Skonfiguruj weryfikację logowania dwuetapowego dla obszaru konta użytkownika

Prowadzimy platformę internetową z obszarem konta osobistego dla zarejestrowanych użytkowników, a obecnie logowanie wymaga tylko hasła. Chcemy dodać drugi krok weryfikacji, aby konto nie mogło być dostępne tylko za pomocą skradzionego hasła. Głównym scenariuszem jest kod czasowy generowany przez aplikację autoryzacyjną na telefonie użytkownika, wprowadzany tuż po haśle przy każdym nowym logowaniu lub po wygaśnięciu sesji.

Obok przepływu autoryzacyjnego potrzebujemy siatki bezpieczeństwa dla osób, które zgubiły telefon lub go przeinstalowały: zestaw jednorazowych kodów zapasowych generowanych podczas konfiguracji, wyświetlanych raz i każdy używalny tylko raz, aby ponownie uzyskać dostęp. Powinien być również rozsądny sposób na dezaktywację i ponowną rejestrację ochrony dwuetapowej, jeśli urządzenie jest rzeczywiście utracone, bez przekształcania tego w łatwe obejście dla atakującego.

Egzekwowanie ma znaczenie tak samo jak mechanika: zwykli użytkownicy powinni mieć możliwość dobrowolnego włączenia tego z ustawień konta, ale konta z podwyższonymi uprawnieniami — moderatorzy, pracownicy, ktokolwiek z dostępem wykraczającym poza własne dane — muszą mieć to wymagane, z interfejsem odmawiającym pominięcia konfiguracji po logowaniu.

Czego oczekujemy od pracy:
— rejestracja aplikacji autoryzacyjnej z kodem QR i ręcznym wprowadzeniem sekretu
— weryfikacja kodu przy logowaniu z rozsądnymi limitami ważności i ponownych prób
— jednorazowe kody zapasowe, generowane raz i bezpiecznie przechowywane
— proces odzyskiwania w przypadku utraty urządzenia z ponowną rejestracją
— obowiązkowe egzekwowanie dla ról z dostępem podwyższonym
— jasne, proste instrukcje dla zwykłych użytkowników podczas konfiguracji