உங்கள் ஆப்பில் Two-Factor Authentication-ஐ எப்படி சேர்ப்பது

உங்கள் ஆப்பில் two-factor authentication (2FA) சேர்க்க, பயனர்கள் QR code-ஐ ஸ்கேன் செய்து authenticator app-ஐ இணைக்கட்டும், கடவுச்சொல்லுக்குப் பின் அது காட்டும் ஆறு இலக்க code-ஐக் கேளுங்கள், அந்த code சரியென உறுதியான பின்னரே சர்வரில் முழு session-ஐ உருவாக்குங்கள். அதை இயக்கும்போது ஒவ்வொரு பயனருக்கும் ஒரு முறை மட்டும் பயன்படும் மீட்புக் குறியீடுகளை கொடுங்கள், யாராவது எத்தனை codes-ஐ யூகிக்க முடியும் என்பதை வரம்பிடுங்கள், 2FA-ஐ அணைப்பதற்கு முன் கடவுச்சொல்லும் தற்போதைய code-உம் தேவை என்று கேளுங்கள். நீங்கள் hosted auth provider பயன்படுத்தினால், உங்களுடையதை உருவாக்குவதற்கு பதிலாக அதன் உள்ளமைந்த multi-factor விருப்பத்தை இயக்குங்கள்.

இந்த வழிகாட்டி தேர்வுகள், சரியான ஓட்டம், AI builder-க்குக் கொடுக்கக்கூடிய prompts, 2FA இருப்பது போலத் தோன்றி எதுவும் செய்யாமல் போக வைக்கும் தவறுகளை விளக்குகிறது. கருத்து புதியதாக இருந்தால், two-factor authentication என்றால் என்ன என்பதில் தொடங்குங்கள்.

தொடங்கும் முன்: வேலை செய்யும் login தேவை

2FA ஏற்கனவே உள்ள sign-in-இன் மேல் அமர்கிறது. இவற்றில் ஒன்று முதலில் தேவை:

• உங்கள் சொந்த login, பயனர்களும் hashed கடவுச்சொற்களும் உங்கள் ஆப்பின் database-இல் சேமிக்கப்பட்டவை.
• ஒரு hosted auth provider, அது பயனர்களை உங்களுக்காக நிர்வகிக்கிறது.

இவை இரண்டும் உங்களிடம் இல்லையென்றால், உங்கள் ஆப்பில் login சேர்ப்பது எப்படி என்பதில் தொடங்குங்கள். இந்த வழிகாட்டியின் மீதமுள்ளது கடவுச்சொல் படி ஏற்கனவே வேலை செய்கிறது என்று கருதுகிறது.

உங்கள் இரண்டாம் காரணியைத் தேர்ந்தெடுக்கவும்

TOTP என்பது time-based one-time password, authenticator apps பயன்படுத்தும் நிலையான தரம் (RFC 6238). உங்கள் சர்வரும் பயனரின் தொலைபேசியும் ஒரு secret-ஐப் பகிர்கின்றன; ஒவ்வொன்றும் அந்த secret-உம் தற்போதைய நேரமும் கொண்டு ஒரே குறுகிய code-ஐ உருவாக்குகின்றன, பொதுவாக ஒவ்வொரு 30 வினாடிக்கும் மாறும். network இணைப்போ SMS provider-ஓ தேவையில்லை.

Passkeys கடவுச்சொற்களுக்குப் பதிலாக அல்லது அவற்றோடு பயனரின் சாதனத்தில் சேமிக்கப்பட்ட ஒரு cryptographic key-ஐப் பயன்படுத்துகின்றன. அவை வலுவானவை, ஆனால் நீங்களே உருவாக்க அதிக வேலை தேவை, எனவே பல ஆப்கள் TOTP-இல் தொடங்கி பின்னர் passkeys-ஐச் சேர்க்கின்றன, அல்லது ஒரு auth provider-இலிருந்து பெறுகின்றன.

உருவாக்கவா அல்லது இயக்கவா?

எந்த factors-ஐ ஆதரிக்கிறது, எந்தத் திட்டங்களில் என்பதற்கு உங்கள் provider-இன் தற்போதைய ஆவணத்தைச் சரிபாருங்கள். எப்படியிருந்தாலும், code உருவாக்கும் கணிதத்தை நீங்களே ஒருபோதும் எழுதாதீர்கள்; பரவலாகப் பயன்படுத்தப்படும் library-ஐப் பயன்படுத்துங்கள்.

முதலில் கொள்கையை முடிவு செய்யுங்கள்

prompt செய்வதற்கு முன் இவற்றுக்குப் பதில் சொல்லுங்கள், ஏனெனில் அவை வடிவமைப்பை மாற்றுகின்றன:

1. யார் இதைப் பயன்படுத்த வேண்டும்? அனைவருக்கும் விருப்பத்தேர்வு, admins மற்றும் ஊழியர்களுக்கு கட்டாயம், அல்லது அனைவருக்கும் கட்டாயம். admin அதிகாரம் உள்ள எவருக்கும் கட்டாயமாக்குவது பொதுவானது. role-based access control பார்க்கவும்.
2. பயனர்கள் எத்தனை முறை code-ஐ மீண்டும் உள்ளிடுகிறார்கள்? ஒவ்வொரு login-இலும், அல்லது 30 நாட்களுக்கு ஒரு சாதனத்திற்கு ஒரு முறை ("இந்த சாதனத்தை நினைவில் வை").
3. எந்தச் செயல்களுக்குப் புதிய சோதனை தேவை? email மாற்றுவது, payout விவரங்கள், அல்லது 2FA-ஐ அணைப்பது நல்ல வேட்பாளர்கள். இது step-up authentication எனப்படுகிறது.
4. தொலைபேசி தொலைந்த செயல்முறை என்ன? மீட்புக் குறியீடுகள், நீங்கள் நடத்தத் தயாராக உள்ள ஒரு கைமுறை மாற்று வழியுடன்.

படிப்படியாக: உங்கள் சொந்த login-இல் TOTP 2FA

1. சரியான fields-ஐச் சேமிக்கவும்

ஒவ்வொரு பயனருக்கும் தேவை: 2FA இயக்கத்தில் உள்ளதா, TOTP secret (சேமிப்பில் குறியாக்கம் செய்யப்பட்டது, சாதா உரையில் அல்ல), இயக்கப்பட்ட நேரம், மற்றும் மீட்புக் குறியீடுகளின் பட்டியல் hashed ஆக, கடவுச்சொற்களைப் போல. தோல்வியடைந்த முயற்சிகளை எண்ணுவதற்கு ஓரிடத்தையும் சேருங்கள்.

2. பதிவு செய்தல்

1. பயனர் Settings-ஐத் திறந்து Turn on two-factor authentication என்பதைக் கிளிக் செய்கிறார்.
2. சர்வர் ஒரு புதிய secret-ஐ உருவாக்கி அதை QR code-ஆகத் திருப்புகிறது, ஸ்கேன் செய்ய முடியாதவர்களுக்கு உரை பதிப்புடன்.
3. பயனர் அதை ஒரு authenticator app-இல் ஸ்கேன் செய்து தற்போதைய code-ஐத் தட்டச்சு செய்கிறார்.
4. சர்வர் code-ஐச் சரிபார்க்கிறது. அது சரியாக இருந்தால் மட்டுமே secret-ஐச் சேமித்து 2FA இயக்கத்தில் உள்ளதாகக் குறிக்கிறது.
5. ஆப் 8–10 மீட்புக் குறியீடுகளை ஒரு முறை மட்டும் காட்டி, பயனரை அவற்றைச் சேமிக்கச் சொல்கிறது.

படி 4 முக்கியமானது: code-ஐ உறுதி செய்வதற்கு முன் 2FA-ஐ இயக்கினால், ஸ்கேன் தவறியவர்கள் அனைவரும் பூட்டப்படுவார்கள்.

3. இரண்டாம் படியுடன் login

1. பயனர் email மற்றும் கடவுச்சொல்லைச் சமர்ப்பிக்கிறார். சர்வர் அவற்றைச் சரிபார்க்கிறது.
2. 2FA இயக்கத்தில் இருந்தால், சர்வர் முழு session-ஐ உருவாக்காது. அதற்கு பதிலாக குறுகிய கால "இரண்டாம் காரணி நிலுவையில்" நிலையை உருவாக்குகிறது.
3. ஆப் code திரையைக் காட்டுகிறது. சர்வர் code-ஐச் சரிபார்க்கிறது, கடிகார விலகலுக்கு ஒரு சிறிய சாளரம் அனுமதித்து.
4. இப்போதுதான் சர்வர் உண்மையான session-ஐ வழங்குகிறது.

ஒவ்வொரு பாதுகாக்கப்பட்ட route மற்றும் API endpoint-உம் நிலுவை நிலையை நிராகரிக்க வேண்டும். உலாவியில் மட்டும் பக்கங்களை மறைக்கும் 2FA திரையை, API-ஐ நேரடியாக அழைப்பதன் மூலம் தவிர்த்துவிடலாம்.

4. வரம்புகளும் எச்சரிக்கைகளும்

ஆறு இலக்க code-க்கு பத்து லட்சம் சேர்க்கைகள் உள்ளன, வரம்புகள் இல்லாமல் அதை யூகிக்க முடியும். முயற்சிகளை வரம்பிடுங்கள், திரும்பத் திரும்பத் தோல்விகளுக்குப் பின் இரண்டாம் படியை ஒரு காலத்திற்குப் பூட்டுங்கள், அது நிகழும்போது பயனருக்கு email அனுப்புங்கள். rate limiting மற்றும் உங்கள் ஆப்பிலிருந்து emails அனுப்புவது பார்க்கவும்.

5. மீட்பு மற்றும் அணைத்தல்

• ஒரு மீட்புக் குறியீடு ஒரு முறை வேலை செய்கிறது, பிறகு நீக்கப்படுகிறது.
• 2FA-ஐ அணைக்க கடவுச்சொல் மற்றும் தற்போதைய code அல்லது மீட்புக் குறியீடு தேவை.
• மீட்புக் குறியீடுகளை மீண்டும் உருவாக்குவது பழைய தொகுப்பை செல்லாததாக்குகிறது.
• 2FA இயக்கப்படும் அல்லது அணைக்கப்படும் போதெல்லாம் பயனருக்கு email அனுப்புங்கள்.

உங்கள் AI builder-க்குக் கொடுக்க வேண்டிய prompts

முக்கிய ஓட்டத்துடன் தொடங்குங்கள்:

எங்கள் இருக்கும் email மற்றும் கடவுச்சொல் login-இல் authenticator apps (TOTP) மூலம் விருப்பத்தேர்வு two-factor authentication-ஐச் சேர்க்கவும். நன்கு அறியப்பட்ட TOTP library-ஐப் பயன்படுத்தவும், algorithm-ஐ நீங்களே எழுத வேண்டாம். Settings-இல் QR code-ஐயும் உரை secret-ஐயும் காட்டவும், பயனர் சரியான code-ஐ உள்ளிட்ட பின்னரே 2FA-ஐ இயக்கவும். secret-ஐ குறியாக்கம் செய்து சேமிக்கவும், அமைப்புக்குப் பிறகு அதை மீண்டும் ஒருபோதும் காட்டாதீர்கள். 10 ஒரு-முறை மீட்புக் குறியீடுகளை ஒரு முறை மட்டும் காட்டி, அவற்றை hashed ஆகச் சேமிக்கவும்.

பின்னர் அமலாக்கம், இங்குதான் உருவாக்கப்பட்ட code அடிக்கடி குறைகிறது:

சர்வரில் 2FA-ஐ அமல்படுத்தவும். சரியான கடவுச்சொல்லுக்குப் பின், 2FA இயக்கத்தில் உள்ள பயனர்களுக்கு முழு session அல்ல, குறுகிய கால நிலுவை நிலை வழங்கவும். ஒவ்வொரு பாதுகாக்கப்பட்ட பக்கமும் API route-உம் நிலுவை நிலையை நிராகரிக்க வேண்டும். code முயற்சிகளை 5 ஆக வரம்பிடவும், பிறகு இரண்டாம் படியை 15 நிமிடங்களுக்குப் பூட்டி பயனருக்கு email அனுப்பவும்.

பின்னர் கொள்கை:

admin கணக்குகளுக்கு 2FA-ஐ கட்டாயமாக்கவும்: 2FA இல்லாத admin அமைப்புக்கு அனுப்பப்பட்டு, அது முடியும் வரை dashboard-ஐ அடைய முடியாது. 2FA-ஐ அணைக்க அல்லது கணக்கின் email-ஐ மாற்ற கடவுச்சொல்லும் தற்போதைய code-உம் தேவை. 2FA இயக்கப்படும் அல்லது அணைக்கப்படும் போதெல்லாம் பயனருக்கு email அனுப்பவும்.

இறுதியாக, முகவர் உருவாக்கியதை விளக்கச் சொல்லுங்கள்:

முழுமையான இரண்டாம் காரணியைச் சரிபார்க்கும் ஒவ்வொரு route-ஐயும், TOTP secret மற்றும் மீட்புக் குறியீடுகள் எங்கு சேமிக்கப்படுகின்றன, அவை எப்படிப் பாதுகாக்கப்படுகின்றன என்பதையும் பட்டியலிடவும்.

பொதுவான தவறுகள்

• கடவுச்சொல்லுக்குப் பின் session வழங்குவது. மிகக் கடுமையான பிழை. code சரிபார்க்கப்படுவதற்கு முன் முழு session இருந்தால், 2FA வெறும் அலங்காரம். கடவுச்சொல் படிக்குப் பின் மட்டும் ஒரு பாதுகாக்கப்பட்ட API-ஐ அழைத்துச் சோதியுங்கள்.
• முயற்சி வரம்பு இல்லாதது. வரம்பற்ற யூகங்கள் code-ஐ brute-force செய்ய வைக்கின்றன.
• சாதா உரை secrets அல்லது மீட்புக் குறியீடுகள். database கசிந்தால் அனைவரின் இரண்டாம் காரணியும் வெளிப்படும்.
• சரிபார்ப்பதற்கு முன் இயக்குவது. தவறாக ஸ்கேன் செய்த பயனர்கள் அடுத்த login-இல் பூட்டப்படுவார்கள்.
• மீட்புப் பாதை இல்லாதது. தொலைந்த ஒவ்வொரு தொலைபேசியும் ஒரு support டிக்கெட் அல்லது இழந்த வாடிக்கையாளராக மாறும்.
• எளிதான அணைப்பு. திருடப்பட்ட session code இல்லாமல் 2FA-ஐ அணைக்க முடிந்தால், பாதுகாப்பு போய்விடும்.
• logs-இல் codes. codes மற்றும் secrets சர்வர் logs அல்லது பிழை செய்திகளில் ஒருபோதும் தோன்றாமல் பார்த்துக்கொள்ளுங்கள்.
• login பக்கத்தில் மட்டும் சரிபார்ப்பது. கடவுச்சொல் மீட்டமைத்தல், "magic link" sign-in மற்றும் எந்த social login-உம் 2FA-ஐயும் மதிக்க வேண்டும், இல்லையெனில் அவை அதைத் தவிர்க்கும் வழியாகிவிடும்.

Testing checklist

• சரியான code-க்குப் பின்னரே பதிவு நிறைவடைகிறது
• சரியான கடவுச்சொல் ஆனால் code இல்லாமல் login செய்தால் எந்தப் பாதுகாக்கப்பட்ட பக்கம் அல்லது API-க்கும் அணுகல் கிடைக்காது
• தவறான code நிராகரிக்கப்படுகிறது; திரும்பத் திரும்ப தவறான codes பூட்டுதலையும் email-ஐயும் தூண்டுகின்றன
• சில நிமிடங்களுக்கு முந்தைய code நிராகரிக்கப்படுகிறது
• ஒவ்வொரு மீட்புக் குறியீடும் சரியாக ஒரு முறை மட்டும் வேலை செய்கிறது
• 2FA-ஐ அணைக்க கடவுச்சொல் மற்றும் தற்போதைய code தேவை
• கடவுச்சொல் மீட்டமைத்தல் 2FA-ஐத் தவிர்க்காது
• 2FA இல்லாத admins admin பக்கங்களை அடைய முடியாது (தேவைப்பட்டால்)
• secrets மற்றும் மீட்புக் குறியீடுகள் database-இல் குறியாக்கம் செய்யப்பட்டோ hashed ஆகவோ உள்ளன
• logs-இல் எந்த codes அல்லது secrets-உம் தோன்றுவதில்லை

வெளியிடுவதற்கு முன் AI-built ஆப்களுக்கான பாதுகாப்புப் பட்டியல் முழுவதையும் இயக்குங்கள்.

Mythex-இல் 2FA சேர்ப்பது

Mythex உங்கள் ஆப்பின் இறுதிப் பயனர்களுக்கு உள்ளமைந்த login அமைப்பை உள்ளடக்குவதில்லை, எனவே 2FA நீங்கள் தேர்ந்தெடுக்கும் authentication அணுகுமுறையின் ஒரு பகுதி: திட்டத்தின் database-ஐப் பயன்படுத்தும் உங்கள் சொந்த email-மற்றும்-கடவுச்சொல் login, அல்லது multi-factor ஆதரவு கொண்ட hosted provider. மேலே உள்ளது போன்ற prompts-ஐப் பயன்படுத்தி chat-இல் நீங்கள் விரும்புவதை விவரிக்கிறீர்கள், எந்த provider keys-உம் செய்தி பெட்டியில் அல்ல, திட்ட secrets-இல் (/secrets, project settings அல்லது முகவர் காட்டும் secrets அட்டை மூலம்) செல்ல வேண்டும். ஆவணங்களின் உங்கள் ஆப்பில் login சேர்க்கவும் செய்முறையில் ஒரு தொடக்க prompt உள்ளது, மேலும் நீங்கள் உருவாக்கும் ஆப்களுக்கான பாதுகாப்பு keys மற்றும் அனுமதிகளைச் சுற்றியுள்ள பழக்கங்களை உள்ளடக்குகிறது. முகவர் முடித்த பின், publish செய்வதற்கு முன் Preview-இல் சரிபட்டியலின் ஒவ்வொரு உருப்படியையும் சோதியுங்கள்.

கேள்விகள்