İki faktörlü kimlik doğrulama ve kurtarma kodları

Kimliğe dayalı kurtarma yoktur

Buradan başlayın, çünkü bu, makalenin geri kalanının amacını değiştirir. Sizden kim olduğunuzu hiç sormadık. Dosyada hiçbir belge, telefon numarası veya fatura adresi yoktur; bu nedenle, bir hesaba erişiminizi kaybettikten sonra o hesabın size ait olduğunu kanıtlayabileceğiniz hiçbir prosedür yoktur. KYC'siz politikanın yaptığı takas budur ve hiçbir yöne eğilmez.

Kurtarma kodları kurtarma prosedürüdür. Onlara hesapmış gibi davranın, çünkü operasyonel olarak öyleler.

Etkinleştirme

Birlikte kullanılabilen iki mekanizma:

• TOTP: otuz saniyelik adımda bilinen altı hane. Herhangi bir kimlik doğrulayıcı çalışır.
• WebAuthn: donanım güvenlik anahtarı veya platform kimlik doğrulayıcısı. İki tane kaydedin.

Etkinleştirildiğinde, ikinci faktör oturum açmada, bant dışı konsol oturumundan önce ve hesap e-postası değiştirilmeden önce zorunludur. API belirteçleri için zorunlu değildir; bunlar kendi kapsamları olan ayrı bir kimlik bilgisidir.

TOTP sırrını kendiniz doğrulama

apt install -y oathtool
oathtool --totp -b JBSWY3DPEHPK3PXP

Yazdırılan kod, telefonunuzdakiyle aynı saniyede eşleşmelidir. Eşleşmediğinde, neden neredeyse her zaman sır değil saattir.

Saat kayması

TOTP zamanın bir fonksiyonudur. Bir adım öncesini veya sonrasını kabul ediyoruz, yani otuz saniye tolerans: telefon için bol, çalışan bir zaman istemcisi olmadan bir yıldır açık olan bir sunucu için yeterli değil.

timedatectl status
systemctl status systemd-timesyncd     # Debian
chronyc tracking                       # AlmaLinux

System clock synchronized: yes önemli olan satırdır. Başka bir şeyin bozuk olduğu sonucuna varmadan önce saati düzeltin.

Kurtarma kodları

On kod, tek kullanımlık, ikinci faktörü etkinleştirdiğinizde üretilir. Her biri sizi bir kez oturum açar ve ardından ölür.

• Bunları yazdırın. Kağıdın pili, ürün yazılımı güncellemesi veya kilit ekranı yoktur.
• Oturum açtığınız makineden farklı bir binada bir kopyasını saklayın.
• Bunları hesap parolasını tutan parola yöneticisinde saklamayın. Bu, iki faktörü tek faktöre dönüştürür.
• Birini kullandıktan sonra seti yenileyin veya bir kopyanın hala özel olduğundan emin olmadığınızda. Yenilemek eski setteki tüm kodları öldürür.

Faktörü kaybederseniz ancak kodlarınız varsa

Bir kodla oturum açın, eski faktörü kaldırın, yenisini kaydedin, seti yenileyin. Dört dakika, bilet yok, kimseyi beklemek yok.

İkisini de kaybederseniz

Hesap gitti. Bir form bekleyen kilitli değil, birinin incelemesi sırasında askıya alınmış değil — gitti, altında çalışan her şeyle birlikte. Bunu açıkça yazmayı, var olmayan bir kaçış yolu ima etmeye tercih ederiz ve destek bir tane yaratamaz; sizi kontrol edecek hiçbir şeyimiz yok.

Hafifletme sıkıcıdır ve işe yarar. İki donanım anahtarı veya başka bir yerde bir çekmecede bir anahtar ve yazılı kod seti. Ve gerçekten yeri doldurulamaz olan her şeyin bir kopyasını bizde olmayan bir yerde bulundurmak; hangi sağlayıcıyı kullanırsanız kullanın bu iyi bir uygulamadır.