Ako pridať dvojfaktorové overenie do aplikácie

Na pridanie dvojfaktorového overenia (2FA) do aplikácie nechajte používateľov prepojiť aplikáciu autentifikátora naskenovaním QR kódu, po hesle od nich vyžadujte šesťmiestny kód, ktorý zobrazuje, a plnú reláciu na serveri vytvorte až vtedy, keď kód prejde kontrolou. Každému používateľovi dajte pri zapnutí jednorazové záložné kódy, obmedzte, koľko kódov môže niekto uhádnuť, a pred vypnutím 2FA vyžadujte heslo spolu s aktuálnym kódom. Ak používate hostovaného poskytovateľa autentifikácie, zapnite jeho vstavanú možnosť viacfaktorového overenia namiesto budovania vlastnej.

Tento návod prechádza voľbami, presný postup, prompty pre AI nástroj a chyby, vďaka ktorým 2FA vyzerá ako prítomná, ale nerobí nič. Ak je pojem nový, začnite článkom čo je dvojfaktorové overenie.

Skôr než začnete: potrebujete funkčné prihlásenie

2FA stojí na existujúcom prihlásení. Najprv potrebujete jedno z nasledujúcich:

• Vlastné prihlásenie s používateľmi a zahashovanými heslami uloženými v databáze vašej aplikácie.
• Hostovaného poskytovateľa autentifikácie, ktorý spravuje používateľov za vás.

Ak ešte nemáte ani jedno, začnite s ako pridať prihlásenie do aplikácie. Zvyšok tohto návodu predpokladá, že krok s heslom už funguje.

Vyberte druhý faktor

TOTP znamená jednorazové heslo založené na čase, štandard (RFC 6238), ktorý používajú aplikácie autentifikátorov. Váš server a telefón používateľa zdieľajú tajomstvo; každý z neho a z aktuálneho času vygeneruje rovnaký krátky kód, ktorý sa zvyčajne mení každých 30 sekúnd. Nepotrebuje sieťové pripojenie ani poskytovateľa SMS.

Prístupové kľúče nahrádzajú alebo dopĺňajú heslá kryptografickým kľúčom uloženým na zariadení používateľa. Sú silnejšie, ale ich vlastné vybudovanie je náročnejšie, takže mnohé aplikácie začínajú s TOTP a prístupové kľúče pridajú neskôr, alebo ich získajú od poskytovateľa autentifikácie.

Vytvoriť ho alebo zapnúť?

Pozrite si aktuálnu dokumentáciu poskytovateľa, ktoré faktory podporuje a v ktorých plánoch. Tak či onak nikdy nepíšte matematiku generovania kódov sami; použite široko používanú knižnicu.

Najprv rozhodnite o pravidlách

Odpovedzte na tieto otázky skôr, než začnete písať prompty, pretože menia návrh:

1. Kto ho musí používať? Voliteľné pre všetkých, povinné pre adminov a zamestnancov, alebo povinné pre všetkých. Bežné je vyžadovať ho od každého s administrátorskými právami. Pozrite si riadenie prístupu na základe rolí.
2. Ako často musia používatelia zadávať kód? Pri každom prihlásení, alebo raz na zariadenie na 30 dní („zapamätať si toto zariadenie“).
3. Ktoré akcie vyžadujú čerstvú kontrolu? Dobrými kandidátmi sú zmena e-mailu, údajov o výplate alebo vypnutie 2FA. Hovorí sa tomu step-up autentifikácia.
4. Aký je postup pri stratenom telefóne? Záložné kódy plus manuálna záložná možnosť, ktorú ste ochotní prevádzkovať.

Postup krok za krokom: TOTP 2FA na vlastnom prihlásení

1. Uložte správne polia

Každý používateľ potrebuje: či je 2FA zapnutá, TOTP tajomstvo (šifrované v úložisku, nie ako čistý text), čas zapnutia a zoznam záložných kódov uložených zahashovane, rovnako ako heslá. Pridajte miesto na počítanie neúspešných pokusov.

2. Zapnutie

1. Používateľ otvorí nastavenia a klikne na Zapnúť dvojfaktorové overenie.
2. Server vygeneruje nové tajomstvo a vráti ho ako QR kód plus textovú verziu pre ľudí, ktorí nemôžu skenovať.
3. Používateľ ho naskenuje v aplikácii autentifikátora a zadá aktuálny kód.
4. Server kód skontroluje. Až ak je správny, uloží tajomstvo a označí 2FA ako zapnutú.
5. Aplikácia zobrazí 8–10 záložných kódov iba raz a požiada používateľa, aby si ich uložil.

Krok 4 je dôležitý: zapnúť 2FA pred potvrdením kódu zamkne každého, komu sa skenovanie nepodarilo.

3. Prihlásenie s druhým krokom

1. Používateľ odošle e-mail a heslo. Server ich skontroluje.
2. Ak je 2FA zapnutá, server nevytvorí plnú reláciu. Namiesto toho vytvorí krátkodobý stav „čaká sa na druhý faktor“.
3. Aplikácia zobrazí obrazovku s kódom. Server kód skontroluje a povolí malé okno na odchýlku hodín.
4. Až teraz server vydá skutočnú reláciu.

Každá chránená trasa a koncový bod API musí stav čakania odmietnuť. Obrazovka 2FA, ktorá skrýva stránky len v prehliadači, sa dá obísť volaním API priamo.

4. Limity a upozornenia

Šesťmiestny kód má milión kombinácií, takže sa dá uhádnuť bez limitov. Obmedzte pokusy, po opakovaných zlyhaniach na čas uzamknite druhý krok a pošlite používateľovi e-mail, keď sa to stane. Pozrite si obmedzovanie počtu požiadaviek a odosielanie e-mailov z aplikácie.

5. Obnova a vypnutie

• Záložný kód funguje raz a potom sa vymaže.
• Vypnutie 2FA vyžaduje heslo a aktuálny kód alebo záložný kód.
• Obnovenie záložných kódov zneplatní starú sadu.
• Pri každom zapnutí alebo vypnutí 2FA pošlite používateľovi e-mail.

Prompty pre váš AI nástroj

Začnite základným tokom:

Pridaj voliteľné dvojfaktorové overenie pomocou aplikácií autentifikátorov (TOTP) do nášho existujúceho prihlásenia e-mailom a heslom. Použi známu TOTP knižnicu, algoritmus nepíš sám. V nastaveniach zobraz QR kód a textové tajomstvo a 2FA zapni až po tom, čo používateľ zadá platný kód. Tajomstvo ukladaj šifrované a po nastavení ho už nikdy nezobrazuj. Zobraz 10 jednorazových záložných kódov iba raz a ulož ich zahashované.

Potom presadzovanie, kde vygenerovaný kód najčastejšie zlyháva:

Presadzuj 2FA na serveri. Po správnom hesle dostanú používatelia s 2FA krátkodobý stav čakania, nie plnú reláciu. Každá chránená stránka a API trasa musí stav čakania odmietnuť. Pokusy o kód obmedz na 5, potom na 15 minút zamkni druhý krok a pošli používateľovi e-mail.

Potom politika:

Vyžaduj 2FA pre admin účty: admin bez 2FA je presmerovaný na nastavenie a k dashboardu sa nedostane, kým ho nedokončí. Na vypnutie 2FA alebo zmenu e-mailu účtu vyžaduj heslo a aktuálny kód. Pri zapnutí alebo vypnutí 2FA pošli používateľovi e-mail.

Nakoniec požiadajte agenta, aby vysvetlil, čo postavil:

Vypíš každú trasu, ktorá kontroluje dokončený druhý faktor, kde sa ukladajú TOTP tajomstvo a záložné kódy a ako sú chránené.

Časté chyby

• Relácia vydaná po hesle. Najvážnejšia chyba. Ak plná relácia existuje pred kontrolou kódu, 2FA je len dekorácia. Otestujte volaním chráneného API len po kroku s heslom.
• Žiadny limit pokusov. Neobmedzené hádanie robí kód zraniteľným voči hrubej sile.
• Tajomstvá alebo záložné kódy v čistom texte. Únik databázy potom vydá druhý faktor všetkých používateľov.
• Zapnutie pred overením. Používatelia, ktorí zle naskenovali kód, sú zamknutí pri ďalšom prihlásení.
• Žiadna cesta obnovy. Každý stratený telefón sa stane podporným tiketom alebo stratenými zákazníkom.
• Ľahké vypnutie. Ak ukradnutá relácia dokáže vypnúť 2FA bez kódu, ochrana zanikne.
• Kódy v logoch. Uistite sa, že kódy a tajomstvá sa nikdy neobjavia v serverových logoch ani chybových hláseniach.
• Kontrola len na prihlasovacej stránke. Obnova hesla, prihlásenie cez „magic link“ a akékoľvek sociálne prihlásenie musia rešpektovať 2FA tiež, inak sa z nich stane obchádzka.

Kontrolný zoznam testovania

• Zapnutie sa dokončí až po platnom kóde
• Prihlásenie so správnym heslom bez kódu nedá prístup k žiadnej chránenej stránke ani API
• Zlý kód je odmietnutý; opakované zlé kódy spustia zamknutie a e-mail
• Kód z pred niekoľkých minút je odmietnutý
• Každý záložný kód funguje presne raz
• Vypnutie 2FA vyžaduje heslo a aktuálny kód
• Obnova hesla neobíde 2FA
• Admini bez 2FA sa nedostanú na administračné stránky (ak je to vyžadované)
• Tajomstvá a záložné kódy sú v databáze šifrované alebo zahashované
• Žiadne kódy ani tajomstvá sa neobjavujú v logoch

Pred spustením spustite aj celý bezpečnostný kontrolný zoznam pre aplikácie vytvorené AI.

Pridanie 2FA v Mythex

Mythex neobsahuje vstavaný systém prihlásenia pre koncových používateľov vašej aplikácie, takže 2FA je súčasťou toho prístupu k autentifikácii, ktorý zvolíte: vlastné prihlásenie e-mailom a heslom s databázou projektu, alebo hostovaný poskytovateľ s podporou viacfaktorového overenia. Čo chcete, opíšete v chate pomocou promptov ako vyššie a kľúče poskytovateľa idú do tajomstiev projektu (cez /secrets, nastavenia projektu alebo kartu tajomstiev, ktorú agent zobrazí), nie do správy v chate. Recept v dokumentácii Pridanie prihlásenia do aplikácie obsahuje štartovací prompt a Bezpečnosť pre aplikácie, ktoré vytvárate pokrýva návyky okolo kľúčov a oprávnení. Keď agent skončí, otestujte každú položku kontrolného zoznamu v náhľade a až potom publikujte.

Otázky