మీ యాప్‌కు రెండు-కారకాల ప్రామాణీకరణ (Two-Factor Authentication) ఎలా జోడించాలి

మీ యాప్‌కు రెండు-కారకాల ప్రామాణీకరణ (2FA) జోడించడానికి, QR కోడ్ స్కాన్ చేయడం ద్వారా వినియోగదారులు ఆథెంటికేటర్ యాప్ను లింక్ చేయనివ్వండి, పాస్‌వర్డ్ తర్వాత అది చూపే ఆరు-అంకెల కోడ్ అడగండి, మరియు ఆ కోడ్ సరిపోలిన తర్వాతే సర్వర్‌లో పూర్తి సెషన్ సృష్టించండి. వినియోగదారు దీన్ని ఆన్ చేసినప్పుడు ప్రతి ఒక్కరికీ ఒకసారి-మాత్రమే ఉపయోగించే రికవరీ కోడ్‌లు ఇవ్వండి, ఎవరైనా ఊహించగల కోడ్‌ల సంఖ్యను పరిమితం చేయండి, మరియు 2FA ఆఫ్ చేయడానికి ముందు పాస్‌వర్డ్ మరియు ప్రస్తుత కోడ్ రెండూ అడగండి. మీరు హోస్ట్ చేసిన ఆథ్ ప్రొవైడర్ వాడితే, మీ స్వంతం నిర్మించడానికి బదులుగా దాని అంతర్నిర్మిత మల్టీ-ఫ్యాక్టర్ ఎంపికను ఆన్ చేయండి.

ఈ గైడ్ ఎంపికలు, ఖచ్చితమైన ప్రవాహం, AI బిల్డర్‌కు ఇవ్వగల ప్రాంప్ట్‌లు, మరియు 2FA ఉన్నట్టు కనిపించినా ఏమీ చేయని తప్పులను వివరిస్తుంది. భావన కొత్తదైతే, రెండు-కారకాల ప్రామాణీకరణ అంటే ఏమిటి తో ప్రారంభించండి.

ముందుగా: మీకు పనిచేసే లాగిన్ అవసరం

2FA ఇప్పటికే ఉన్న సైన్-ఇన్ పైన కూర్చుంటుంది. మీకు ముందుగా వీటిలో ఒకటి అవసరం:

• మీ స్వంత లాగిన్, వినియోగదారులు మరియు హ్యాష్ చేసిన పాస్‌వర్డ్‌లు మీ యాప్ డేటాబేస్‌లో నిల్వ చేయబడినవి.
• హోస్ట్ చేసిన ఆథ్ ప్రొవైడర్, అది వినియోగదారులను మీ కోసం నిర్వహిస్తుంది.

మీకు ఇంకా ఏదీ లేకపోతే, మీ యాప్‌కు లాగిన్ ఎలా జోడించాలి తో ప్రారంభించండి. మిగతా గైడ్ పాస్‌వర్డ్ దశ ఇప్పటికే పనిచేస్తుందని భావిస్తుంది.

మీ రెండవ కారకాన్ని ఎంచుకోండి

TOTP అంటే time-based one-time password, ఆథెంటికేటర్ యాప్‌లు ఉపయోగించే ప్రమాణం (RFC 6238). మీ సర్వర్ మరియు వినియోగదారు ఫోన్ ఒక రహస్యాన్ని పంచుకుంటాయి; ప్రతి ఒక్కటి ఆ రహస్యం మరియు ప్రస్తుత సమయం నుండి అదే చిన్న కోడ్‌ను రూపొందిస్తుంది, సాధారణంగా ప్రతి 30 సెకన్లకు మారుతుంది. నెట్‌వర్క్ కనెక్షన్ లేదా SMS ప్రొవైడర్ అవసరం లేదు.

పాస్‌కీలు పాస్‌వర్డ్‌లను వినియోగదారు పరికరంలో నిల్వ చేసిన క్రిప్టోగ్రాఫిక్ కీతో భర్తీ చేస్తాయి లేదా దానికి తోడుగా ఉంటాయి. ఇవి మరింత బలమైనవి కానీ మీరే నిర్మించడానికి ఎక్కువ పని, కాబట్టి చాలా యాప్‌లు TOTPతో ప్రారంభించి, తర్వాత పాస్‌కీలు జోడిస్తాయి లేదా ఆథ్ ప్రొవైడర్ నుండి పొందుతాయి.

నిర్మించాలా లేక ఆన్ చేయాలా?

ఏ కారకాలకు మద్దతు ఉందో మరియు ఏ ప్లాన్‌లలో ఉందో మీ ప్రొవైడర్ ప్రస్తుత డాక్యుమెంటేషన్ తనిఖీ చేయండి. ఏ విధంగానైనా, కోడ్-ఉత్పత్తి గణితాన్ని మీరే ఎప్పుడూ రాయవద్దు; విస్తృతంగా ఉపయోగించే లైబ్రరీని వాడండి.

ముందుగా విధానాన్ని నిర్ణయించండి

ప్రాంప్ట్ చేయడానికి ముందు వీటికి సమాధానం ఇవ్వండి, ఎందుకంటే ఇవి డిజైన్‌ను మారుస్తాయి:

1. ఎవరు తప్పనిసరిగా ఉపయోగించాలి? అందరికీ ఐచ్ఛికం, అడ్మిన్‌లు మరియు సిబ్బందికి తప్పనిసరి, లేదా అందరికీ తప్పనిసరి. అడ్మిన్ అధికారం ఉన్న ఎవరికైనా తప్పనిసరి చేయడం సాధారణం. రోల్-ఆధారిత యాక్సెస్ కంట్రోల్ చూడండి.
2. వినియోగదారులు ఎంత తరచుగా కోడ్ మళ్లీ నమోదు చేయాలి? ప్రతి లాగిన్‌లో, లేదా 30 రోజుల పాటు ప్రతి పరికరానికి ఒకసారి ("ఈ పరికరాన్ని గుర్తుంచుకో").
3. ఏ చర్యలకు తాజా తనిఖీ అవసరం? ఇమెయిల్ మార్చడం, చెల్లింపు వివరాలు, లేదా 2FA ఆఫ్ చేయడం మంచి అభ్యర్థులు. దీన్ని step-up authentication అంటారు.
4. ఫోన్ పోగొట్టుకున్న ప్రక్రియ ఏమిటి? రికవరీ కోడ్‌లు, మరియు మీరు నడపడానికి సిద్ధంగా ఉన్న మాన్యువల్ ప్రత్యామ్నాయం.

దశలవారీగా: మీ స్వంత లాగిన్‌పై TOTP 2FA

1. సరైన ఫీల్డ్‌లను నిల్వ చేయండి

ప్రతి వినియోగదారుకు ఇవి అవసరం: 2FA ఎనేబుల్ అయిందా, TOTP రహస్యం (విశ్రాంతి స్థితిలో ఎన్‌క్రిప్ట్ చేయబడినది, సాదా టెక్స్ట్ కాదు), ఎప్పుడు ఎనేబుల్ చేశారు, మరియు రికవరీ కోడ్‌ల జాబితా హ్యాష్ చేసి నిల్వ చేయబడినది, పాస్‌వర్డ్‌ల వలె. విఫల ప్రయత్నాలను లెక్కించడానికి ఒక స్థలం జోడించండి.

2. నమోదు

1. వినియోగదారు Settings తెరిచి Turn on two-factor authentication క్లిక్ చేస్తారు.
2. సర్వర్ కొత్త రహస్యాన్ని రూపొందించి దాన్ని QR కోడ్‌గా, స్కాన్ చేయలేని వారి కోసం టెక్స్ట్ వెర్షన్‌తో కలిపి తిరిగి ఇస్తుంది.
3. వినియోగదారు ఆథెంటికేటర్ యాప్‌లో స్కాన్ చేసి ప్రస్తుత కోడ్ టైప్ చేస్తారు.
4. సర్వర్ కోడ్‌ను తనిఖీ చేస్తుంది. అది సరైనదైతేనే రహస్యాన్ని సేవ్ చేసి 2FAను ఎనేబుల్ చేసినదిగా గుర్తిస్తుంది.
5. యాప్ 8–10 రికవరీ కోడ్‌లను ఒక్కసారి చూపించి, వినియోగదారును వాటిని సేవ్ చేయమని అడుగుతుంది.

4వ దశ ముఖ్యం: కోడ్‌ను నిర్ధారించకముందే 2FA ఆన్ చేస్తే, స్కాన్ విఫలమైన ఎవరినైనా లాక్ అవుట్ చేస్తుంది.

3. రెండవ దశతో లాగిన్

1. వినియోగదారు ఇమెయిల్ మరియు పాస్‌వర్డ్ సమర్పిస్తారు. సర్వర్ వాటిని తనిఖీ చేస్తుంది.
2. 2FA ఎనేబుల్ అయి ఉంటే, సర్వర్ పూర్తి సెషన్ సృష్టించదు. బదులుగా స్వల్పకాలిక "second factor pending" స్థితిని సృష్టిస్తుంది.
3. యాప్ కోడ్ స్క్రీన్ చూపుతుంది. సర్వర్ కోడ్‌ను తనిఖీ చేస్తుంది, క్లాక్ డ్రిఫ్ట్ కోసం చిన్న విండో అనుమతిస్తూ.
4. అప్పుడే సర్వర్ నిజమైన సెషన్ ఇస్తుంది.

ప్రతి రక్షిత మార్గం మరియు API ఎండ్‌పాయింట్ pending స్థితిని తిరస్కరించాలి. బ్రౌజర్‌లో పేజీలను మాత్రమే దాచే 2FA స్క్రీన్‌ను API నేరుగా కాల్ చేయడం ద్వారా దాటవేయవచ్చు.

4. పరిమితులు మరియు హెచ్చరికలు

ఆరు-అంకెల కోడ్‌కు పది లక్షల కలయికలు ఉంటాయి, పరిమితులు లేకపోతే ఊహించగలిగేది. ప్రయత్నాలను పరిమితం చేయండి, పదే పదే విఫలమైన తర్వాత రెండవ దశను కొంతకాలం లాక్ చేయండి, మరియు అలా జరిగినప్పుడు వినియోగదారుకు ఇమెయిల్ పంపండి. రేట్ లిమిటింగ్ మరియు మీ యాప్ నుండి ఇమెయిల్‌లు పంపడం చూడండి.

5. రికవరీ మరియు ఆఫ్ చేయడం

• రికవరీ కోడ్ ఒకసారి పనిచేసి, తర్వాత తొలగించబడుతుంది.
• 2FA ఆఫ్ చేయడానికి పాస్‌వర్డ్ మరియు ప్రస్తుత కోడ్ లేదా రికవరీ కోడ్ అవసరం.
• రికవరీ కోడ్‌లను మళ్లీ రూపొందిస్తే పాత సెట్ చెల్లదు.
• 2FA ఆన్ లేదా ఆఫ్ చేసిన ప్రతిసారీ వినియోగదారుకు ఇమెయిల్ పంపండి.

మీ AI బిల్డర్‌కు ఇవ్వాల్సిన ప్రాంప్ట్‌లు

ప్రధాన ప్రవాహంతో ప్రారంభించండి:

మా ప్రస్తుత ఇమెయిల్ మరియు పాస్‌వర్డ్ లాగిన్‌కు ఆథెంటికేటర్ యాప్‌లను (TOTP) ఉపయోగించి ఐచ్ఛిక రెండు-కారకాల ప్రామాణీకరణ జోడించండి. బాగా తెలిసిన TOTP లైబ్రరీ ఉపయోగించండి, అల్గారిథమ్‌ను మీరు రాయవద్దు. Settingsలో QR కోడ్ మరియు టెక్స్ట్ రహస్యం చూపండి, మరియు వినియోగదారు చెల్లుబాటు అయ్యే కోడ్ నమోదు చేసిన తర్వాతే 2FAను ఎనేబుల్ చేయండి. రహస్యాన్ని ఎన్‌క్రిప్ట్ చేసి నిల్వ చేయండి మరియు సెటప్ తర్వాత ఎప్పుడూ మళ్లీ చూపవద్దు. 10 ఒకసారి-మాత్రమే ఉపయోగించే రికవరీ కోడ్‌లను ఒక్కసారి చూపించి, వాటిని హ్యాష్ చేసి నిల్వ చేయండి.

తర్వాత అమలు, ఇక్కడే రూపొందించిన కోడ్ తరచుగా లోపిస్తుంది:

సర్వర్‌లో 2FAను అమలు చేయండి. సరైన పాస్‌వర్డ్ తర్వాత, 2FA ఎనేబుల్ అయిన వినియోగదారులకు పూర్తి సెషన్ కాకుండా స్వల్పకాలిక pending స్థితి ఇవ్వండి. ప్రతి రక్షిత పేజీ మరియు API మార్గం pending స్థితిని తిరస్కరించాలి. కోడ్ ప్రయత్నాలను 5కి పరిమితం చేయండి, తర్వాత రెండవ దశను 15 నిమిషాలు లాక్ చేసి వినియోగదారుకు ఇమెయిల్ పంపండి.

తర్వాత విధానం:

అడ్మిన్ ఖాతాలకు 2FA తప్పనిసరి చేయండి: 2FA లేని అడ్మిన్‌ను సెటప్‌కు పంపి, అది పూర్తయ్యే వరకు డ్యాష్‌బోర్డ్ చేరుకోనివ్వవద్దు. 2FA ఆఫ్ చేయడానికి లేదా ఖాతా ఇమెయిల్ మార్చడానికి పాస్‌వర్డ్ మరియు ప్రస్తుత కోడ్ అవసరం చేయండి. 2FA ఎనేబుల్ లేదా డిసేబుల్ అయినప్పుడు వినియోగదారుకు ఇమెయిల్ పంపండి.

చివరగా, ఏజెంట్ నిర్మించిన దాన్ని వివరించమని అడగండి:

పూర్తయిన రెండవ కారకాన్ని తనిఖీ చేసే ప్రతి మార్గాన్ని జాబితా చేయండి, TOTP రహస్యం మరియు రికవరీ కోడ్‌లు ఎక్కడ నిల్వ చేయబడ్డాయో, మరియు అవి ఎలా రక్షించబడ్డాయో చెప్పండి.

సాధారణ తప్పులు

• పాస్‌వర్డ్ తర్వాత సెషన్ ఇవ్వడం. అత్యంత తీవ్రమైన బగ్. కోడ్ తనిఖీ చేయకముందే పూర్తి సెషన్ ఉంటే, 2FA అలంకారం మాత్రమే. పాస్‌వర్డ్ దశ తర్వాత మాత్రమే రక్షిత APIని కాల్ చేసి పరీక్షించండి.
• ప్రయత్నాల పరిమితి లేకపోవడం. పరిమితులు లేని ఊహలు కోడ్‌ను బ్రూట్-ఫోర్స్ చేయగలవు.
• సాదా-టెక్స్ట్ రహస్యాలు లేదా రికవరీ కోడ్‌లు. డేటాబేస్ లీక్ అయితే ప్రతి ఒక్కరి రెండవ కారకం బయటపడుతుంది.
• ధృవీకరించే ముందే ఎనేబుల్ చేయడం. తప్పుగా స్కాన్ చేసిన వినియోగదారులు తర్వాతి లాగిన్‌లో లాక్ అవుట్ అవుతారు.
• రికవరీ మార్గం లేకపోవడం. ప్రతి పోయిన ఫోన్ ఒక సపోర్ట్ టికెట్ లేదా పోయిన కస్టమర్ అవుతుంది.
• సులభమైన ఆఫ్ స్విచ్. దొంగిలించిన సెషన్ కోడ్ లేకుండా 2FA ఆఫ్ చేయగలిగితే, రక్షణ పోయింది.
• లాగ్‌లలో కోడ్‌లు. కోడ్‌లు మరియు రహస్యాలు ఎప్పుడూ సర్వర్ లాగ్‌లు లేదా ఎర్రర్ సందేశాలలో కనిపించకుండా చూసుకోండి.
• లాగిన్ పేజీపై మాత్రమే తనిఖీ. పాస్‌వర్డ్ రీసెట్, "మ్యాజిక్ లింక్" సైన్-ఇన్ మరియు ఏదైనా సోషల్ లాగిన్ కూడా 2FAను గౌరవించాలి, లేకపోతే అవి దాటవేసే మార్గం అవుతాయి.

టెస్టింగ్ చెక్‌లిస్ట్

• చెల్లుబాటు అయ్యే కోడ్ తర్వాతే నమోదు పూర్తవుతుంది
• సరైన పాస్‌వర్డ్ ఉన్నా కోడ్ లేకుండా లాగిన్ ఏ రక్షిత పేజీ లేదా APIకి యాక్సెస్ ఇవ్వదు
• తప్పు కోడ్ తిరస్కరించబడుతుంది; పదే పదే తప్పు కోడ్‌లు లాకౌట్ మరియు ఇమెయిల్‌ను ప్రేరేపిస్తాయి
• కొన్ని నిమిషాల క్రితం కోడ్ తిరస్కరించబడుతుంది
• ప్రతి రికవరీ కోడ్ సరిగ్గా ఒకసారి పనిచేస్తుంది
• 2FA ఆఫ్ చేయడానికి పాస్‌వర్డ్ మరియు ప్రస్తుత కోడ్ అవసరం
• పాస్‌వర్డ్ రీసెట్ 2FAను దాటవేయదు
• 2FA లేని అడ్మిన్లు అడ్మిన్ పేజీలను చేరుకోలేరు (అవసరమైతే)
• రహస్యాలు మరియు రికవరీ కోడ్‌లు డేటాబేస్‌లో ఎన్‌క్రిప్ట్ లేదా హ్యాష్ చేయబడ్డాయి
• లాగ్‌లలో కోడ్‌లు లేదా రహస్యాలు కనిపించవు

లాంచ్ ముందు AI-నిర్మిత యాప్‌ల కోసం సెక్యూరిటీ చెక్‌లిస్ట్ కూడా పూర్తిగా నడపండి.

Mythex లో 2FA జోడించడం

Mythex మీ యాప్ తుది వినియోగదారుల కోసం అంతర్నిర్మిత లాగిన్ వ్యవస్థను చేర్చదు, కాబట్టి 2FA మీరు ఎంచుకునే ఆథ్ విధానంలో భాగం: ప్రాజెక్ట్ డేటాబేస్ ఉపయోగించి మీ స్వంత ఇమెయిల్-మరియు-పాస్‌వర్డ్ లాగిన్, లేదా మల్టీ-ఫ్యాక్టర్ మద్దతు ఉన్న హోస్ట్ చేసిన ప్రొవైడర్. పైన ఉన్నవంటి ప్రాంప్ట్‌లు ఉపయోగించి చాట్‌లో మీరు కోరుకున్నది వివరించండి, మరియు ఏవైనా ప్రొవైడర్ కీలు మెసేజ్ బాక్స్‌లో కాకుండా ప్రాజెక్ట్ సీక్రెట్‌లలో ఉంచండి (/secrets ద్వారా, ప్రాజెక్ట్ సెట్టింగ్‌ల ద్వారా, లేదా ఏజెంట్ చూపే సీక్రెట్స్ కార్డ్ ద్వారా). డాక్స్ రెసిపీ మీ యాప్‌కు లాగిన్ జోడించండి లో ప్రారంభ ప్రాంప్ట్ ఉంది, మరియు మీరు నిర్మించే యాప్‌ల కోసం భద్రత కీలు మరియు అనుమతుల చుట్టూ ఉన్న అలవాట్లను కవర్ చేస్తుంది. ఏజెంట్ పూర్తయిన తర్వాత, ప్రచురించే ముందు Previewలో చెక్‌లిస్ట్‌లోని ప్రతి అంశాన్ని పరీక్షించండి.

ప్రశ్నలు