Uygulamanıza İki Faktörlü Doğrulama Nasıl Eklenir

Uygulamanıza iki faktörlü doğrulama (2FA) eklemek için kullanıcıların bir kimlik doğrulayıcı uygulamayı bir QR kodunu taratarak bağlamasına izin verin, parolanın ardından uygulamanın gösterdiği altı haneli kodu isteyin ve yalnızca bu kod doğrulandığında sunucuda tam bir oturum oluşturun. Açtıklarında her kullanıcıya tek kullanımlık kurtarma kodları verin, birinin tahmin edebileceği kod sayısını sınırlayın ve 2FA'yı kapatmak için parolayı ve mevcut bir kodu zorunlu kılın. Barındırılan bir kimlik sağlayıcı kullanıyorsanız, kendi sisteminizi yazmak yerine onun yerleşik çok faktörlü seçeneğini açın.

Bu rehber seçenekleri, tam akışı, bir yapay zekâ oluşturucuya verebileceğiniz istemleri ve 2FA'yı var gibi gösterip aslında hiçbir şey yapmayan hataları anlatır. Kavram yeniyse iki faktörlü doğrulama nedir ile başlayın.

Başlamadan önce: çalışan bir oturum açmaya ihtiyacınız var

2FA mevcut bir oturum açmanın üzerine kurulur. Önce bunlardan birine sahip olmanız gerekir:

• Kendi oturum açma sisteminiz: kullanıcılar ve özetlenmiş parolalar uygulamanızın veritabanında saklanır.
• Kullanıcıları sizin yerinize yöneten barındırılan bir kimlik sağlayıcı.

Henüz ikisine de sahip değilseniz, uygulamanıza oturum açma nasıl eklenir ile başlayın. Bu rehberin geri kalanı, bir parola adımının zaten çalıştığını varsayar.

İkinci faktörünüzü seçin

TOTP, zamana dayalı tek kullanımlık parola anlamına gelir; kimlik doğrulayıcı uygulamaların kullandığı standarttır (RFC 6238). Sunucunuz ve kullanıcının telefonu bir sır paylaşır; her ikisi de bu sırdan ve geçerli zamandan aynı kısa kodu üretir; genellikle her 30 saniyede bir değişir. Ağ bağlantısına veya SMS sağlayıcısına ihtiyaç yoktur.

Geçiş anahtarları, parolaların yerini veya tamamlayıcısını, kullanıcının cihazında saklanan kriptografik bir anahtarla alır. Daha güçlüdürler, ancak kendiniz oluşturmak daha fazla iş gerektirir; bu nedenle birçok uygulama TOTP ile başlar ve geçiş anahtarlarını daha sonra ekler ya da bunları bir kimlik sağlayıcıdan alır.

Kendiniz mi yapacaksınız, yoksa açacak mısınız?

Hangi faktörleri ve hangi planlarda desteklediğini öğrenmek için sağlayıcınızın güncel belgelerini kontrol edin. Her durumda, kod üretme matematiğini asla kendiniz yazmayın; yaygın kullanılan bir kütüphane kullanın.

Politikayı önce belirleyin

İstem yazmadan önce bunlara karar verin, çünkü tasarımı değiştirirler:

1. Kim kullanmak zorunda? Herkes için isteğe bağlı, yöneticiler ve personel için zorunlu veya herkes için zorunlu. Yönetici yetkisi olan herkes için zorunlu kılmak yaygındır. Rol tabanlı erişim kontrolü rehberine bakın.
2. Kullanıcılar ne sıklıkla kod girer? Her girişte mi, yoksa cihaz başına 30 gün için mi ("bu cihazı hatırla")?
3. Hangi eylemler yeni bir doğrulama gerektirir? E-postayı değiştirme, ödeme bilgilerini değiştirme ve 2FA'yı kapatma iyi adaylardır. Buna adım artırmalı kimlik doğrulama (step-up authentication) denir.
4. Telefon kaybolursa süreç ne? Kurtarma kodları ve işletmeye istekli olduğunuz bir elle yedek yol.

Adım adım: kendi oturum açmanızda TOTP 2FA

1. Doğru alanları saklayın

Her kullanıcının şunlara ihtiyacı vardır: 2FA'nın açık olup olmadığı, TOTP sırrı (dinlenirken şifrelenmiş, düz metin değil), açıldığı zaman ve özetlenmiş (parolalar gibi hash'lenmiş) kurtarma kodları listesi. Başarısız denemeleri sayacak bir yer de ekleyin.

2. Kayıt

1. Kullanıcı Ayarlar'ı açar ve İki faktörlü doğrulamayı aç düğmesine tıklar.

2. Sunucu yeni bir sır üretir ve bunu bir QR kodu olarak, taratamayanlar için de metin sürümüyle birlikte döndürür.

3. Kullanıcı bunu bir kimlik doğrulayıcı uygulamada tarar ve geçerli kodu yazar.

4. Sunucu kodu kontrol eder. Yalnızca doğruysa sırrı kaydeder ve 2FA'yı etkin olarak işaretler.

5. Uygulama 8–10 kurtarma kodunu bir kez gösterir ve kullanıcıdan bunları kaydetmesini ister.

6. adım önemlidir: tarama başarısız olduğunda, kodu doğrulamadan 2FA'yı açmak, bir sonraki girişte herkesi kilitler.

3. İkinci adımla oturum açma

1. Kullanıcı e-postasını ve parolasını gönderir. Sunucu bunları kontrol eder.
2. 2FA etkinse, sunucu tam bir oturum oluşturmaz. Bunun yerine kısa ömürlü bir "ikinci faktör bekleniyor" durumu oluşturur.
3. Uygulama kod ekranını gösterir. Sunucu kodu kontrol eder; saat kaymasına karşı küçük bir pencereye izin verir.
4. Ancak o zaman sunucu gerçek oturumu verir.

Her korumalı rota ve API uç noktası, bekleyen durumu reddetmelidir. Yalnızca tarayıcıda sayfaları gizleyen bir 2FA ekranı, API'yi doğrudan çağırarak atlanabilir.

4. Limitler ve uyarılar

Altı haneli bir kodun bir milyon kombinasyonu vardır; sınır olmadan tahmin edilebilir. Denemeleri sınırlayın, tekrarlanan başarısızlıklardan sonra ikinci adımı bir süre kilitleyin ve kullanıcıya e-posta gönderin. Bkz. hız sınırlama ve uygulamanızdan e-posta gönderme.

5. Kurtarma ve kapatma

• Bir kurtarma kodu bir kez çalışır, sonra silinir.
• 2FA'yı kapatmak parolayı ve mevcut bir kodu ya da kurtarma kodunu gerektirir.
• Kurtarma kodlarını yeniden oluşturmak eski seti geçersiz kılar.
• 2FA açıldığında veya kapatıldığında kullanıcıya e-posta gönderin.

Yapay zekâ oluşturucunuza verilecek istemler

Çekirdek akışla başlayın:

Mevcut e-posta ve parola oturum açmamıza, kimlik doğrulayıcı uygulamalar (TOTP) kullanan isteğe bağlı iki faktörlü doğrulama ekle. Algoritmayı kendin yazma; iyi bilinen bir TOTP kütüphanesi kullan. Ayarlarda bir QR kodu ve metin sırrı göster; 2FA'yı yalnızca kullanıcı geçerli bir kod girdikten sonra etkinleştir. Sırrı şifreli sakla ve kurulumdan sonra bir daha gösterme. Bir kez gösterilen 10 tek kullanımlık kurtarma kodu üret ve bunları özetlenmiş olarak sakla.

Sonra zorunlu kılma; üretilen kodun en sık yetersiz kaldığı yer burasıdır:

2FA'yı sunucuda zorunlu kıl. Doğru parolanın ardından, 2FA'sı açık kullanıcılar tam oturum yerine kısa ömürlü bir bekleme durumu alsın. Her korumalı sayfa ve API rotası bekleme durumunu reddetmeli. Kod denemelerini 5 ile sınırla, sonra ikinci adımı 15 dakika kilitle ve kullanıcıya e-posta gönder.

Sonra politika:

Yönetici hesapları için 2FA'yı zorunlu kıl: 2FA'sı olmayan bir yönetici kuruluma yönlendirilsin ve bu bitene kadar yönetici paneline erişemesin. 2FA'yı kapatmak veya hesap e-postasını değiştirmek için parolayı ve mevcut bir kodu zorunlu kıl. 2FA açıldığında veya kapatıldığında kullanıcıya e-posta gönder.

Son olarak, agent'tan ne inşa ettiğini açıklamasını isteyin:

İkinci faktörün tamamlandığını kontrol eden her rotayı, TOTP sırrının ve kurtarma kodlarının nerede saklandığını ve nasıl korunduğunu listele.

Sık yapılan hatalar

• Paroladan sonra verilen oturum. En ciddi hata. Kod kontrol edilmeden önce tam oturum varsa, 2FA bir süstür. Yalnızca parola adımından sonra korumalı bir API'yi çağırarak test edin.
• Deneme sınırı olmaması. Sınırsız tahminler kodu kaba kuvvetle kırılabilir yapar.
• Düz metin sırlar veya kurtarma kodları. Bir veritabanı sızıntısı, herkesin ikinci faktörünü ele geçirir.
• Doğrulamadan önce etkinleştirmek. Yanlış tarayan kullanıcılar bir sonraki girişte kilitlenir.
• Kurtarma yolunun olmaması. Her kaybolan telefon bir destek talebine ya da kaybedilen bir müşteriye dönüşür.
• Kolay kapatma. Çalınan bir oturum kodsuz 2FA'yı kapatabiliyorsa koruma ortadan kalkar.
• Günlüklerde kodlar. Kodların ve sırların sunucu günlüklerinde veya hata mesajlarında hiç görünmediğinden emin olun.
• Yalnızca giriş sayfasında kontrol etmek. Parola sıfırlama, "sihirli bağlantı" ile oturum açma ve sosyal girişler de 2FA'ya uymalıdır; yoksa bunlar bir atlama yolu olur.

Test kontrol listesi

• Kayıt yalnızca geçerli bir kodla tamamlanır
• Doğru parola ama kod olmadan giriş, hiçbir korumalı sayfaya veya API'ye erişim vermez
• Yanlış kod reddedilir; tekrarlanan yanlış kodlar kilidi ve e-postayı tetikler
• Birkaç dakika önceki bir kod reddedilir
• Her kurtarma kodu tam olarak bir kez çalışır
• 2FA'yı kapatmak parola ve mevcut bir kod gerektirir
• Parola sıfırlama 2FA'yı atlatmaz
• 2FA'sı olmayan yöneticiler yönetici sayfalarına erişemez (zorunluysa)
• Sırlar ve kurtarma kodları veritabanında şifreli veya hash'li
• Günlüklerde hiçbir kod veya sır görünmüyor

Yayından önce AI ile oluşturulmuş uygulamalar için güvenlik kontrol listesinin tamamını da çalıştırın.

Mythex'te 2FA ekleme

Mythex, uygulamanızın son kullanıcıları için yerleşik bir oturum açma sistemi içermez; bu yüzden 2FA, seçtiğiniz kimlik doğrulama yaklaşımının bir parçasıdır: proje veritabanını kullanan kendi e-posta ve parola oturum açmanız veya çok faktörlü desteği olan barındırılan bir sağlayıcı. Yukarıdaki gibi istemlerle sohbette ne istediğinizi tarif edersiniz; sağlayıcı anahtarları mesaj kutusunda değil, proje sırlarında (/secrets üzerinden, proje ayarlarından veya agent'ın gösterdiği sırlar kartı aracılığıyla) tutulur. Dokümanlardaki uygulamanıza oturum açma ekleme tarifinde bir başlangıç istemi vardır; Uygulamalarınız için güvenlik bölümü ise anahtarlar ve izinlerle ilgili alışkanlıkları kapsar. Agent işi bitirdikten sonra, yayınlamadan önce kontrol listesindeki her maddeyi Önizleme'de test edin.

Sorular