परियोजना का विवरण
अनुवादितहम एक वेब प्लेटफॉर्म चलाते हैं जिसमें पंजीकृत उपयोगकर्ताओं के लिए एक व्यक्तिगत खाता क्षेत्र है, और अभी लॉगिन के लिए केवल एक पासवर्ड की आवश्यकता होती है। हम एक दूसरा सत्यापन चरण जोड़ना चाहते हैं ताकि एक खाता केवल चोरी किए गए पासवर्ड से एक्सेस न किया जा सके। मुख्य परिदृश्य एक समय-आधारित कोड है जो उपयोगकर्ता के फोन पर एक प्रमाणीकरण ऐप द्वारा उत्पन्न होता है, जिसे हर नए लॉगिन पर पासवर्ड के तुरंत बाद या सत्र समाप्त होने के बाद दर्ज किया जाता है।
प्रमाणीकरण प्रवाह के साथ हमें उन लोगों के लिए एक सुरक्षा जाल की आवश्यकता है जो अपना फोन खो देते हैं या इसे फिर से स्थापित करते हैं: सेटअप के दौरान उत्पन्न एक बार के बैकअप कोड का एक सेट, जो एक बार दिखाया जाता है, और प्रत्येक का उपयोग एक बार किया जा सकता है। यदि एक उपकरण वास्तव में चला गया है, तो दो-कारक सुरक्षा को अक्षम और फिर से नामांकित करने का एक उचित तरीका भी होना चाहिए, बिना इसे हमलावर के लिए एक आसान बायपास में बदलने के।
प्रवर्तन यांत्रिकी के रूप में महत्वपूर्ण है: नियमित उपयोगकर्ताओं को खाता सेटिंग्स से स्वेच्छा से इसे चालू करने में सक्षम होना चाहिए, लेकिन उच्च अनुमति वाले खातों — मॉडरेटर, स्टाफ, कोई भी जो अपने डेटा से परे पहुंच रखता है — को इसे अनिवार्य रूप से लागू करना चाहिए, इंटरफेस उन्हें लॉगिन के बाद सेटअप छोड़ने की अनुमति नहीं देता।
हम काम में क्या अपेक्षा करते हैं:
— QR कोड और मैनुअल सीक्रेट एंट्री के साथ प्रमाणीकरण ऐप नामांकन
— लॉगिन पर कोड सत्यापन उचित समाप्ति और पुनः प्रयास सीमाओं के साथ
— एक बार के बैकअप कोड, एक बार उत्पन्न और सुरक्षित रूप से संग्रहीत
— उपकरण हानि पुनर्प्राप्ति प्रवाह के साथ पुनः नामांकन
— उच्च-एक्सेस भूमिकाओं के लिए अनिवार्य प्रवर्तन
— सेटअप के दौरान नियमित उपयोगकर्ताओं के लिए स्पष्ट, सरल निर्देश
प्रमाणीकरण प्रवाह के साथ हमें उन लोगों के लिए एक सुरक्षा जाल की आवश्यकता है जो अपना फोन खो देते हैं या इसे फिर से स्थापित करते हैं: सेटअप के दौरान उत्पन्न एक बार के बैकअप कोड का एक सेट, जो एक बार दिखाया जाता है, और प्रत्येक का उपयोग एक बार किया जा सकता है। यदि एक उपकरण वास्तव में चला गया है, तो दो-कारक सुरक्षा को अक्षम और फिर से नामांकित करने का एक उचित तरीका भी होना चाहिए, बिना इसे हमलावर के लिए एक आसान बायपास में बदलने के।
प्रवर्तन यांत्रिकी के रूप में महत्वपूर्ण है: नियमित उपयोगकर्ताओं को खाता सेटिंग्स से स्वेच्छा से इसे चालू करने में सक्षम होना चाहिए, लेकिन उच्च अनुमति वाले खातों — मॉडरेटर, स्टाफ, कोई भी जो अपने डेटा से परे पहुंच रखता है — को इसे अनिवार्य रूप से लागू करना चाहिए, इंटरफेस उन्हें लॉगिन के बाद सेटअप छोड़ने की अनुमति नहीं देता।
हम काम में क्या अपेक्षा करते हैं:
— QR कोड और मैनुअल सीक्रेट एंट्री के साथ प्रमाणीकरण ऐप नामांकन
— लॉगिन पर कोड सत्यापन उचित समाप्ति और पुनः प्रयास सीमाओं के साथ
— एक बार के बैकअप कोड, एक बार उत्पन्न और सुरक्षित रूप से संग्रहीत
— उपकरण हानि पुनर्प्राप्ति प्रवाह के साथ पुनः नामांकन
— उच्च-एक्सेस भूमिकाओं के लिए अनिवार्य प्रवर्तन
— सेटअप के दौरान नियमित उपयोगकर्ताओं के लिए स्पष्ट, सरल निर्देश
वेब प्रोग्रामिंग नकद, बैंक ट्रांसफर
