Descrizione del progetto
TradottoAbbiamo diversi prodotti web e mobili e non vogliamo riscrivere la protezione del login da zero in ognuno di essi. L'obiettivo è un unico servizio di autenticazione a due fattori che le nostre app possano chiamare tramite API: registrare utenti, emettere codici usa e getta e verificarli al login o quando si confermano operazioni sensibili. Questo NON è intenzionalmente un progetto SSO o di delega OAuth e NON è un wrapper per gateway SMS. Abbiamo bisogno del livello OTP: generazione di codici, archiviazione, durata, limitazione della velocità, logica di verifica e i flussi di configurazione e recupero attorno ad esso.
Per quanto riguarda i metodi di verifica, abbiamo bisogno di un supporto completo per TOTP in modo che gli utenti possano collegare qualsiasi app di autenticazione compatibile scansionando un codice QR, con un endpoint per il segreto condiviso e la tolleranza allo scostamento dell'orologio. Inoltre, abbiamo bisogno di codici usa e getta via SMS ed email come canali di backup, con lunghezza del codice configurabile, finestra di validità e limiti di reinvio per controllare costi e abusi. Ogni utente connesso riceve un insieme di codici di backup usa e getta che può stampare o salvare, e deve esserci un percorso sicuro per riemettere e revocare se un dispositivo viene perso. Il livello di consegna utilizza adattatori in modo che i fornitori di SMS o email possano essere scambiati tramite configurazione senza modifiche al codice.
Tutto questo è gestito tramite un'API REST documentata con autorizzazione tramite token per le app chiamanti, risposte JSON prevedibili e codici di errore chiari per token non validi, scaduti o già utilizzati. La sicurezza è l'essenza del prodotto, quindi ci aspettiamo hashing dei segreti in archiviazione, blocco da attacchi brute-force, un registro di audit dei tentativi di verifica e impostazioni predefinite sensate. Nella tua risposta, descrivi per favore la tua esperienza con sistemi OTP o di autenticazione.
— Supporto per autenticatore TOTP (emissione QR, segreto condiviso, tolleranza temporale)
— Codici usa e getta via SMS ed email con finestra di validità e limite di reinvio
— Codici di backup usa e getta con riemissione e revoca
— API REST documentata con autorizzazione tramite token e codici di errore chiari
— Adattatori per fornitori di SMS/email, intercambiabili tramite configurazione
— Registro di audit, blocco da attacchi brute-force, hashing dei segreti in archiviazione
Per quanto riguarda i metodi di verifica, abbiamo bisogno di un supporto completo per TOTP in modo che gli utenti possano collegare qualsiasi app di autenticazione compatibile scansionando un codice QR, con un endpoint per il segreto condiviso e la tolleranza allo scostamento dell'orologio. Inoltre, abbiamo bisogno di codici usa e getta via SMS ed email come canali di backup, con lunghezza del codice configurabile, finestra di validità e limiti di reinvio per controllare costi e abusi. Ogni utente connesso riceve un insieme di codici di backup usa e getta che può stampare o salvare, e deve esserci un percorso sicuro per riemettere e revocare se un dispositivo viene perso. Il livello di consegna utilizza adattatori in modo che i fornitori di SMS o email possano essere scambiati tramite configurazione senza modifiche al codice.
Tutto questo è gestito tramite un'API REST documentata con autorizzazione tramite token per le app chiamanti, risposte JSON prevedibili e codici di errore chiari per token non validi, scaduti o già utilizzati. La sicurezza è l'essenza del prodotto, quindi ci aspettiamo hashing dei segreti in archiviazione, blocco da attacchi brute-force, un registro di audit dei tentativi di verifica e impostazioni predefinite sensate. Nella tua risposta, descrivi per favore la tua esperienza con sistemi OTP o di autenticazione.
— Supporto per autenticatore TOTP (emissione QR, segreto condiviso, tolleranza temporale)
— Codici usa e getta via SMS ed email con finestra di validità e limite di reinvio
— Codici di backup usa e getta con riemissione e revoca
— API REST documentata con autorizzazione tramite token e codici di errore chiari
— Adattatori per fornitori di SMS/email, intercambiabili tramite configurazione
— Registro di audit, blocco da attacchi brute-force, hashing dei segreti in archiviazione
Programmazione web Contante, Bonifico bancario
