Imposta la verifica di accesso a due fattori per un'area account utente

Gestiamo una piattaforma web con un'area account personale per utenti registrati, e al momento l'accesso richiede solo una password. Vogliamo aggiungere un secondo passaggio di verifica in modo che un account non possa essere accessibile solo con una password rubata. Lo scenario principale è un codice basato sul tempo generato da un'app autenticatore sul telefono dell'utente, inserito subito dopo la password ad ogni nuovo accesso o dopo la scadenza di una sessione.

Insieme al flusso dell'autenticatore abbiamo bisogno di una rete di sicurezza per le persone che perdono il telefono o lo reinstallano: un insieme di codici di backup usa e getta generati durante la configurazione, mostrati una sola volta, e ciascuno utilizzabile una sola volta per rientrare. Dovrebbe anche esserci un modo sensato per disabilitare e ri-registrare la protezione a due fattori se un dispositivo è realmente scomparso, senza trasformarlo in un facile bypass per un attaccante.

L'applicazione delle regole è importante quanto la meccanica: gli utenti regolari dovrebbero poter attivare questo volontariamente dalle impostazioni dell'account, ma gli account con permessi elevati — moderatori, personale, chiunque abbia accesso oltre ai propri dati — devono averlo obbligatorio, con l'interfaccia che rifiuta di farli saltare la configurazione dopo il login.

Cosa ci aspettiamo che il lavoro includa:
— registrazione dell'app autenticatore con codice QR e inserimento manuale del segreto
— verifica del codice al login con scadenza e limiti di ripetizione ragionevoli
— codici di backup usa e getta, generati una sola volta e memorizzati in modo sicuro
— flusso di recupero per perdita del dispositivo con ri-registrazione
— applicazione obbligatoria per ruoli ad accesso elevato
— istruzioni chiare e semplici per gli utenti regolari durante la configurazione