Opis projektu
PrzetłumaczoneProwadzimy dojrzałą aplikację internetową z klasycznym logowaniem za pomocą e-maila i hasła, i chcemy podnieść bezpieczeństwo konta do nowoczesnych standardów. Celem projektu jest zaprojektowanie i wdrożenie w pełni funkcjonalnej warstwy uwierzytelniania dwuskładnikowego wraz z zestawem funkcji ochrony konta, starannie zintegrowanych z naszym istniejącym modelem użytkownika i logiką sesji. Nie potrzebujemy jednorazowego prototypu: potrzebujemy kodu produkcyjnej jakości, sensownych domyślnych ustawień i wygodnego scenariusza dla zwykłych użytkowników, którzy nie rozumieją bezpieczeństwa. Wybrany wykonawca pracuje z naszym obecnym stosem, przestrzega konwencji kodowania przyjętych w projekcie i dostarcza wynik, który nasz zespół może utrzymać po przekazaniu.
Specyficznie wymagane jest wsparcie TOTP kompatybilne z popularnymi aplikacjami uwierzytelniającymi, kanał jednorazowych kodów przez e-mail jako alternatywny drugi czynnik oraz jednorazowe kody zapasowe, które użytkownicy mogą wydrukować lub zapisać na wypadek utraty urządzenia. Konfiguracja powinna być krok po kroku i odwracalna: dostarczenie sekretu przez QR, obowiązkowy krok weryfikacji przed faktycznym aktywowaniem 2FA oraz jasna ścieżka odzyskiwania, która nie zablokuje kogoś na zawsze. Równolegle oczekujemy odpowiedniego zarządzania sesjami: czytelna lista aktywnych sesji i urządzeń, możliwość zdalnego zakończenia dowolnej z nich oraz powiadomienia o logowaniu, które informują właściciela, gdy pojawi się nowe urządzenie lub wystąpi nietypowa próba logowania. Wszystko to powinno być zgodne z aktualnymi najlepszymi praktykami przechowywania sekretów, ograniczania liczby prób i ochrony przed atakami brute force oraz ponownym użyciem kodów.
Dostarczony produkt obejmuje działający zestaw funkcji, migracje bazy danych, administracyjne przełączniki tam, gdzie to stosowne, zautomatyzowane testy dla krytycznych scenariuszy oraz krótką dokumentację dla naszego zespołu. W swojej odpowiedzi opisz odpowiednie doświadczenie w zakresie uwierzytelniania i bezpieczeństwa oraz swoje podejście do odzyskiwania dostępu, jeśli użytkownik straci zarówno swoje urządzenie, jak i kody zapasowe.
— TOTP przez aplikacje uwierzytelniające i jednorazowe kody przez e-mail jako drugie czynniki
— Jednorazowe kody zapasowe do odzyskiwania z bezpieczną regeneracją
— Konfiguracja krok po kroku i odwracalna z dostarczeniem QR i krokiem weryfikacji
— Lista aktywnych sesji i urządzeń z możliwością zdalnego zakończenia
— Powiadomienia o logowaniu dla nowego urządzenia i podejrzanych prób logowania
— Ograniczanie liczby prób, ochrona przed atakami brute force i zapobieganie ponownemu użyciu kodów, bezpieczne przechowywanie sekretów
Specyficznie wymagane jest wsparcie TOTP kompatybilne z popularnymi aplikacjami uwierzytelniającymi, kanał jednorazowych kodów przez e-mail jako alternatywny drugi czynnik oraz jednorazowe kody zapasowe, które użytkownicy mogą wydrukować lub zapisać na wypadek utraty urządzenia. Konfiguracja powinna być krok po kroku i odwracalna: dostarczenie sekretu przez QR, obowiązkowy krok weryfikacji przed faktycznym aktywowaniem 2FA oraz jasna ścieżka odzyskiwania, która nie zablokuje kogoś na zawsze. Równolegle oczekujemy odpowiedniego zarządzania sesjami: czytelna lista aktywnych sesji i urządzeń, możliwość zdalnego zakończenia dowolnej z nich oraz powiadomienia o logowaniu, które informują właściciela, gdy pojawi się nowe urządzenie lub wystąpi nietypowa próba logowania. Wszystko to powinno być zgodne z aktualnymi najlepszymi praktykami przechowywania sekretów, ograniczania liczby prób i ochrony przed atakami brute force oraz ponownym użyciem kodów.
Dostarczony produkt obejmuje działający zestaw funkcji, migracje bazy danych, administracyjne przełączniki tam, gdzie to stosowne, zautomatyzowane testy dla krytycznych scenariuszy oraz krótką dokumentację dla naszego zespołu. W swojej odpowiedzi opisz odpowiednie doświadczenie w zakresie uwierzytelniania i bezpieczeństwa oraz swoje podejście do odzyskiwania dostępu, jeśli użytkownik straci zarówno swoje urządzenie, jak i kody zapasowe.
— TOTP przez aplikacje uwierzytelniające i jednorazowe kody przez e-mail jako drugie czynniki
— Jednorazowe kody zapasowe do odzyskiwania z bezpieczną regeneracją
— Konfiguracja krok po kroku i odwracalna z dostarczeniem QR i krokiem weryfikacji
— Lista aktywnych sesji i urządzeń z możliwością zdalnego zakończenia
— Powiadomienia o logowaniu dla nowego urządzenia i podejrzanych prób logowania
— Ograniczanie liczby prób, ochrona przed atakami brute force i zapobieganie ponownemu użyciu kodów, bezpieczne przechowywanie sekretów
Programowanie stron internetowych Gotówka, Przelew bankowy
