Опис проєкту
ПерекладУ нас є вебплатформа з особистим кабінетом для зареєстрованих користувачів, і зараз вхід захищений лише паролем. Ми хочемо додати другий фактор перевірки, щоб одного вкраденого пароля було недостатньо для доступу до акаунта. Основний сценарій — тимчасовий код із застосунку-автентифікатора на телефоні користувача, який запитується одразу після пароля під час кожного нового входу або після завершення сесії.
Окремо потрібен резервний сценарій на випадок, якщо телефон загублено, зламано або переустановлено: набір одноразових резервних кодів, які показуються один раз під час налаштування, і кожен можна використати лише одноразово для входу. Має бути зрозуміла процедура вимкнення та повторної прив'язки двофакторної автентифікації в разі реальної втрати пристрою, але без лазівки, якою міг би скористатися зловмисник.
Окремо важлива обов'язковість: звичайні користувачі вмикають захист добровільно в налаштуваннях особистого кабінету, а от ролі з розширеним доступом — модератори, співробітники підтримки, всі, хто має доступ поза межами власних даних — мають отримувати її примусово, без можливості пропустити налаштування після входу.
Що має входити в роботу:
— прив'язка застосунку-автентифікатора через QR-код і ручне введення ключа
— перевірка коду під час входу з розумним терміном дії та обмеженням спроб
— генерація резервних кодів і їх безпечне зберігання
— сценарій відновлення доступу в разі втрати пристрою
— примусове увімкнення для ролей із розширеним доступом
— зрозуміла інструкція для звичайних користувачів на етапі налаштування
Окремо потрібен резервний сценарій на випадок, якщо телефон загублено, зламано або переустановлено: набір одноразових резервних кодів, які показуються один раз під час налаштування, і кожен можна використати лише одноразово для входу. Має бути зрозуміла процедура вимкнення та повторної прив'язки двофакторної автентифікації в разі реальної втрати пристрою, але без лазівки, якою міг би скористатися зловмисник.
Окремо важлива обов'язковість: звичайні користувачі вмикають захист добровільно в налаштуваннях особистого кабінету, а от ролі з розширеним доступом — модератори, співробітники підтримки, всі, хто має доступ поза межами власних даних — мають отримувати її примусово, без можливості пропустити налаштування після входу.
Що має входити в роботу:
— прив'язка застосунку-автентифікатора через QR-код і ручне введення ключа
— перевірка коду під час входу з розумним терміном дії та обмеженням спроб
— генерація резервних кодів і їх безпечне зберігання
— сценарій відновлення доступу в разі втрати пристрою
— примусове увімкнення для ролей із розширеним доступом
— зрозуміла інструкція для звичайних користувачів на етапі налаштування
Веб програмування Готівка, Банківський переказ
