Hvernig bætir þú tveggja þátta auðkenningu (2FA) við appið þitt

Til að bæta tveggja þátta auðkenningu (2FA) við appið þitt skaltu leyfa notendum að tengja auðkenningarapp með því að skanna QR-kóða, biðja um sex stafa kóðann sem það sýnir eftir lykilorðið, og búa aðeins til fulla setu á netþjóninum þegar kóðinn er réttur. Gefðu hverjum notanda einnota endurheimtukóða þegar hann kveikir á þessu, takmarkaðu hversu marga kóða er hægt að giska á og krefstu lykilorðsins og núgilds kóða áður en hægt er að slökkva á 2FA. Ef þú notar hýsta auðkenningarveitu skaltu kveikja á innbyggðum fjölþátta valkosti hennar í staðinn fyrir að smíða þinn eigin.

Þessi leiðbeining fer yfir valkostina, nákvæmt flæðið, fyrirmæli sem þú getur gefið gervigreindarsmiði, og mistökin sem láta 2FA líta út fyrir að vera til en gera ekkert. Ef hugtakið er nýtt skaltu byrja á hvað er tveggja þátta auðkenning.

Áður en þú byrjar: þú þarft virka innskráningu

2FA situr ofan á innskráningu sem þegar er til. Þú þarft eitt af þessu fyrst:

• Þína eigin innskráningu, með notendum og kjötkássuðum lykilorðum í gagnagrunni appsins þíns.
• Hýsta auðkenningarveitu sem sér um notendur fyrir þig.

Ef þú ert ekki með hvort tveggja ennþá, byrjaðu á hvernig bætir þú innskráningu við appið þitt. Restin af þessari leiðbeiningu gerir ráð fyrir að lykilorðsskrefið virki þegar.

Veldu annan þáttinn

TOTP stendur fyrir tímamiðað einnota lykilorð (time-based one-time password), staðallinn (RFC 6238) sem auðkenningaröpp nota. Þjónninn þinn og sími notandans deila leyndarmáli; hvort um sig býr til sama stutta kóðann út frá leyndarmálinu og núverandi tíma, og hann breytist yfirleitt á 30 sekúndna fresti. Engin nettenging eða SMS-þjónusta þarf.

Aðgangslyklar koma í stað eða bæta við lykilorð með dulritunarlykli sem geymdur er í tæki notandans. Þeir eru sterkari en meiri vinna að smíða sjálfur, svo mörg öpp byrja með TOTP og bæta aðgangslyklum við síðar, eða fá þá frá auðkenningarveitu.

Smíða sjálfur eða kveikja á?

Athugaðu núgildandi skjöl veitunnar þinnar um hvaða þætti hún styður og í hvaða áætlunum. Hvort sem er, skrifaðu aldrei reikniaðgerðirnar fyrir kóðana sjálfur; notaðu víða notað bókasafn.

Ákveddu stefnuna fyrst

Svaraðu þessu áður en þú skrifar fyrirmæli, því það breytir hönnuninni:

1. Hver þarf að nota þetta? Valfrjálst fyrir alla, skylda fyrir stjórnendur og starfsfólk, eða skylda fyrir alla. Að krefjast þess af öllum sem hafa stjórnandavald er algengt. Sjá aðgangsstýring byggð á hlutverkum.
2. Hversu oft slá notendur inn kóða aftur? Í hverri innskráningu, eða einu sinni fyrir hvert tæki í 30 daga („muna þetta tæki“).
3. Hvaða aðgerðir þurfa nýja staðfestingu? Breyting á netfangi, greiðsluupplýsingar eða að slökkva á 2FA eru góðir kandídatar. Þetta kallast step-up auðkenning.
4. Hvert er ferlið ef sími týnist? Endurheimtukóðar, auk handvirkrar varaleiðar sem þú ert tilbúinn að keyra.

Skref fyrir skref: TOTP 2FA á þinni eigin innskráningu

1. Geymdu réttu reitina

Hver notandi þarf: hvort 2FA sé virkt, TOTP-leyndarmálið (dulkóðað í hvíld, ekki í klartexta), tímann sem það var virkjað, og lista yfir endurheimtukóða geymda í kjötkássu, eins og lykilorð. Bættu við stað til að telja misheppnaðar tilraunir.

2. Skráning

1. Notandinn opnar Stillingar og smellir á Kveikja á tveggja þátta auðkenningu.
2. Þjónninn býr til nýtt leyndarmál og skilar því sem QR-kóða, auk textaútgáfu fyrir fólk sem getur ekki skannað.
3. Notandinn skannar það í auðkenningarappi og slær inn núverandi kóða.
4. Þjónninn athugar kóðann. Aðeins ef hann er réttur vistar hann leyndarmálið og merkir 2FA sem virkt.
5. Appið sýnir 8–10 endurheimtukóða einu sinni og biður notandann um að vista þá.

Skref 4 skiptir máli: ef þú kveikir á 2FA áður en kóðinn er staðfestur læsirðu úti alla sem skönnuðu ekki rétt.

3. Innskráning með öðru skrefi

1. Notandinn sendir netfang og lykilorð. Þjónninn athugar þau.
2. Ef 2FA er virkt býr þjónninn ekki til fulla setu. Hann býr til stutta stöðu „bíður annars þáttar“.
3. Appið sýnir kóðasíðuna. Þjónninn athugar kóðann og leyfir lítinn glugga fyrir tímaskekkju.
4. Fyrst þá gefur þjónninn út raunverulegu setuna.

Hver vernduð leið og API-endapunktur verður að hafna stöðunni „bíður“. Kóðasíða sem aðeins felur síður í vafranum er hægt að sleppa með því að kalla beint á API-ið.

4. Takmörk og viðvaranir

Sex stafa kóði hefur milljón mögulegar samsetningar, sem er hægt að giska á án takmarkana. Takmarkaðu tilraunir, læstu öðru skrefinu í tiltekinn tíma eftir endurteknar misheppnanir, og sendu notandanum tölvupóst þegar það gerist. Sjá takmörkun á beiðnum og hvernig sendir þú tölvupósta úr appinu.

5. Endurheimt og að slökkva á

• Endurheimtukóði virkar einu sinni og er svo eytt.
• Að slökkva á 2FA krefst lykilorðsins og núgilds kóða eða endurheimtukóða.
• Að endurnýja endurheimtukóða ógildir gamla listann.
• Sendu notandanum tölvupóst í hvert sinn sem 2FA er kveikt eða slökkt.

Fyrirmæli fyrir gervigreindarsmiðinn þinn

Byrjaðu með kjarnaflæðinu:

Bættu við valfrjálsri tveggja þátta auðkenningu með auðkenningaröppum (TOTP) við núverandi innskráningu með tölvupósti og lykilorði. Notaðu þekkt TOTP-bókasafn, ekki skrifa reikniaðferðina sjálfur. Í Stillingum skaltu sýna QR-kóða og textaleyndarmálið, og aðeins kveikja á 2FA eftir að notandinn slær inn gildan kóða. Geymdu leyndarmálið dulkóðað og sýndu það aldrei aftur eftir uppsetningu. Sýndu 10 einnota endurheimtukóða einu sinni og geymdu þá í kjötkássu.

Svo framfylgdin, sem er þar sem myndaður kóði bregst oftast:

Framfylgdu 2FA á netþjóninum. Eftir rétt lykilorð fá notendur með 2FA virkt stutta stöðu „bíður“, ekki fulla setu. Sérhver vernduð síða og API-leið verður að hafna stöðunni „bíður“. Takmarkaðu tilraunir með kóða við 5, læstu síðan öðru skrefinu í 15 mínútur og sendu notandanum tölvupóst.

Svo stefnan:

Krefstu 2FA fyrir stjórnendareikninga: stjórnandi án 2FA er sendur í uppsetningu og kemst ekki í mælaborðið fyrr en henni er lokið. Krefstu lykilorðsins og núgilds kóða til að slökkva á 2FA eða breyta netfangi reikningsins. Sendu notandanum tölvupóst þegar 2FA er kveikt eða slökkt.

Að lokum biddu gervigreindarsmiðinn að útskýra það sem hann smíðaði:

Skráðu hverja leið sem athugar hvort annar þáttur hafi verið staðfestur, hvar TOTP-leyndarmálið og endurheimtukóðarnir eru geymdir og hvernig þeir eru varðir.

Algeng mistök

• Seta gefin út eftir lykilorðið. Alvarlegasta villan. Ef full seta er til áður en kóðinn er athugaður er 2FA aðeins skraut. Prófaðu með því að kalla á verndað API eftir lykilorðsskrefið eitt og sér.
• Engin takmörk á tilraunum. Ótakmarkaðar getgátur gera kóðann hægt að brjóta með endurteknum tilraunum.
• Leyndarmál eða endurheimtukóðar í klartexta. Ef gagnagrunnurinn lekur fær einhver annan þátt allra í hendurnar.
• Kveikt áður en staðfest. Notendur sem skönnuðu rangt eru læstir úti við næstu innskráningu.
• Engin endurheimtarleið. Hver týndur sími verður þjónustubeiðni eða tapaður viðskiptavinur.
• Auðvelt að slökkva. Ef stolin seta getur slökkt á 2FA án kóða er verndin horfin.
• Kóðar í skrám. Gakktu úr skugga um að kóðar og leyndarmál birtist aldrei í þjónsskrám eða villuskilaboðum.
• Athugun aðeins á innskráningarsíðunni. Endurstilling lykilorðs, innskráning með töfratengli og samfélagsinnskráning verða líka að virða 2FA, annars verða þær leið framhjá því.

Prófunarlisti

• Skráning klárast aðeins eftir gildan kóða
• Innskráning með réttu lykilorði en án kóða veitir engan aðgang að verndaðri síðu eða API
• Rangur kóði er hafnaður; endurteknir rangir kóðar kveikja læsingu og tölvupóst
• Kóði frá fáeinum mínútum síðan er hafnaður
• Hver endurheimtukóði virkar nákvæmlega einu sinni
• Að slökkva á 2FA krefst lykilorðsins og núgilds kóða
• Endurstilling lykilorðs sniðgengur ekki 2FA
• Stjórnendur án 2FA komast ekki á stjórnendasíður (ef það er krafist)
• Leyndarmál og endurheimtukóðar eru dulkóðaðir eða í kjötkássu í gagnagrunninum
• Engir kóðar eða leyndarmál birtast í skrám

Keyrðu allan öryggisgátlistann fyrir öpp smíðuð með gervigreind fyrir opnun líka.

Bæta 2FA við í Mythex

Mythex inniheldur ekki innbyggt innskráningarkerfi fyrir notendur appsins þíns, svo 2FA er hluti af þeirri auðkenningarleið sem þú velur: þinni eigin innskráningu með tölvupósti og lykilorði sem notar gagnagrunn verkefnisins, eða hýstri veitu með fjölþátta stuðningi. Þú lýsir því sem þú vilt í spjallinu með fyrirmælum eins og þeim hér að ofan, og lykla veitna fara í leyndarmál verkefnisins (í gegnum /secrets, í stillingum verkefnisins eða í leyndarmálakortinu sem aðstoðarmaðurinn sýnir) en ekki í skilaboðareitinn. Skjalauppskriftin Bættu innskráningu við appið þitt hefur upphafsfyrirmæli, og Öryggi fyrir öpp sem þú smíðar fjallar um venjurnar í kringum lykla og heimildir. Eftir að aðstoðarmaðurinn lýkur verki skaltu prófa alla liði gátlistans í Preview áður en þú birtir.

Spurningar