատում

• Վերականգնման կոդը աշխատում է մեկ անգամ, ապա ջնջվում է։
• 2FA-ն անջատելը պահանջում է գաղտնաբառ և ընթացիկ կոդ կամ վերականգնման կոդ։
• Վերականգնման կոդերի վերագեներացումը անվավեր է դարձնում հին հավաքածուն։
• Էլ. փոստով տեղեկացրեք օգտատիրոջը, երբ 2FA-ն միացվում կամ անջատվում է։

Հրամաններ՝ AI կառուցողին

Սկսեք հիմնական հոսքից․

Ավելացրու կամընտիր երկփուլ նույնականացում՝ օգտագործելով նույնականացման հավելվածներ (TOTP) մեր առկա էլ. փոստի և գաղտնաբառի մուտքի համար։ Օգտագործիր հայտնի TOTP գրադարան, մի գրիր ալգորիթմը ինքդ։ Settings-ում ցույց տուր QR կոդ և տեքստային գաղտնիք, և միացրու 2FA-ն միայն այն բանից հետո, երբ օգտատերը մուտքագրում է վավեր կոդ։ Պահիր գաղտնիքը գաղտնագրված և այն երբեք այլևս մի ցույց տուր կարգավորումից հետո։ Ցույց տուր 10 մեկանգամյա վերականգնման կոդ մեկ անգամ և պահիր դրանք հեշավորված։

Այնուհետև կիրառումը, որտեղ գեներացված կոդն ամենից հաճախ թերանում է․

Կիրառիր 2FA-ն սերվերում։ Գաղտնաբառի ճիշտ լինելուց հետո 2FA-ով օգտատերերը ստանում են կարճատև «սպասում է» վիճակ, ոչ թե լրիվ սեսիա։ Յուրաքանչյուր պաշտպանված էջ և API երթուղի պետք է մերժի այդ վիճակը։ Սահմանափակիր կոդի փորձերը 5-ով, ապա կողպիր երկրորդ քայլը 15 րոպեով և էլ. փոստով տեղեկացրու օգտատիրոջը։

Հետո քաղաքականությունը․

Պարտադրիր 2FA ադմին հաշիվների համար․ ադմինը առանց 2FA-ի ուղարկվում է կարգավորման և չի կարող մտնել վահանակ, մինչև այն ավարտվի։ Պահանջիր գաղտնաբառ և ընթացիկ կոդ 2FA-ն անջատելու կամ հաշվի էլ. փոստը փոխելու համար։ Էլ. փոստով տեղեկացրու օգտատիրոջը, երբ 2FA-ն միացվում կամ անջատվում է։

Վերջապես, խնդրեք գործակալին բացատրել, թե ինչ է կառուցել․

Թվարկիր յուրաքանչյուր երթուղի, որ ստուգում է ավարտված երկրորդ գործոնը, որտեղ են պահվում TOTP գաղտնիքը և վերականգնման կոդերը, և ինչպես են դրանք պաշտպանված։

Հաճախակի սխալներ

• Սեսիան տրվում է գաղտնաբառից հետո։ Ամենալուրջ սխալը։ Եթե լրիվ սեսիան գոյություն ունի, նախքան կոդը ստուգելը, 2FA-ն միայն դեկոր է։ Փորձարկեք՝ կանչելով պաշտպանված API-ն միայն գաղտնաբառի քայլից հետո։
• Փորձերի սահման չկա։ Անսահման գուշակումները դարձնում են կոդը բռնի ուժով կոտրելի։
• Պարզ տեքստով գաղտնիքներ կամ վերականգնման կոդեր։ Տվյալների բազայի արտահոսքը դրանով տալիս է բոլորի երկրորդ գործոնը։
• Միացնել նախքան ստուգելը։ Օգտատերերը, որ սխալ են սկանավորել, կողպվում են հաջորդ մուտքի ժամանակ։
• Վերականգնման ուղու բացակայություն։ Յուրաքանչյուր կորցրած հեռախոս դառնում է աջակցության հարց կամ կորցրած հաճախորդ։
• Հեշտ անջատում։ Եթե գողացված սեսիան կարող է անջատել 2FA-ն առանց կոդի, պաշտպանությունը վերացել է։
• Կոդեր մատյաններում։ Համոզվեք, որ կոդերն ու գաղտնիքները երբեք չեն հայտնվում սերվերի մատյաններում կամ սխալի հաղորդագրություններում։
• Ստուգել միայն մուտքի էջում։ Գաղտնաբառի վերականգնումը, «magic link» մուտքը և ցանկացած սոցիալական մուտք նույնպես պետք է հարգեն 2FA-ն, հակառակ դեպքում դառնում են դրանից խուսափելու միջոց։

Փորձարկման ստուգացանկ

• Գրանցումը ավարտվում է միայն վավեր կոդից հետո
• Ճիշտ գաղտնաբառով, բայց առանց կոդի մուտքը ոչ մի պաշտպանված էջի կամ API-ի հասանելիություն չի տալիս
• Սխալ կոդը մերժվում է․ կրկնվող սխալ կոդերը գործարկում են կողպումը և էլ. նամակը
• Մի քանի րոպե առաջվա կոդը մերժվում է
• Յուրաքանչյուր վերականգնման կոդ աշխատում է ճիշտ մեկ անգամ
• 2FA-ն անջատելը պահանջում է գաղտնաբառ և ընթացիկ կոդ
• Գաղտնաբառի վերականգնումը չի շրջանցում 2FA-ն
• Ադմինները առանց 2FA-ի չեն կարող մտնել ադմին էջեր (եթե պարտադիր է)
• Գաղտնիքները և վերականգնման կոդերը գաղտնագրված կամ հեշավորված են տվյալների բազայում
• Մատյաններում կոդեր կամ գաղտնիքներ չկան

Մինչ գործարկումը նույնպես աշխատեցրեք AI-ով կառուցված հավելվածների անվտանգության ստուգացանկը։

2FA ավելացնել Mythex-ում

Mythex-ը չի ներառում ներկառուցված մուտքի համակարգ ձեր հավելվածի վերջնական օգտատերերի համար, ուստի 2FA-ն մտնում է այն նույնականացման մոտեցման մեջ, որ ընտրում եք՝ ձեր սեփական էլ. փոստ-գաղտնաբառ մուտքը նախագծի տվյալների բազայի օգտագործմամբ, կամ հոստված մատակարար բազմաբաղադրիչ նույնականացմամբ։ Նկարագրում եք ձեր ցանկությունը չատում՝ օգտագործելով վերևի նման հրամաններ, և մատակարարի ցանկացած բանալի գնում է նախագծի գաղտնիքներում (/secrets-ի, նախագծի կարգավորումների կամ գործակալի ցույց տված գաղտնիքների քարտի միջոցով), ոչ թե հաղորդագրության դաշտում։ Փաստաթղթերի Add login to your app բաղադրատոմսը ունի մեկնարկային հրաման, իսկ Security for apps you build-ը ծածկում է բանալիների և թույլտվությունների շուրջ սովորությունները։ Գործակալի ավարտից հետո ստուգացանկի յուրաքանչյուր կետ փորձարկեք Preview-ում, նախքան հրապարակելը։

Հարցեր