Si të shtosh verifikimin me dy faktorë në aplikacionin tënd

Për të shtuar verifikimin me dy faktorë (2FA) në aplikacionin tënd, lër përdoruesit të lidhin një aplikacion autentikimi duke skanuar një kod QR, kërko kodin me gjashtë shifra që shfaq pas fjalëkalimit, dhe krijo një sesion të plotë në server vetëm kur ai kod verifikohet. Jep çdo përdoruesi kode rikuperimi me përdorim të vetëm kur e ndez, kufizo sa kode mund të hamendësojë dikush, dhe kërko fjalëkalimin plus një kod aktual përpara se 2FA të mund të çaktivizohet. Nëse përdor një ofrues autentikimi të hostuar, ndiz opsionin e tij të integruar të shumë-faktorit në vend që të ndërtosh të tuajin.

Ky udhëzues shkon hap pas hapi nëpër zgjedhjet, rrjedhën e saktë, prompte që mund t'i japësh një ndërtuesi me AI, dhe gabimet që e bëjnë 2FA të duket e pranishme por të mos bëjë asgjë. Nëse koncepti është i ri për ty, fillo me çfarë është verifikimi me dy faktorë.

Para se të fillosh: të duhet një hyrje që funksionon

2FA qëndron mbi një hyrje ekzistuese. Të duhet një nga këto më parë:

• Hyrja jote, me përdorues dhe fjalëkalime të hash-uara të ruajtura në bazën e të dhënave të aplikacionit tënd.
• Një ofrues autentikimi i hostuar që menaxhon përdoruesit për ty.

Nëse ende nuk ke asnjërën, fillo me si të shtosh hyrje në llogari në aplikacionin tënd. Pjesa tjetër e këtij udhëzuesi supozon që një hap me fjalëkalim tashmë funksionon.

Zgjidh faktorin tënd të dytë

TOTP do të thotë fjalëkalim një herë i bazuar në kohë, standardi (RFC 6238) që përdorin aplikacionet e autentikimit. Serveri yt dhe telefoni i përdoruesit ndajnë një sekret; secili gjeneron të njëjtin kod të shkurtër nga ai sekret dhe koha aktuale, zakonisht duke ndryshuar çdo 30 sekonda. Nuk nevojitet lidhje rrjeti as ofrues SMS.

Passkey-të zëvendësojnë ose plotësojnë fjalëkalimet me një çelës kriptografik të ruajtur në pajisjen e përdoruesit. Janë më të forta, por më shumë punë për t'i ndërtuar vetë, prandaj shumë aplikacione fillojnë me TOTP dhe shtojnë passkey-t më vonë, ose i marrin nga një ofrues autentikimi.

Ta ndërtosh apo ta ndezësh?

Kontrollo dokumentacionin aktual të ofruesit tënd për faktorët që mbështet dhe në cilat plane. Në të dyja rastet, mos e shkruaj kurrë vetë matematikën e gjenerimit të kodit; përdor një bibliotekë të gjerësisht të përdorur.

Vendos politikën së pari

Përgjigju këto para se të japësh një prompt, sepse ndryshojnë dizajnin:

1. Kush duhet ta përdorë? Opsionale për të gjithë, e detyrueshme për adminët dhe stafin, ose e detyrueshme për të gjithë. Kërkimi i saj për këdo me fuqi admin është i zakonshëm. Shiko kontrollin e aksesit të bazuar në role.
2. Sa shpesh përdoruesit rifutin një kod? Në çdo hyrje, ose një herë për pajisje për 30 ditë ("mbaj mend këtë pajisje").
3. Cilat veprime kërkojnë kontroll të ri? Ndryshimi i email-it, të dhënat e pagesave ose çaktivizimi i 2FA janë kandidatë të mirë. Quhet autentikim me hap shtesë (step-up authentication).
4. Cili është procesi për telefonin e humbur? Kodet e rikuperimit, plus një rezervë manuale që je i gatshëm ta zbatosh.

Hap pas hapi: 2FA me TOTP në hyrjen tënde

1. Ruaj fushat e duhura

Çdo përdoruesi i duhen: nëse 2FA është aktive, sekreti TOTP (i enkriptuar në ruajtje, jo tekst i thjeshtë), koha kur u aktivizua, dhe një listë kodesh rikuperimi të ruajtur të hash-uar, si fjalëkalimet. Shto një vend për të numëruar tentativat e dështuara.

2. Regjistrimi

1. Përdoruesi hap Cilësimet dhe klikon Ndiz verifikimin me dy faktorë.
2. Serveri gjeneron një sekret të ri dhe e kthen si kod QR, plus versionin me tekst për ata që nuk mund të skanojnë.
3. Përdoruesi e skanon në një aplikacion autentikimi dhe shkruan kodin aktual.
4. Serveri e kontrollon kodin. Vetëm nëse është i saktë, e ruan sekretin dhe e shënon 2FA si aktive.
5. Aplikacioni shfaq 8–10 kode rikuperimi një herë dhe i kërkon përdoruesit t'i ruajë.

Hapi 4 ka rëndësi: ndezja e 2FA përpara konfirmimit të një kodi bllokon këdo që skanimi i tij dështoi.

3. Hyrja me një hap të dytë

1. Përdoruesi dërgon email-in dhe fjalëkalimin. Serveri i kontrollon.
2. Nëse 2FA është aktive, serveri nuk krijon një sesion të plotë. Në vend të kësaj krijon një gjendje të shkurtër "faktori i dytë në pritje".
3. Aplikacioni shfaq ekranin e kodit. Serveri e kontrollon kodin, duke lejuar një dritare të vogël për zhvendosjen e orës.
4. Vetëm tani serveri lëshon sesionin e vërtetë.

Çdo rrugë e mbrojtur dhe çdo endpoint API duhet ta refuzojë gjendjen në pritje. Një ekran 2FA që vetëm fsheh faqet në shfletues mund të kapërcehet duke thirrur API-në direkt.

4. Kufijtë dhe alarmet

Një kod me gjashtë shifra ka një milion kombinime, që hamendësohet pa kufij. Kufizo tentativat, blloko hapin e dytë për një periudhë pas dështimeve të përsëritura, dhe dërgo email përdoruesit kur ndodh kjo. Shiko kufizimin e shpejtësisë dhe dërgimin e email-eve nga aplikacioni yt.

5. Rikuperimi dhe çaktivizimi

• Një kod rikuperimi funksionon një herë, pastaj fshihet.
• Çaktivizimi i 2FA kërkon fjalëkalimin dhe një kod aktual ose kod rikuperimi.
• Rigjenerimi i kodeve të rikuperimit anulon grupin e vjetër.
• Dërgo email përdoruesit sa herë 2FA ndizet ose fikët.

Prompte për ndërtuesin tënd me AI

Fillo me rrjedhën bazë:

Shto verifikim me dy faktorë opsional me aplikacione autentikimi (TOTP) në hyrjen ekzistuese me email dhe fjalëkalim. Përdor një bibliotekë TOTP të njohur, mos e shkruaj vetë algoritmin. Në Cilësimet, shfaq një kod QR dhe sekretin me tekst, dhe aktivizo 2FA vetëm pasi përdoruesi shkruan një kod të vlefshëm. Ruaje sekretin të enkriptuar dhe mos e shfaq më pas konfigurimit. Shfaq 10 kode rikuperimi me përdorim të vetëm një herë dhe ruaji të hash-uara.

Pastaj zbatimi, ku kodi i gjeneruar shpesh dështon më së shumti:

Zbato 2FA në server. Pas një fjalëkalimi të saktë, përdoruesit me 2FA aktive marrin një gjendje në pritje me jetëgjatësi të shkurtër, jo një sesion të plotë. Çdo faqe e mbrojtur dhe çdo rrugë API duhet ta refuzojë gjendjen në pritje. Kufizo tentativat e kodit në 5, pastaj blloko hapin e dytë për 15 minuta dhe dërgo email përdoruesit.

Pastaj politika:

Kërko 2FA për llogaritë admin: një admin pa 2FA dërgohet te konfigurimi dhe nuk mund ta arrijë panelin deri sa ta përfundojë. Kërko fjalëkalimin dhe një kod aktual për ta çaktivizuar 2FA ose për ta ndryshuar email-in e llogarisë. Dërgo email përdoruesit kur 2FA aktivizohet ose çaktivizohet.

Në fund, kërko nga agjenti të shpjegojë çfarë ndërtoi:

Listo çdo rrugë që kontrollon për një faktor të dytë të përfunduar, ku ruhen sekreti TOTP dhe kodet e rikuperimit, dhe si mbrohen.

Gabime të zakonshme

• Sesioni i lëshuar pas fjalëkalimit. Gabimi më serioz. Nëse sesioni i plotë ekziston para se të kontrollohet kodi, 2FA është vetëm dekor. Testo duke thirrur një API të mbrojtur vetëm pas hapit të fjalëkalimit.
• Pa kufi tentativash. Hamendësimet e pakufizuara e bëjnë kodin të thyhet me forcë brutale.
• Sekrete ose kode rikuperimi në tekst të thjeshtë. Një rrjedhje e bazës së të dhënave atëherë i jep çdo faktorin e dytë të gjithëve.
• Aktivizimi përpara verifikimit. Përdoruesit që skanuan gabim bllokohen në hyrjen e radhës.
• Pa rrugë rikuperimi. Çdo telefon i humbur bëhet një kërkesë mbështetjeje ose një klient i humbur.
• Çaktivizim i lehtë. Nëse një sesion i vjedhur mund ta çaktivizojë 2FA pa kod, mbrojtja humbet.
• Kode në regjistra. Sigurohu që kodet dhe sekretet të mos shfaqen kurrë në regjistrat e serverit ose në mesazhet e gabimeve.
• Kontrollimi vetëm në faqen e hyrjes. Rivendosja e fjalëkalimit, hyrja me "magic link" dhe çdo hyrje sociale duhet ta respektojnë 2FA gjithashtu, përndryshe bëhen një rrugë për ta anashkaluar.

Lista e testimit

• Regjistrimi përfundon vetëm pas një kodi të vlefshëm
• Hyrja me fjalëkalim të saktë por pa kod nuk jep akses në asnjë faqe ose API të mbrojtur
• Një kod i gabuar refuzohet; tentativat e përsëritura të gabuara shkaktojnë bllokimin dhe një email
• Një kod nga disa minuta më parë refuzohet
• Çdo kod rikuperimi funksionon saktësisht një herë
• Çaktivizimi i 2FA kërkon fjalëkalimin dhe një kod aktual
• Rivendosja e fjalëkalimit nuk e anashkalon 2FA
• Adminët pa 2FA nuk mund të arrijnë faqet admin (nëse kërkohet)
• Sekretet dhe kodet e rikuperimit janë të enkriptuara ose të hash-uara në bazën e të dhënave
• Asnjë kod ose sekret nuk shfaqet në regjistra

Kryej gjithashtu listën e plotë të sigurisë për aplikacionet e ndërtuara me AI para lansimit.

Shtimi i 2FA në Mythex

Mythex nuk përfshin një sistem hyrjeje të integruar për përdoruesit fundorë të aplikacionit tënd, kështu që 2FA është pjesë e çfarëdo qasjeje autentikimi që zgjedh: hyrjen tënde me email dhe fjalëkalim duke përdorur bazën e të dhënave të projektit, ose një ofrues të hostuar me mbështetje për shumë-faktor. Përshkruan atë që do në chat me prompte si ato më sipër, dhe çelësat e çdo ofruesi shkojnë te sekretet e projektit (përmes /secrets, cilësimeve të projektit ose kartës së sekreteve që agjenti shfaq) dhe jo në kutinë e mesazhit. Recepti i dokumentacionit Shto hyrje në llogari në aplikacionin tënd ka një prompt fillestar, dhe Siguria për aplikacionet që ndërton mbulon zakonet rreth çelësave dhe lejeve. Pasi agjenti të përfundojë, testo çdo pikë të listës në Preview përpara se të publikosh.

Pyetje