Projektbeschreibung
ÜbersetztWir haben mehrere Web- und Mobile-Produkte und möchten den Anmeldeschutz nicht in jedem von Grund auf neu schreiben. Das Ziel ist ein einziger Zwei-Faktor-Authentifizierungsdienst, den unsere Apps über die API aufrufen können: Benutzer registrieren, Einmalcodes ausgeben und diese bei der Anmeldung oder bei der Bestätigung sensibler Vorgänge überprüfen. Dies ist absichtlich KEIN SSO-Projekt oder OAuth-Delegation und KEIN SMS-Gateway-Wrapper. Wir benötigen die OTP-Schicht: Code-Generierung, Speicherung, Lebensdauer, Ratenbegrenzung, Überprüfungslogik und die Einrichtung sowie Wiederherstellungsabläufe darum herum.
Bei den Überprüfungsmethoden benötigen wir vollständige TOTP-Unterstützung, damit Benutzer jede kompatible Authenticator-App verknüpfen können, indem sie einen QR-Code scannen, mit einem Endpunkt für das gemeinsame Geheimnis und Toleranz für Zeitabweichungen. Darüber hinaus benötigen wir Einmalcodes per SMS und E-Mail als Backup-Kanäle, mit konfigurierbarer Code-Länge, Gültigkeitsfenster und Wiederholungsgrenzen, um Kosten und Missbrauch zu kontrollieren. Jeder verbundene Benutzer erhält ein Set von Einmal-Backup-Codes, die er drucken oder speichern kann, und es muss einen sicheren Weg geben, um sie erneut auszustellen und zu widerrufen, wenn ein Gerät verloren geht. Die Zustellschicht verwendet Adapter, sodass SMS- oder E-Mail-Anbieter über die Konfiguration ohne Codeänderungen ausgetauscht werden können.
All dies wird über eine dokumentierte REST-API mit Token-Authentifizierung für aufrufende Apps, vorhersehbaren JSON-Antworten und klaren Fehlercodes für ungültige, abgelaufene oder bereits verwendete Tokens verwaltet. Sicherheit ist das Wesen des Produkts, daher erwarten wir geheime Hashes in der Speicherung, Blockierung von Brute-Force-Angriffen, ein Protokoll über Überprüfungsversuche und sinnvolle Standardwerte. Bitte beschreiben Sie in Ihrer Antwort Ihre Erfahrungen mit OTP- oder Authentifizierungssystemen.
— TOTP-Authenticator-Unterstützung (QR-Ausgabe, gemeinsames Geheimnis, Zeitzulassung)
— Einmalcodes per SMS und E-Mail mit Gültigkeitsfenster und Wiederholungsgrenze
— Einmal-Backup-Codes mit Neuerstellung und Widerruf
— Dokumentierte REST-API mit Token-Authentifizierung und klaren Fehlercodes
— SMS/E-Mail-Anbieter-Adapter, über Konfiguration austauschbar
— Protokoll, Blockierung von Brute-Force-Angriffen, geheime Hashes in der Speicherung
Bei den Überprüfungsmethoden benötigen wir vollständige TOTP-Unterstützung, damit Benutzer jede kompatible Authenticator-App verknüpfen können, indem sie einen QR-Code scannen, mit einem Endpunkt für das gemeinsame Geheimnis und Toleranz für Zeitabweichungen. Darüber hinaus benötigen wir Einmalcodes per SMS und E-Mail als Backup-Kanäle, mit konfigurierbarer Code-Länge, Gültigkeitsfenster und Wiederholungsgrenzen, um Kosten und Missbrauch zu kontrollieren. Jeder verbundene Benutzer erhält ein Set von Einmal-Backup-Codes, die er drucken oder speichern kann, und es muss einen sicheren Weg geben, um sie erneut auszustellen und zu widerrufen, wenn ein Gerät verloren geht. Die Zustellschicht verwendet Adapter, sodass SMS- oder E-Mail-Anbieter über die Konfiguration ohne Codeänderungen ausgetauscht werden können.
All dies wird über eine dokumentierte REST-API mit Token-Authentifizierung für aufrufende Apps, vorhersehbaren JSON-Antworten und klaren Fehlercodes für ungültige, abgelaufene oder bereits verwendete Tokens verwaltet. Sicherheit ist das Wesen des Produkts, daher erwarten wir geheime Hashes in der Speicherung, Blockierung von Brute-Force-Angriffen, ein Protokoll über Überprüfungsversuche und sinnvolle Standardwerte. Bitte beschreiben Sie in Ihrer Antwort Ihre Erfahrungen mit OTP- oder Authentifizierungssystemen.
— TOTP-Authenticator-Unterstützung (QR-Ausgabe, gemeinsames Geheimnis, Zeitzulassung)
— Einmalcodes per SMS und E-Mail mit Gültigkeitsfenster und Wiederholungsgrenze
— Einmal-Backup-Codes mit Neuerstellung und Widerruf
— Dokumentierte REST-API mit Token-Authentifizierung und klaren Fehlercodes
— SMS/E-Mail-Anbieter-Adapter, über Konfiguration austauschbar
— Protokoll, Blockierung von Brute-Force-Angriffen, geheime Hashes in der Speicherung
Webprogrammierung Bargeld, Banküberweisung
