Projektbeschreibung
ÜbersetztWir betreiben eine ausgereifte Webanwendung mit klassischer E-Mail- und Passwortanmeldung und möchten die Kontosicherheit auf moderne Standards anheben. Das Ziel des Projekts ist es, eine voll funktionsfähige Zwei-Faktor-Authentifizierungsschicht zusammen mit einer Reihe von Kontoschutzfunktionen zu entwerfen und zu implementieren, die sorgfältig in unser bestehendes Benutzermodell und die Sitzungslogik integriert sind. Wir benötigen keinen einmaligen Prototyp: Wir benötigen produktionsrelevanten Code, sinnvolle Voreinstellungen und ein benutzerfreundliches Szenario für reguläre Benutzer, die Sicherheit nicht verstehen. Der gewählte Auftragnehmer arbeitet mit unserem aktuellen Stack, folgt den im Projekt angenommenen Code-Konventionen und liefert ein Ergebnis, das unser Team nach der Übergabe warten kann.
Konkret erforderlich ist TOTP-Unterstützung, die mit gängigen Authenticator-Apps kompatibel ist, ein Kanal für Einmalcodes per E-Mail als alternativen zweiten Faktor und Einmal-Backup-Codes, die Benutzer drucken oder speichern können, falls sie ihr Gerät verlieren. Die Einrichtung sollte schrittweise und umkehrbar sein: Geheimnisübermittlung über QR, obligatorischer Verifizierungsschritt, bevor 2FA tatsächlich aktiviert wird, und ein klarer Wiederherstellungsweg, der jemanden nicht für immer aussperrt. Parallel erwarten wir ein angemessenes Sitzungsmanagement: eine lesbare Liste aktiver Sitzungen und Geräte, die Möglichkeit, jede von ihnen aus der Ferne zu beenden, und Anmeldebenachrichtigungen, die den Eigentümer benachrichtigen, wenn ein neues Gerät erscheint oder es einen ungewöhnlichen Anmeldeversuch gibt. All dies sollte den aktuellen Best Practices für Geheimnisspeicherung, Ratenbegrenzung und Schutz gegen Brute-Force-Angriffe und Code-Wiederverwendung folgen.
Das Ergebnis umfasst ein funktionierendes Set von Funktionen, Datenbankmigrationen, administrative Schalter, wo angebracht, automatisierte Tests für kritische Szenarien und eine kurze Dokumentation für unser Team. Beschreiben Sie in Ihrer Antwort relevante Erfahrungen mit Authentifizierung und Sicherheit sowie Ihren Ansatz zur Wiederherstellung des Zugriffs, falls ein Benutzer sowohl sein Gerät als auch die Backup-Codes verliert.
— TOTP über Authenticator-Apps und Einmalcodes per E-Mail als zweite Faktoren
— Einmalige Backup-Wiederherstellungscodes mit sicherer Regeneration
— Schritt-für-Schritt- und umkehrbare Einrichtung mit QR-Übermittlung und Verifizierungsschritt
— Liste aktiver Sitzungen und Geräte mit Remote-Beendigung
— Anmeldebenachrichtigungen für neue Geräte und verdächtige Anmeldeversuche
— Ratenbegrenzung, Brute-Force-Schutz und Verhinderung von Code-Wiederverwendung, sichere Geheimnisspeicherung
Konkret erforderlich ist TOTP-Unterstützung, die mit gängigen Authenticator-Apps kompatibel ist, ein Kanal für Einmalcodes per E-Mail als alternativen zweiten Faktor und Einmal-Backup-Codes, die Benutzer drucken oder speichern können, falls sie ihr Gerät verlieren. Die Einrichtung sollte schrittweise und umkehrbar sein: Geheimnisübermittlung über QR, obligatorischer Verifizierungsschritt, bevor 2FA tatsächlich aktiviert wird, und ein klarer Wiederherstellungsweg, der jemanden nicht für immer aussperrt. Parallel erwarten wir ein angemessenes Sitzungsmanagement: eine lesbare Liste aktiver Sitzungen und Geräte, die Möglichkeit, jede von ihnen aus der Ferne zu beenden, und Anmeldebenachrichtigungen, die den Eigentümer benachrichtigen, wenn ein neues Gerät erscheint oder es einen ungewöhnlichen Anmeldeversuch gibt. All dies sollte den aktuellen Best Practices für Geheimnisspeicherung, Ratenbegrenzung und Schutz gegen Brute-Force-Angriffe und Code-Wiederverwendung folgen.
Das Ergebnis umfasst ein funktionierendes Set von Funktionen, Datenbankmigrationen, administrative Schalter, wo angebracht, automatisierte Tests für kritische Szenarien und eine kurze Dokumentation für unser Team. Beschreiben Sie in Ihrer Antwort relevante Erfahrungen mit Authentifizierung und Sicherheit sowie Ihren Ansatz zur Wiederherstellung des Zugriffs, falls ein Benutzer sowohl sein Gerät als auch die Backup-Codes verliert.
— TOTP über Authenticator-Apps und Einmalcodes per E-Mail als zweite Faktoren
— Einmalige Backup-Wiederherstellungscodes mit sicherer Regeneration
— Schritt-für-Schritt- und umkehrbare Einrichtung mit QR-Übermittlung und Verifizierungsschritt
— Liste aktiver Sitzungen und Geräte mit Remote-Beendigung
— Anmeldebenachrichtigungen für neue Geräte und verdächtige Anmeldeversuche
— Ratenbegrenzung, Brute-Force-Schutz und Verhinderung von Code-Wiederverwendung, sichere Geheimnisspeicherung
Webprogrammierung Bargeld, Banküberweisung
