Ο έλεγχος ταυτότητας δύο παραγόντων, γνωστός επίσης ως 2FA, επαλήθευση δύο βημάτων ή TFA (ως ακρωνύμιο), είναι ένα επιπλέον επίπεδο ασφάλειας που είναι γνωστό ως «έλεγχος ταυτότητας πολλών παραγόντων» και απαιτεί όχι μόνο κωδικό πρόσβασης και όνομα χρήστη, αλλά και κάτι που μόνο, και μόνο, αυτός ο χρήστης έχει μαζί του, δηλαδή ένα στοιχείο πληροφορίας που μόνο αυτός θα πρέπει να γνωρίζει ή να έχει άμεσα διαθέσιμο - όπως ένα φυσικό διακριτικό - στη δική μας περίπτωση, ένα τηλέφωνο. Ένα τηλέφωνο στο οποίο έχει εκχωρηθεί ανιχνεύσιμος τηλεφωνικός αριθμός.
Το ακόλουθο εκπαιδευτικό υλικό θα εξηγήσει πώς να ρυθμίσετε τον έλεγχο ταυτότητας 2 παραγόντων για τον νέο ή υπάρχοντα ιστότοπό σας.
Πρώτα απ' όλα, συνδεθείτε στον λογαριασμό σας και βρείτε την οθόνη ελέγχου ταυτότητας δύο παραγόντων (2 Factor Authentication):
- Κάντε κλικ στο πλακίδιο «Εφαρμογές»:
- Μόλις βρεθείτε στη σελίδα Εφαρμογές, κάντε κλικ στο πλακίδιο "2 Factor Auth":
- Στη σελίδα «2 Factor Auth» (Έλεγχος ταυτότητας 2 παραγόντων), κάντε κλικ στο κουμπί «Create New» (Δημιουργία νέου).
Αυτές είναι οι επιλογές που θα δείτε:
Ακολουθεί επεξήγηση των διάφορων διαθέσιμων επιλογών:
1. Όνομα : όνομα αυτού του στιγμιοτύπου ελέγχου ταυτότητας δύο παραγόντων
2. Περιγραφή : μια σύντομη περιγραφή
3. CallerID : Αυτό είναι το CallerID που θα χρησιμοποιείται κατά την πραγματοποίηση εξερχόμενων κλήσεων (εφόσον είναι ενεργοποιημένες οι εξερχόμενες κλήσεις).
4. SenderID : Αυτό είναι το SenderID SMS/μηνυμάτων κειμένου (αριθμός αποστολέα) που θα χρησιμοποιείται κατά την αποστολή μηνυμάτων SMS/κειμένου. Λάβετε υπόψη ότι για ΗΠΑ/Καναδά πρέπει να έχετε στον λογαριασμό σας αριθμό τηλεφώνου με δυνατότητα SMS, για να μπορείτε να επιλέξετε αυτή την επιλογή.
5. Να επιτρέπεται η κλήση : Αυτή η επιλογή θα δώσει στους τελικούς χρήστες/επισκέπτες σας τη δυνατότητα να επαληθεύσουν τους τηλεφωνικούς αριθμούς τους λαμβάνοντας κλήσεις. Όταν οριστεί σε «Ναι» (Yes) θα εμφανιστεί ένα άλλο σύνολο επιλογών. Κάντε κύλιση προς τα κάτω για περιγραφή.
6. Μήκος PIN : Μήκος pin, από προεπιλογή 4 χαρακτήρες
7. Διεύθυνση URL για αιτήματα POST : Αυτή είναι μία από τις πιο σημαντικές επιλογές που μπορείτε να ορίσετε : Αυτή είναι η διεύθυνση URL που θα χρησιμοποιήσουμε για να σας στείλουμε τις πληροφορίες ελέγχου ταυτότητας/επαλήθευσης. Όλα αυτά γίνονται από την πλευρά του διακομιστή, οπότε οι τελικοί χρήστες σας δεν θα γνωρίζουν αυτήν τη διεύθυνση URL.
8. Τοπικό URL για POST (Local Post URL) : Αυτό είναι το URL στο οποίο η μικροεφαρμογή μας θα στέλνει αιτήματα POST στη διεπαφή προς τον πελάτη (ώστε η εφαρμογή σας να μπορεί να επεξεργαστεί περαιτέρω τις ενέργειες εγγραφής ή σύνδεσής του)
9. DIV ID : Η εφαρμογή ελέγχου ταυτότητας 2 παραγόντων θα χρησιμοποιήσει αυτό το div id για να εμφανίσει την ενσωματωμένη διεπαφή χρήστη (UI). Αυτό πρέπει επιπλέον να οριστεί στον κώδικα HTML της σελίδας σας ως ένα κενό DIV .
Για παράδειγμα, αν ορίσετε το DIV ID ως «2fa» , τότε πρέπει να επεξεργαστείτε τη σελίδα σύνδεσης/εγγραφής σας και να προσθέσετε ένα κενό div όπως αυτό :
. Εδώ θα εμφανιστεί η μικροεφαρμογή 2FA.
10. Τύπος ελέγχου ταυτότητας : Έχετε δύο επιλογές: «Post URL» (που θα προκαλέσει κλήση προς το URL/την επιλογή που εξηγήσαμε παραπάνω στο «7. POST URL») και «Enable Directly», που απλώς επιτρέπει στη φόρμα να συνεχίσει με υποβολή στο «8. Local Post URL» (λιγότερο ασφαλές).
11. Τομέας : Μπορείτε και πρέπει να το περιορίσετε στον τομέα που χρησιμοποιεί ο ιστότοπός σας. Εάν ο ιστότοπός σας είναι το www.test.com, περιορίστε τη χρήση σε αυτόν τον τομέα, ώστε η εφαρμογή 2FA να λειτουργεί μόνο σε αυτόν τον τομέα.
12. Εμφάνιση Captcha : Αυτή η επιλογή ελέγχει την εμφάνιση του Captcha στο ενσωματώσιμο περιβάλλον χρήστη 2FA.
13. Μέγιστες επαναλήψεις: Πόσες επαναλήψεις πρέπει να επιτρέπουμε ανά επισκέπτη;
14. Μοναδικό αναγνωριστικό (Unique Identifier) : Αυτό είναι το μοναδικό αναγνωριστικό που θα χρησιμοποιήσετε για αυτό το ενσωματώσιμο applet 2FA. Θα εξηγήσουμε πώς να το χρησιμοποιήσετε αργότερα (συνεχίστε να διαβάζετε αυτό το άρθρο :) )
15. Μέγιστες επαναλήψεις SMS : Πόσες φορές πρέπει να επιτρέψουμε στον τελικό χρήστη να προσπαθήσει ξανά να στείλει το SMS;
16. Μέγιστες επαναλήψεις κλήσεων : Πόσες φορές πρέπει να επιτρέπουμε στον τελικό χρήστη να προσπαθήσει ξανά να καλέσει τον αριθμό του;
17. Μήνυμα SMS : Σας επιτρέπει να στείλετε ένα διαμορφώσιμο μήνυμα SMS (η επιλογή δεν είναι ακόμη διαθέσιμη)
18. Σύνδεσμος Βοήθειας : Αυτός θα είναι ο σύνδεσμος βοήθειας που εμφανίζεται στο ενσωματώσιμο μικροπρόγραμμα 2FA. Εάν δεν καθοριστεί κανένας, δεν θα εμφανίζεται τίποτα.
Όταν το «Allow Dialing» (να επιτρέπονται κλήσεις) οριστεί σε yes (ναι), θα γίνουν διαθέσιμες οι ακόλουθες επιλογές:
Ακολουθεί μια εξήγηση για τις πρόσθετες επιλογές:
1. Επιλογή ήχου (Audio Choice) : σας επιτρέπει να επιλέξετε με ποιον τρόπο θα παρέχεται στον χρήστη ο αριθμός PIN ταυτοποίησής του. Οι διαθέσιμες επιλογές είναι TTS και Audio. Η επιλογή Audio θα αποκρύψει τις επιλογές "Μετατροπή κειμένου σε ομιλία" (Text to speech) και "Γλώσσα μετατροπής κειμένου σε ομιλία" (Text to speech language) και θα τις αντικαταστήσει με τις "Προηχογραφημένη φωνή" (Prerecorded audio voice) (ποιο είδος φωνής να χρησιμοποιηθεί;) και "Γλώσσα προηχογραφημένης φωνής" (Prerecorded audio voice language), όπως φαίνεται παρακάτω:
2. Μετατροπή κειμένου σε ομιλία : εάν το Επιλογή ήχου έχει οριστεί σε "TTS" , τότε αυτό είναι το κείμενο που η μηχανή TTS θα διαβάσει στον τελικό χρήστη (ισχύουν χρεώσεις TTS).
3. Γλώσσα μετατροπής κειμένου σε ομιλία: Αυτή είναι η γλώσσα στην οποία θα εκφωνείται το κείμενο.
4. Να επιτρέπεται η κλήση εσωτερικού : Εάν οριστεί σε ναι (yes), ο τελικός χρήστης θα επιτρέπεται να εισάγει επίσης τον αριθμό εσωτερικού του (ώστε να μπορείτε να προσεγγίζετε τελικούς χρήστες πίσω από IVRs, αντί μόνο τελικούς χρήστες με άμεσους τηλεφωνικούς αριθμούς)
5. Μέγιστη χρέωση ανά λεπτό : Εφόσον πληρώνετε για τις εξερχόμενες κλήσεις, έχετε επίσης τη δυνατότητα να περιορίσετε το κόστος ανά λεπτό που σχετίζεται με αυτές τις κλήσεις. Πιθανότατα δεν θέλετε οι τελικοί χρήστες σας να πραγματοποιούν έλεγχο ταυτότητας χρησιμοποιώντας δορυφορικά τηλέφωνα (αυτό θα ήταν πολύ ακριβό, ωχ!)
6. Αναμονή για χαιρετισμό (Wait for hello) : Αν οριστεί σε “No” , το σύστημα θα εκφωνήσει τον αριθμό PIN μόλις απαντηθεί η κλήση. Αν οριστεί σε “Yes” , το σύστημα θα περιμένει πρώτα τον πρώτο χαιρετισμό (βελτιώνει κάπως την παράδοση, αλλά μπορεί να οδηγήσει ορισμένους χρήστες να εγκαταλείψουν την κλήση πριν ακούσουν τον αριθμό PIN - συνήθως περίπου το 3% των χρηστών εγκαταλείπει την κλήση πριν ακούσει το PIN όταν αυτή η επιλογή είναι ενεργοποιημένη).
Μόλις ολοκληρώσετε όλες αυτές τις επιλογές, απλώς κάντε κλικ στο κουμπί «Υποβολή (Submit)». Θυμάστε το «Μοναδικό αναγνωριστικό (Unique Identifier)» που είπαμε ότι θα εξηγήσουμε αργότερα; Τώρα είναι η ώρα να το χρησιμοποιήσετε (Προσέξτε το «WHATEVERID» στο παρακάτω σενάριο;)
Δείτε πώς θα υλοποιούσατε τον έλεγχο ταυτότητας δύο βημάτων στον ιστότοπό σας:
<!DOCTYPE html>
<head>
<title>2Factor Authentication test</title>
<script type="text/javascript">
(function(d, script) {
script = d.createElement('script');
script.type = 'text/javascript';
script.async = true;
script.onload = function(){
// remote script has loaded
};
script.src = 'https://api.multitel.net/tfa/js/WHATEVERID/WHATEVERCUSTOMER';
d.getElementsByTagName('head')[0].appendChild(script);
}(document));
</script>
</head>
<html>
<body>
<div id="multitel" width="100px"></div>
<body>
</html>Παράδειγμα κώδικα · Προβολή πηγής
Και αυτό θα βλέπετε όταν ανοίγετε αυτήν τη σελίδα:
Καθώς οι τελικοί χρήστες αρχίζουν να πληκτρολογούν έναν αριθμό τηλεφώνου, η χώρα θα αρχίσει να εμφανίζεται:
Για αριθμούς ΗΠΑ:
Για αριθμούς του Ηνωμένου Βασιλείου:
Οι τελικοί χρήστες μπορούν τώρα να κάνουν κλικ στο “Αποστολή SMS” ή στο “Τηλεφωνική κλήση”. Μόλις λάβουν το SMS/μήνυμα κειμένου ή την τηλεφωνική κλήση τους, μπορούν να πληκτρολογήσουν τον κωδικό που έλαβαν και στη συνέχεια να κάνουν κλικ στο “Επαλήθευση”.
Εάν έχει οριστεί, θα στέλνουμε αυτές τις πληροφορίες μέσω POST, μαζί με το "WHATEVERCUSTOMERID"