Қолданбаға екі факторлы аутентификацияны (2FA) қалай қосуға болады

Қолданбаға екі факторлы аутентификацияны (2FA) қосу үшін пайдаланушыларға аутентификатор-қолданбаны QR-кодты сканерлеу арқылы байланыстыруға мүмкіндік беріңіз, парольден кейін ол көрсететін алты таңбалы кодты сұраңыз және тек код дұрыс болғанда ғана серверде толық сессия жасаңыз. Қосқан кезде әр пайдаланушыға бір реттік қалпына келтіру кодтарын беріңіз, бір адам қанша код болжай алатынын шектеңіз және 2FA-ны өшіруге тек парольді және ағымдағы кодты талап етіңіз. Хостингтелген аутентификация провайдерін қолдансаңыз, өзіңіз жасағаннан гөрі оның кірістірілген көп факторлы опциясын қосыңыз.

Бұл нұсқаулық таңдауларды, нақты ағымды, ЖИ құрастырушыға беретін промпттарды және 2FA бар сияқты көрінетін, бірақ ешнәрсе істемейтін қателерді түсіндіреді. Егер ұғым жаңа болса, алдымен екі факторлы аутентификация дегеніміз не бөлімін оқыңыз.

Алдымен: жұмыс істейтін логин керек

2FA бар кіруге қосылады. Алдымен мыналардың біреуі керек:

• Өз логиныңыз: пайдаланушылар мен хэштелген парольдер қолданбаңыздың дерекқорында.
• Хостингтелген аутентификация провайдері, ол пайдаланушыларды сіз үшін басқарады.

Ешқайсысы әлі болмаса, қолданбаға логин қалай қосылады бөлімінен бастаңыз. Бұл нұсқаулық парольдік қадам бұрыннан жұмыс істейді деп есептейді.

Екінші факторды таңдаңыз

TOTP — time-based one-time password, яғни аутентификатор-қолданбалар пайдаланатын стандарт (RFC 6238). Серверіңіз бен пайдаланушының телефоны бір құпияны бөліседі; әр екеуі сол құпиядан және ағымдағы уақыттан бірдей қысқа код жасайды, әдетте әр 30 секунд сайын өзгереді. Интернет байланысы немесе SMS провайдері қажет емес.

Passkey-лер парольдерді құрылғыда сақталатын криптографиялық кілтпен алмастырады немесе толықтырады. Олар күштірек, бірақ өз бетіңізше жасау көбірек жұмыс, сондықтан көп қолданба TOTP-тен бастап, passkey-лерді кейін қосады немесе провайдерден алады.

Өзіңіз жасау ма, әлде қосу ма?

Провайдеріңіздің қолдайтын факторлары мен жоспарларын оның ағымдағы құжаттамасынан тексеріңіз. Кез келген жағдайда код генерациялау математикасын өзіңіз жазбаңыз; кең қолданылатын кітапхананы пайдаланыңыз.

Алдымен саясатты шешіңіз

Промпт жазбас бұрын мыналарға жауап беріңіз, себебі олар дизайнды өзгертеді:

1. Кім қолдануы керек? Барлығына міндетті емес, әкімшілер мен қызметкерлерге міндетті немесе барлығына міндетті. Әкімшілік күші бар кез келген адам үшін міндетті ету кең тараған. Рөлге негізделген қолжетімділікті қараңыз.
2. Пайдаланушылар кодты қанша жиі енгізеді? Әр кіруде, немесе әр құрылғыда 30 күнге («осы құрылғыны есте сақтау»).
3. Қай әрекеттерге жаңа растау керек? Электрондық поштаны өзгерту, төлем деректері немесе 2FA-ны өшіру жақсы үміткерлер. Мұны қадам-қадамдық аутентификация (step-up authentication) деп атайды.
4. Телефон жоғалған кездегі процесс қандай? Қалпына келтіру кодтары және сіз жүргізуге дайын қолмен резервтік тәсіл.

Қадам-қадаммен: өз логиныңызда TOTP 2FA

1. Дұрыс өрістерді сақтаңыз

Әр пайдаланушыға мыналар керек: 2FA қосулы ма, TOTP құпиясы (дерекқорда шифрленген, жай мәтін емес), қосылған уақыт және қалпына келтіру кодтарының тізімі — парольдер сияқты хэштелген түрде. Сәтсіз әрекеттерді санайтын орын қосыңыз.

2. Тіркеу

1. Пайдаланушы Баптаулар бөлімін ашып, Екі факторлы аутентификацияны қосу түймесін басады.
2. Сервер жаңа құпия жасап, оны QR-код ретінде, сонымен қатар сканерлей алмайтындарға мәтіндік нұсқасы ретінде қайтарады.
3. Пайдаланушы оны аутентификатор-қолданбада сканерлейді және ағымдағы кодты теріп жазады.
4. Сервер кодты тексереді. Тек дұрыс болса ғана құпияны сақтап, 2FA-ны қосулы деп белгілейді.
5. Қолданба 8–10 қалпына келтіру кодын бір рет көрсетіп, пайдаланушыдан оларды сақтауын сұрайды.

4-қадам маңызды: кодты растамай 2FA-ны қоссаңыз, сканерлеуі сәтсіз болған кез келген адам келесі кіруде қағып тасталады.

3. Екінші қадаммен кіру

1. Пайдаланушы электрондық пошта мен парольді жібереді. Сервер оларды тексереді.
2. Егер 2FA қосулы болса, сервер толық сессияны жасамайды. Оның орнына қысқа мерзімді «екінші фактор күтілуде» күйін жасайды.
3. Қолданба код экранын көрсетеді. Сервер кодты тексереді, сағат ығысуына шағын терезе рұқсат ете отырып.
4. Тек осыдан кейін сервер нақты сессияны береді.

Әр қорғалған бет пен API endpoint күту күйін қабылдамауы керек. Тек браузерде беттерді жасыратын 2FA экраны API-ді тікелей шақыру арқылы айналып өтуге болады.

4. Шектеулер мен ескертулер

Алты таңбалы кодта миллион комбинация бар, сондықтан шектеусіз ол болжанады. Әрекеттерді шектеңіз, қайталанған қателіктерден кейін екінші қадамды белгілі бір уақытқа құлыптаңыз және пайдаланушыға электрондық пошта жіберіңіз. Сұрау жиілігін шектеу және қолданбадан электрондық пошта жіберу бөлімдерін қараңыз.

5. Қалпына келтіру және өшіру

• Қалпына келтіру коды бір рет жұмыс істейді, содан кейін жойылады.
• 2FA-ны өшіру парольді және ағымдағы кодты немесе қалпына келтіру кодын талап етеді.
• Қалпына келтіру кодтарын қайта жасау ескі жиынды жарамсыз етеді.
• 2FA қосылған немесе өшірілген сайын пайдаланушыға электрондық пошта жіберіңіз.

ЖИ құрастырушыға берілетін промпттар

Негізгі ағыннан бастаңыз:

Бізде бар электрондық пошта мен парольмен кіруге қосымша екі факторлы аутентификацияны (аутентификатор-қолданба арқылы TOTP) міндетті емес түрде қосыңыз. Жаңа алгоритмді өзіңіз жазбай, белгілі TOTP кітапханасын пайдаланыңыз. Баптаулар бөлімінде QR-кодты және мәтіндік құпияны көрсетіңіз, 2FA-ны тек пайдаланушы жарамды кодты енгізгеннен кейін ғана қосыңыз. Құпияны шифрлеп сақтаңыз және орнату аяқталғаннан кейін оны енді көрсетпеңіз. Бір рет көрсетілетін 10 бір реттік қалпына келтіру кодын көрсетіп, оларды хэштеп сақтаңыз.

Содан кейін мәжбүрлеу, мұнда жасалған код ең жиі кемшін келеді:

2FA-ны серверде мәжбүрлеңіз. Дұрыс парольден кейін 2FA қосулы пайдаланушылар толық сессияны емес, қысқа мерзімді күтудегі күйді алады. Әр қорғалған бет пен API маршруты күту күйін қабылдамауы керек. Код әрекеттерін 5-пен шектеңіз, содан кейін екінші қадамды 15 минутқа құлыптаңыз және пайдаланушыға электрондық пошта жіберіңіз.

Содан кейін саясат:

Әкімшілер үшін 2FA-ны міндетті етіңіз: 2FA-сыз әкімші орнатуға жіберіледі және ол аяқталғанға дейін басқару панеліне кіре алмайды. 2FA-ны өшіру немесе аккаунт электрондық поштасын өзгерту үшін парольді және ағымдағы кодты талап етіңіз. 2FA қосылғанда немесе өшірілгенде пайдаланушыға электрондық пошта жіберіңіз.

Соңында, ЖИ-дан не жасағанын түсіндіруін сұраңыз:

Аяқталған екінші факторды тексеретін әр маршрутты, TOTP құпиясы мен қалпына келтіру кодтарының қайда сақталғанын және олардың қалай қорғалғанын тізіңіз.

Жиі кездесетін қателер

• Парольден кейін сессия беру. Ең ауыр қате. Код тексерілмей тұрып толық сессия бар болса, 2FA — тек сәндік. Тек парольдік қадамнан кейін қорғалған API-ді шақырып сынаңыз.
• Әрекет шегі жоқ. Шектеусіз болжауға болады.
• Жай мәтіндегі құпиялар немесе қалпына келтіру кодтары. Дерекқор ағып кетсе, барлық пайдаланушының екінші факторын беріп жібереді.
• Растамай қосу. Сканерлеуі қате болған пайдаланушылар келесі кірісте құлыпталады.
• Қалпына келтіру жолының жоқтығы. Әр жоғалған телефон қолдау сұрауына немесе жоғалған клиентке айналады.
• Оңай өшіру. Ұрланған сессия код талап етпей 2FA-ны өшіре алса, қорғаныс жоқ.
• Кодтар журналдарда. Кодтар мен құпиялардың серверлік журналдарда немесе қате хабарларында ешқашан көрінбейтінін тексеріңіз.
• Тек кіру бетінде тексеру. Парольді қалпына келтіру, «magic link» арқылы кіру және әлеуметтік логин де 2FA-ны құрметтеуі керек, әйтпесе ол айналып өтудің жолына айналады.

Сынау тізімі

• Тіркеу тек жарамды коды бар кезде ғана аяқталады
• Дұрыс парольмен, бірақ кодсыз кіру ешбір қорғалған бет пен API-ге қол жеткізбейді
• Қате код қабылданбайды; қайталанған қате кодтар құлыптауды және электрондық поштаны іске қосады
• Бірнеше минут бұрынғы код қабылданбайды
• Әр қалпына келтіру коды дәл бір рет жұмыс істейді
• 2FA-ны өшіру парольді және ағымдағы кодты талап етеді
• Парольді қалпына келтіру 2FA-ны айналып өтпейді
• 2FA-сыз әкімшілер әкімші беттеріне кіре алмайды (егер міндетті болса)
• Құпиялар мен қалпына келтіру кодтары дерекқорда шифрленген немесе хэштелген
• Журналдарда ешқандай код немесе құпия жоқ

Іске қосар алдында ЖИ арқылы салынған қолданбаларға арналған қауіпсіздік тексеру тізімін да толық өтіңіз.

Mythex-те 2FA қосу

Mythex қолданбаңыздың соңғы пайдаланушылары үшін кірістірілген логин жүйесін ұсынбайды, сондықтан 2FA сіз таңдаған аутентификация тәсілінің бөлігі болады: жобаның дерекқорын пайдаланатын өз электрондық пошта мен парольдік логиніңіз немесе көп факторлы қолдауы бар хостингтелген провайдер. Чатта жоғарыдағыдай промпттармен не керектігін сипаттайсыз, ал провайдер кілттері хабарлама жолағына емес, жоба құпияларына (/secrets арқылы, жоба баптауларында немесе агент кілт қажет болғанда көрсететін құпиялар картасы арқылы) салынады. Құжаттамадағы Қолданбаға логин қосу рецептінде бастапқы промпт бар, ал сіз құрастыратын қолданбалар үшін қауіпсіздік кілттер мен рұқсаттарға қатысты әдеттерді қамтиды. Агент аяқтаған соң, жариялаудан бұрын Preview-де тексеру тізімінің әр пунктін сынаңыз.

Сұрақтар