Opis projektu
PrzetłumaczoneMamy kilka produktów internetowych i mobilnych i nie chcemy pisać ochrony logowania od podstaw w każdym z nich. Celem jest jedna usługa uwierzytelniania dwuetapowego, którą nasze aplikacje mogą wywoływać za pomocą API: rejestracja użytkowników, wydawanie jednorazowych kodów i ich weryfikacja podczas logowania lub potwierdzania wrażliwych operacji. To celowo NIE jest projekt SSO ani delegacja OAuth i NIE jest to wrapper bramki SMS. Potrzebujemy warstwy OTP: generowanie kodów, przechowywanie, czas życia, ograniczenia szybkości, logika weryfikacji oraz procesy konfiguracji i odzyskiwania wokół tego.
W zakresie metod weryfikacji potrzebujemy pełnego wsparcia TOTP, aby użytkownicy mogli połączyć dowolną kompatybilną aplikację uwierzytelniającą, skanując kod QR, z punktem końcowym dla wspólnego sekretu i tolerancji różnicy czasowej. Dodatkowo potrzebujemy jednorazowych kodów za pomocą SMS i e-mail jako kanałów zapasowych, z konfigurowalną długością kodu, oknem ważności i limitami ponownego wysyłania, aby kontrolować koszty i nadużycia. Każdy połączony użytkownik otrzymuje zestaw jednorazowych kodów zapasowych, które może wydrukować lub zapisać, a także musi istnieć bezpieczna ścieżka do ponownego wydania i unieważnienia, jeśli urządzenie zostanie zgubione. Warstwa dostarczania używa adapterów, dzięki czemu dostawcy SMS lub e-mail mogą być wymieniani za pomocą konfiguracji bez zmian w kodzie.
Wszystko to jest zarządzane przez udokumentowane API REST z autoryzacją tokenów dla wywołujących aplikacji, przewidywalnymi odpowiedziami JSON i jasnymi kodami błędów dla nieprawidłowych, wygasłych lub już użytych tokenów. Bezpieczeństwo jest istotą produktu, więc oczekujemy haszowania sekretów w przechowywaniu, blokowania ataków brute-force, dziennika audytu prób weryfikacji oraz rozsądnych domyślnych ustawień. W swojej odpowiedzi prosimy o opisanie swojego doświadczenia z systemami OTP lub uwierzytelniania.
— Wsparcie dla aplikacji uwierzytelniającej TOTP (wydawanie QR, wspólny sekret, tolerancja czasowa)
— Jednorazowe kody za pomocą SMS i e-mail z oknem ważności i limitem ponownego wysyłania
— Jednorazowe kody zapasowe z możliwością ponownego wydania i unieważnienia
— Udokumentowane API REST z autoryzacją tokenów i jasnymi kodami błędów
— Adaptery dostawców SMS/e-mail, wymienne za pomocą konfiguracji
— Dziennik audytu, blokowanie ataków brute-force, haszowanie sekretów w przechowywaniu
W zakresie metod weryfikacji potrzebujemy pełnego wsparcia TOTP, aby użytkownicy mogli połączyć dowolną kompatybilną aplikację uwierzytelniającą, skanując kod QR, z punktem końcowym dla wspólnego sekretu i tolerancji różnicy czasowej. Dodatkowo potrzebujemy jednorazowych kodów za pomocą SMS i e-mail jako kanałów zapasowych, z konfigurowalną długością kodu, oknem ważności i limitami ponownego wysyłania, aby kontrolować koszty i nadużycia. Każdy połączony użytkownik otrzymuje zestaw jednorazowych kodów zapasowych, które może wydrukować lub zapisać, a także musi istnieć bezpieczna ścieżka do ponownego wydania i unieważnienia, jeśli urządzenie zostanie zgubione. Warstwa dostarczania używa adapterów, dzięki czemu dostawcy SMS lub e-mail mogą być wymieniani za pomocą konfiguracji bez zmian w kodzie.
Wszystko to jest zarządzane przez udokumentowane API REST z autoryzacją tokenów dla wywołujących aplikacji, przewidywalnymi odpowiedziami JSON i jasnymi kodami błędów dla nieprawidłowych, wygasłych lub już użytych tokenów. Bezpieczeństwo jest istotą produktu, więc oczekujemy haszowania sekretów w przechowywaniu, blokowania ataków brute-force, dziennika audytu prób weryfikacji oraz rozsądnych domyślnych ustawień. W swojej odpowiedzi prosimy o opisanie swojego doświadczenia z systemami OTP lub uwierzytelniania.
— Wsparcie dla aplikacji uwierzytelniającej TOTP (wydawanie QR, wspólny sekret, tolerancja czasowa)
— Jednorazowe kody za pomocą SMS i e-mail z oknem ważności i limitem ponownego wysyłania
— Jednorazowe kody zapasowe z możliwością ponownego wydania i unieważnienia
— Udokumentowane API REST z autoryzacją tokenów i jasnymi kodami błędów
— Adaptery dostawców SMS/e-mail, wymienne za pomocą konfiguracji
— Dziennik audytu, blokowanie ataków brute-force, haszowanie sekretów w przechowywaniu
Programowanie stron internetowych Gotówka, Przelew bankowy
