Descrizione del progetto
TradottoGestiamo un'applicazione web matura con accesso classico tramite email e password, e vogliamo elevare la sicurezza dell'account a standard moderni. L'obiettivo del progetto è progettare e implementare uno strato di autenticazione a due fattori completo insieme a un insieme di funzionalità di protezione dell'account, integrate con attenzione nel nostro modello utente esistente e nella logica delle sessioni. Non abbiamo bisogno di un prototipo una tantum: abbiamo bisogno di codice di qualità di produzione, impostazioni sensate e uno scenario conveniente per utenti normali che non comprendono la sicurezza. Il contraente scelto lavora con il nostro stack attuale, segue le convenzioni di codice adottate nel progetto e fornisce un risultato che il nostro team può mantenere dopo il passaggio.
È specificamente richiesto il supporto TOTP compatibile con le comuni app di autenticazione, un canale di codici usa e getta via email come secondo fattore alternativo e codici di backup usa e getta che gli utenti possono stampare o salvare nel caso perdano il loro dispositivo. La configurazione dovrebbe essere passo dopo passo e reversibile: consegna del segreto tramite QR, passaggio di verifica obbligatorio prima che il 2FA si attivi effettivamente e un chiaro percorso di recupero che non escluda qualcuno per sempre. In parallelo ci aspettiamo una corretta gestione delle sessioni: un elenco leggibile delle sessioni e dei dispositivi attivi, la possibilità di terminare da remoto uno qualsiasi di essi e avvisi di accesso che notificano il proprietario quando appare un nuovo dispositivo o c'è un tentativo di accesso insolito. Tutto questo dovrebbe seguire le attuali migliori pratiche per la memorizzazione dei segreti, il rate limiting e la protezione contro attacchi di forza bruta e riutilizzo del codice.
Il deliverable include un insieme funzionante di funzionalità, migrazioni del database, interruttori amministrativi dove appropriato, test automatizzati per scenari critici e una breve documentazione per il nostro team. Nella tua risposta descrivi l'esperienza pertinente con autenticazione e sicurezza e il tuo approccio al recupero dell'accesso se un utente perde sia il proprio dispositivo che i codici di backup.
— TOTP tramite app di autenticazione e codici usa e getta via email come secondi fattori
— Codici di recupero usa e getta con rigenerazione sicura
— Configurazione passo dopo passo e reversibile con consegna QR e passaggio di verifica
— Elenco delle sessioni e dei dispositivi attivi con terminazione remota
— Avvisi di accesso per nuovi dispositivi e tentativi di accesso sospetti
— Rate limiting, protezione contro la forza bruta e prevenzione del riutilizzo del codice, memorizzazione sicura dei segreti
È specificamente richiesto il supporto TOTP compatibile con le comuni app di autenticazione, un canale di codici usa e getta via email come secondo fattore alternativo e codici di backup usa e getta che gli utenti possono stampare o salvare nel caso perdano il loro dispositivo. La configurazione dovrebbe essere passo dopo passo e reversibile: consegna del segreto tramite QR, passaggio di verifica obbligatorio prima che il 2FA si attivi effettivamente e un chiaro percorso di recupero che non escluda qualcuno per sempre. In parallelo ci aspettiamo una corretta gestione delle sessioni: un elenco leggibile delle sessioni e dei dispositivi attivi, la possibilità di terminare da remoto uno qualsiasi di essi e avvisi di accesso che notificano il proprietario quando appare un nuovo dispositivo o c'è un tentativo di accesso insolito. Tutto questo dovrebbe seguire le attuali migliori pratiche per la memorizzazione dei segreti, il rate limiting e la protezione contro attacchi di forza bruta e riutilizzo del codice.
Il deliverable include un insieme funzionante di funzionalità, migrazioni del database, interruttori amministrativi dove appropriato, test automatizzati per scenari critici e una breve documentazione per il nostro team. Nella tua risposta descrivi l'esperienza pertinente con autenticazione e sicurezza e il tuo approccio al recupero dell'accesso se un utente perde sia il proprio dispositivo che i codici di backup.
— TOTP tramite app di autenticazione e codici usa e getta via email come secondi fattori
— Codici di recupero usa e getta con rigenerazione sicura
— Configurazione passo dopo passo e reversibile con consegna QR e passaggio di verifica
— Elenco delle sessioni e dei dispositivi attivi con terminazione remota
— Avvisi di accesso per nuovi dispositivi e tentativi di accesso sospetti
— Rate limiting, protezione contro la forza bruta e prevenzione del riutilizzo del codice, memorizzazione sicura dei segreti
Programmazione web Contante, Bonifico bancario
