Jinsi ya Kuongeza Uthibitishaji wa Hatua Mbili kwenye App Yako

Ili kuongeza uthibitishaji wa hatua mbili (2FA) kwenye app yako, ruhusu watumiaji waunganishe app ya authenticator kwa kuskani msimbo wa QR, uombe msimbo wa tarakimu sita inaoonyesha baada ya nenosiri, na uunde session kamili kwenye seva mara tu msimbo huo unapothibitika. Mpe kila mtumiaji misimbo ya urejeshaji ya matumizi moja anapoiwasha, punguza idadi ya misimbo ambayo mtu anaweza kukisia, na uhitaji nenosiri pamoja na msimbo wa sasa kabla 2FA haijazimwa. Ukitumia mtoa huduma wa auth anayeendeshwa, washa chaguo lake la multi-factor lililojengwa ndani badala ya kujenga lako.

Mwongozo huu unapitia chaguo, mtiririko kamili, maagizo unayoweza kumpa mjenzi wa AI, na makosa yanayofanya 2FA ionekane ipo lakini isifanye chochote. Ikiwa dhana ni mpya kwako, anza na uthibitishaji wa hatua mbili ni nini.

Kabla ya kuanza: unahitaji login inayofanya kazi

2FA inakaa juu ya kuingia kulikopo. Unahitaji mojawapo ya hizi kwanza:

• Login yako mwenyewe, yenye watumiaji na nenosiri zilizosimbwa zimehifadhiwa kwenye database ya app yako.
• Mtoa huduma wa auth anayeendeshwa anayesimamia watumiaji kwa niaba yako.

Ikiwa bado huna hata moja, anza na jinsi ya kuongeza login kwenye app yako. Sehemu iliyobaki ya mwongozo huu inadhani hatua ya nenosiri tayari inafanya kazi.

Chagua kipengele chako cha pili

TOTP inasimama kwa time-based one-time password, kiwango cha kawaida (RFC 6238) ambacho apps za authenticator zinakitumia. Seva yako na simu ya mtumiaji zinashiriki siri; kila moja inazalisha msimbo mfupi uleule kutoka kwenye siri hiyo na muda wa sasa, kwa kawaida ukibadilika kila sekunde 30. Hakuna muunganisho wa mtandao wala mtoa huduma wa SMS unaohitajika.

Passkeys zinabadilisha au kuongeza nenosiri kwa ufunguo wa kriptografia uliohifadhiwa kwenye kifaa cha mtumiaji. Ni imara zaidi lakini zinahitaji kazi zaidi kujengwa mwenyewe, kwa hiyo app nyingi huanza na TOTP kisha huongeza passkeys baadaye, au kuzipata kutoka kwa mtoa huduma wa auth.

Ujenge mwenyewe au uwashe?

Kagua nyaraka za sasa za mtoa huduma wako kujua ni vipengele gani anavyounga mkono na kwenye mipango ipi. Kwa vyovyote vile, usiandike mwenyewe hesabu ya kuzalisha msimbo; tumia maktaba inayotumika sana.

Amua sera kwanza

Jibu haya kabla ya kuomba, kwa sababu yanabadilisha muundo:

1. Nani lazima atumie? Hiari kwa kila mtu, inahitajika kwa admins na wafanyakazi, au inahitajika kwa wote. Kuhitaji kwa yeyote mwenye nguvu za admin ni jambo la kawaida. Angalia role-based access control.
2. Watumiaji wanaingiza msimbo mara ngapi? Kila kuingia, au mara moja kwa kila kifaa kwa siku 30 ("kumbuka kifaa hiki").
3. Vitendo gani vinahitaji ukaguzi mpya? Kubadilisha barua pepe, maelezo ya malipo, au kuzima 2FA ni wagombea wazuri. Hii inaitwa step-up authentication.
4. Mchakato wa simu iliyopotea ni upi? Misimbo ya urejeshaji, pamoja na njia ya akiba ya mkono unayokubali kuiendesha.

Hatua kwa hatua: 2FA ya TOTP kwenye login yako mwenyewe

1. Hifadhi sehemu sahihi

Kila mtumiaji anahitaji: kama 2FA imewashwa, siri ya TOTP (iliyosimbwa wakati imehifadhiwa, si maandishi wazi), muda ilipowashwa, na orodha ya misimbo ya urejeshaji iliyohifadhiwa kwa hash, kama nenosiri. Ongeza mahali pa kuhesabu majaribio yaliyoshindwa.

2. Usajili

1. Mtumiaji anafungua Settings na kubofya Washa uthibitishaji wa hatua mbili.
2. Seva inazalisha siri mpya na kuirudisha kama msimbo wa QR, pamoja na toleo la maandishi kwa watu wasioweza kuskani.
3. Mtumiaji anaiskani kwenye app ya authenticator na kuandika msimbo wa sasa.
4. Seva inakagua msimbo. Ni kama ni sahihi tu ndipo inahifadhi siri na kuweka 2FA kuwa imewashwa.
5. App inaonyesha misimbo 8–10 ya urejeshaji mara moja tu na kumwomba mtumiaji aihifadhi.

Hatua ya 4 ni muhimu: kuwasha 2FA kabla ya kuthibitisha msimbo kunafungia nje yeyote ambaye skani yake ilishindwa.

3. Kuingia kwa hatua ya pili

1. Mtumiaji anawasilisha barua pepe na nenosiri. Seva inavikagua.
2. Ikiwa 2FA imewashwa, seva haiundi session kamili. Badala yake inaunda hali ya muda mfupi ya "kipengele cha pili kinasubiri".
3. App inaonyesha skrini ya msimbo. Seva inakagua msimbo, ikiruhusu dirisha dogo kwa tofauti ya saa.
4. Ndipo tu seva inatoa session halisi.

Kila route iliyolindwa na kila endpoint ya API lazima ikatae hali ya "inasubiri". Skrini ya 2FA inayoficha kurasa kwenye browser pekee inaweza kuruka kwa kuita API moja kwa moja.

4. Vikomo na tahadhari

Msimbo wa tarakimu sita una michanganyiko milioni, ambayo inaweza kukisiwa bila vikomo. Weka kikomo cha majaribio, funga hatua ya pili kwa muda baada ya kushindwa mara kwa mara, na tuma barua pepe kwa mtumiaji tukio hilo linapotokea. Angalia rate limiting na kutuma barua pepe kutoka kwenye app yako.

5. Urejeshaji na kuzima

• Msimbo wa urejeshaji unafanya kazi mara moja, kisha unafutwa.
• Kuzima 2FA kunahitaji nenosiri na msimbo wa sasa au msimbo wa urejeshaji.
• Kutengeneza upya misimbo ya urejeshaji kunabatilisha seti ya zamani.
• Tuma barua pepe kwa mtumiaji kila 2FA inapowashwa au kuzimwa.

Maagizo ya kumpa mjenzi wako wa AI

Anza na mtiririko mkuu:

Ongeza uthibitishaji wa hatua mbili wa hiari kwa kutumia app za authenticator (TOTP) kwenye login yetu iliyopo ya barua pepe na nenosiri. Tumia maktaba ya TOTP inayojulikana, usiandike algorithm mwenyewe. Kwenye Settings, onyesha msimbo wa QR na siri ya maandishi, na uwashe 2FA tu baada ya mtumiaji kuandika msimbo halali. Hifadhi siri kwa usimbaji na usiionyeshe tena baada ya usanidi. Onyesha misimbo 10 ya urejeshaji ya matumizi moja mara moja, na uihifadhi kwa hash.

Kisha utekelezaji, ambapo msimbo uliozalishwa mara nyingi hupungukiwa:

Tekeleza 2FA kwenye seva. Baada ya nenosiri sahihi, watumiaji wenye 2FA wanapata hali ya muda mfupi inayosubiri, si session kamili. Kila ukurasa na kila route ya API iliyolindwa lazima ikatae hali inayosubiri. Punguza majaribio ya msimbo hadi 5, kisha funga hatua ya pili kwa dakika 15 na utume barua pepe kwa mtumiaji.

Kisha sera:

Hitaji 2FA kwa akaunti za admin: admin asiye na 2FA anapelekwa kwenye usanidi na hawezi kufikia dashibodi hadi amalize. Hitaji nenosiri na msimbo wa sasa ili kuzima 2FA au kubadilisha barua pepe ya akaunti. Tuma barua pepe kwa mtumiaji 2FA inapowashwa au kuzimwa.

Mwisho, mwombe wakala aeleze alichojenga:

Orodhesha kila route inayokagua kama kipengele cha pili kimekamilika, mahali siri ya TOTP na misimbo ya urejeshaji zinapohifadhiwa, na jinsi zinavyolindwa.

Makosa ya kawaida

• Session kutolewa baada ya nenosiri. Hili ndilo kosa zito zaidi. Ikiwa session kamili ipo kabla msimbo haujakaguliwa, 2FA ni mapambo tu. Jaribu kwa kuita API iliyolindwa baada ya hatua ya nenosiri pekee.
• Hakuna kikomo cha majaribio. Makisio yasiyo na kikomo yanafanya msimbo uweze kuvunjwa kwa nguvu.
• Siri au misimbo ya urejeshaji ya maandishi wazi. Database ikivuja, kila mtu anapata kipengele chake cha pili.
• Kuwezesha kabla ya kuthibitisha. Watumiaji waliokosea skani wanafungiwa nje kwenye kuingia kunakofuata.
• Hakuna njia ya urejeshaji. Kila simu iliyopotea inakuwa tiketi ya usaidizi au mteja aliyepotea.
• Kuzima kwa urahisi. Ikiwa session iliyoibiwa inaweza kuzima 2FA bila msimbo, ulinzi umepotea.
• Msimbo kwenye logs. Hakikisha misimbo na siri hazionekani kamwe kwenye logs za seva au ujumbe wa makosa.
• Kukagua kwenye ukurasa wa kuingia pekee. Kurejesha nenosiri, kuingia kwa "magic link" na login ya mitandao ya kijamii lazima pia viheshimu 2FA, la sivyo vinakuwa njia ya kuzunguka.

Orodha ya majaribio

• Usajili unakamilika tu baada ya msimbo halali
• Kuingia kwa nenosiri sahihi bila msimbo hakutoi ufikiaji wa ukurasa wowote au API iliyolindwa
• Msimbo mbaya unakataliwa; majaribio mabaya yanayorudiwa yanaanzisha kufungiwa na barua pepe
• Msimbo wa dakika chache zilizopita unakataliwa
• Kila msimbo wa urejeshaji unafanya kazi mara moja tu
• Kuzima 2FA kunahitaji nenosiri na msimbo wa sasa
• Kurejesha nenosiri hakupiti 2FA
• Admins wasio na 2FA hawawezi kufikia kurasa za admin (ikihitajika)
• Siri na misimbo ya urejeshaji vimesimbwa au vimewekwa hash kwenye database
• Hakuna msimbo au siri inayoonekana kwenye logs

Fanya pia orodha kamili ya usalama kwa app zilizojengwa na AI kabla ya kuzindua.

Kuongeza 2FA kwenye Mythex

Mythex haijumuishi mfumo uliojengwa ndani wa login kwa watumiaji wa mwisho wa app yako, kwa hiyo 2FA ni sehemu ya mbinu yoyote ya auth utakayochagua: login yako ya barua pepe na nenosiri kwa kutumia database ya mradi, au mtoa huduma anayeendeshwa mwenye msaada wa multi-factor. Unaeleza unachotaka kwenye chat kwa kutumia maagizo kama hapo juu, na funguo zozote za mtoa huduma zinaenda kwenye siri za mradi (kupitia /secrets, mipangilio ya mradi au kadi ya siri ambayo wakala anaionyesha) badala ya kuwekwa kwenye kisanduku cha ujumbe. Mapishi ya nyaraka Ongeza login kwenye app yako yana maagizo ya kuanzia, na Usalama kwa apps unazojenga inashughulikia tabia kuhusu funguo na ruhusa. Baada ya wakala kumaliza, jaribu kila kipengele cha orodha kwenye Preview kabla ya kuchapisha.

Maswali