Projektbeschreibung
ÜbersetztWir betreiben eine Webplattform mit einem persönlichen Kontobereich für registrierte Benutzer, und derzeit erfordert der Login nur ein Passwort. Wir möchten einen zweiten Verifizierungsschritt hinzufügen, damit ein Konto nicht nur mit einem gestohlenen Passwort zugegriffen werden kann. Das Hauptszenario ist ein zeitbasierter Code, der von einer Authenticator-App auf dem Telefon des Benutzers generiert wird, und der direkt nach dem Passwort bei jedem neuen Login oder nach Ablauf einer Sitzung eingegeben wird.
Neben dem Authenticator-Flow benötigen wir ein Sicherheitsnetz für Personen, die ihr Telefon verlieren oder es neu installieren: ein Satz von einmaligen Backup-Codes, die bei der Einrichtung generiert, einmal angezeigt und jeweils nur einmal verwendbar sind, um wieder Zugang zu erhalten. Es sollte auch eine sinnvolle Möglichkeit geben, den Zwei-Faktor-Schutz zu deaktivieren und erneut zu aktivieren, wenn ein Gerät tatsächlich verloren ist, ohne dies zu einer einfachen Umgehung für einen Angreifer zu machen.
Die Durchsetzung ist ebenso wichtig wie die Mechanik: Reguläre Benutzer sollten dies freiwillig in den Kontoeinstellungen aktivieren können, aber Konten mit erhöhten Berechtigungen — Moderatoren, Mitarbeiter, jeder mit Zugriff über seine eigenen Daten hinaus — müssen dies verpflichtend haben, wobei die Benutzeroberfläche ihnen verweigert, die Einrichtung nach dem Login zu überspringen.
Was wir von der Arbeit erwarten:
— Registrierung der Authenticator-App mit QR-Code und manueller Eingabe des Geheimnisses
— Codeverifizierung beim Login mit angemessenen Ablauf- und Wiederholungsgrenzen
— einmalige Backup-Codes, einmal generiert und sicher gespeichert
— Wiederherstellungsablauf bei Geräteverlust mit erneuter Registrierung
— verpflichtende Durchsetzung für Rollen mit erhöhtem Zugriff
— klare, einfache Anweisungen für reguläre Benutzer während der Einrichtung
Neben dem Authenticator-Flow benötigen wir ein Sicherheitsnetz für Personen, die ihr Telefon verlieren oder es neu installieren: ein Satz von einmaligen Backup-Codes, die bei der Einrichtung generiert, einmal angezeigt und jeweils nur einmal verwendbar sind, um wieder Zugang zu erhalten. Es sollte auch eine sinnvolle Möglichkeit geben, den Zwei-Faktor-Schutz zu deaktivieren und erneut zu aktivieren, wenn ein Gerät tatsächlich verloren ist, ohne dies zu einer einfachen Umgehung für einen Angreifer zu machen.
Die Durchsetzung ist ebenso wichtig wie die Mechanik: Reguläre Benutzer sollten dies freiwillig in den Kontoeinstellungen aktivieren können, aber Konten mit erhöhten Berechtigungen — Moderatoren, Mitarbeiter, jeder mit Zugriff über seine eigenen Daten hinaus — müssen dies verpflichtend haben, wobei die Benutzeroberfläche ihnen verweigert, die Einrichtung nach dem Login zu überspringen.
Was wir von der Arbeit erwarten:
— Registrierung der Authenticator-App mit QR-Code und manueller Eingabe des Geheimnisses
— Codeverifizierung beim Login mit angemessenen Ablauf- und Wiederholungsgrenzen
— einmalige Backup-Codes, einmal generiert und sicher gespeichert
— Wiederherstellungsablauf bei Geräteverlust mit erneuter Registrierung
— verpflichtende Durchsetzung für Rollen mit erhöhtem Zugriff
— klare, einfache Anweisungen für reguläre Benutzer während der Einrichtung
Webprogrammierung Bargeld, Banküberweisung
