Descrição do projeto
TraduzidoNós operamos uma plataforma web com uma área de conta pessoal para usuários registrados, e neste momento o login requer apenas uma senha. Queremos adicionar um segundo passo de verificação para que uma conta não possa ser acessada apenas com uma senha roubada. O cenário principal é um código baseado em tempo gerado por um aplicativo autenticador no telefone do usuário, inserido logo após a senha em cada novo login ou após a expiração de uma sessão.
Juntamente com o fluxo do autenticador, precisamos de uma rede de segurança para pessoas que perdem o telefone ou o reinstalam: um conjunto de códigos de backup de uso único gerados na configuração, exibidos uma vez, e cada um utilizável uma única vez para recuperar o acesso. Também deve haver uma maneira sensata de desativar e reinscrever a proteção em duas etapas se um dispositivo estiver realmente perdido, sem transformar isso em uma fácil brecha para um atacante.
A aplicação é tão importante quanto a mecânica: usuários regulares devem ser capazes de ativar isso voluntariamente nas configurações da conta, mas contas com permissões elevadas — moderadores, equipe, qualquer um com acesso além de seus próprios dados — devem ter isso como obrigatório, com a interface se recusando a permitir que eles pulem a configuração após o login.
O que esperamos que o trabalho inclua:
— inscrição no aplicativo autenticador com código QR e entrada manual de segredo
— verificação de código no login com limites razoáveis de expiração e tentativas de reentrada
— códigos de backup de uso único, gerados uma vez e armazenados com segurança
— fluxo de recuperação de perda de dispositivo com reinscrição
— aplicação obrigatória para funções de acesso elevado
— instruções claras e simples para usuários regulares durante a configuração
Juntamente com o fluxo do autenticador, precisamos de uma rede de segurança para pessoas que perdem o telefone ou o reinstalam: um conjunto de códigos de backup de uso único gerados na configuração, exibidos uma vez, e cada um utilizável uma única vez para recuperar o acesso. Também deve haver uma maneira sensata de desativar e reinscrever a proteção em duas etapas se um dispositivo estiver realmente perdido, sem transformar isso em uma fácil brecha para um atacante.
A aplicação é tão importante quanto a mecânica: usuários regulares devem ser capazes de ativar isso voluntariamente nas configurações da conta, mas contas com permissões elevadas — moderadores, equipe, qualquer um com acesso além de seus próprios dados — devem ter isso como obrigatório, com a interface se recusando a permitir que eles pulem a configuração após o login.
O que esperamos que o trabalho inclua:
— inscrição no aplicativo autenticador com código QR e entrada manual de segredo
— verificação de código no login com limites razoáveis de expiração e tentativas de reentrada
— códigos de backup de uso único, gerados uma vez e armazenados com segurança
— fluxo de recuperação de perda de dispositivo com reinscrição
— aplicação obrigatória para funções de acesso elevado
— instruções claras e simples para usuários regulares durante a configuração
Programação web Dinheiro, Transferência bancária
