Ein Bestätigungscode muss lang genug gültig sein, um zugestellt und eingegeben zu werden, und gleichzeitig die Gelegenheit zum Erraten oder Wiederverwenden begrenzen. Messen Sie den vollständigen Verifizierungsablauf, bevor Sie die Gültigkeitsdauer festlegen.
Wie lange sollte der Bestätigungscode gültig bleiben?
Erlauben Sie höchstens zehn Minuten für einen gesendeten Authentifizierungscode, einschließlich Zustellung und Eingabe.
NISTs Authentifizierungsleitfaden legt dieses Maximum für die Authentifizierung über einen separaten Kanal fest. Er verlangt außerdem, dass der Server den Code nur einmal akzeptiert, um eine Wiederverwendung nach erfolgreicher Authentifizierung zu verhindern.
Markieren Sie den Code als verwendet, wenn er erfolgreich ist. Lehnen Sie eine erneute Übermittlung dieses Codes ab, auch wenn sie vor dem Ablauf eintrifft.
Zehn Minuten sind ein Maximum, keine empfohlene Wartezeit. Wählen Sie ein kürzeres Fenster, wenn Ihre Zustell- und Eingabemessungen dies unterstützen.
Ein Code, der vierzig Sekunden für die Zustellung benötigt, lässt in einem Zehn-Minuten-Fenster neun Minuten und zwanzig Sekunden übrig. Berücksichtigen Sie Lese- und Tippzeit, wenn Sie Ihre Zustellmessungen verwenden.
Von Authenticator-Apps generierte Codes folgen einem anderen Zeitmodell. Verwenden Sie die entsprechenden TOTP- oder HOTP-Regeln, wenn die Anwendung den Code lokal generiert.
Wie viele Stellen sollte er haben?
Verwenden Sie mindestens sechs zufällig generierte Ziffern. Legen Sie ein Limit für Fehlversuche fest.
NIST verlangt mindestens sechs Dezimalziffern aus einem zugelassenen Zufallsgenerator für gesendete Authentifizierungsgeheimnisse. Ein vorhersagbarer Zähler oder Zeitstempel erfüllt diese Anforderung nicht.
Sechs zufällige Ziffern ergeben eine Million möglicher Codes. Fünf verschiedene Rateversuche haben fünf Chancen in einer Million, also eins zu zweihunderttausend.
Zählen Sie Fehlversuche pro Konto. NIST verlangt, dass ein neuer Code diesen Zähler beibehält, damit erneutes Senden keine unbegrenzten Rateversuche ermöglicht.
Ein Versuchslimit braucht auch einen Wiederherstellungsweg für legitime Nutzer, die es ausschöpfen. Entscheiden Sie, wie diese wieder Zugang erhalten, ohne das Limit für einen Angreifer zurückzusetzen.
Sollte ich stattdessen acht Stellen verwenden?
Verwenden Sie acht, wenn die geringere Ratewahrscheinlichkeit zwei zusätzliche Stellen bei der Eingabe rechtfertigt.
Acht zufällige Ziffern ergeben hundert Millionen möglicher Codes. Bei fünf Rateversuchen wird die Chance fünf zu hundert Millionen.
Das ist hundertmal geringer als fünf Rateversuche gegen sechs Stellen. Behalten Sie dasselbe Versuchslimit bei, wenn Sie die Codelänge erhöhen.
Längere Codes beheben unbegrenztes Raten nicht. Implementieren Sie das Versuchslimit, bevor Sie zusätzliche Stellen als ausreichenden Schutz betrachten.
Was kann ich in Bird konfigurieren?
Legen Sie die Bestätigungscode-Richtlinie des Workspace fest. Prüfen Sie die aufgelösten Einstellungen, die für jede Verifizierung zurückgegeben werden.
| Feld | Empfohlene Einstellung |
|---|---|
code_length | Bird akzeptiert 4 bis 8 Zeichen. Wählen Sie für diese Richtlinie mindestens sechs |
code_type | Prüfen Sie den zurückgegebenen Zeichensatz, numeric oder alphanumeric |
ttl_seconds | Bird akzeptiert 1 bis 59940 Sekunden. Halten Sie das Authentifizierungsfenster bei 600 Sekunden oder weniger |
max_attempts | Wählen Sie 1 bis 10 fehlerhafte Übermittlungen, bevor die Verifizierung fehlschlägt |
resend_cooldown_seconds | Wählen Sie 0 bis 3600 Sekunden zwischen den Sendungen an den Empfänger |
Die zulässige Dauer von API geht über diese Authentifizierungsempfehlung hinaus. Setzen Sie den Wert bewusst, statt den maximal akzeptierten Wert als geeignete Ablaufzeit zu behandeln.
Eine Verifizierungsanfrage kann code_length für diese Verifizierung überschreiben. Prüfen Sie die aufgelöste Richtlinie, wenn Sie Verhalten untersuchen, das von der Workspace-Konfiguration abweicht.
Was sollte ich wählen?
- Beginnen Sie mit sechs zufälligen Ziffern und einem kleinen, erzwungenen Versuchslimit.
- Bemessen Sie das Gültigkeitsfenster anhand gemessener Zustell- und Eingabezeit, innerhalb von zehn Minuten.
- Verwenden Sie acht Stellen, wenn die Aktion eine geringere Ratewahrscheinlichkeit erfordert.
- Erzwingen Sie einmalige Verwendung und behalten Sie den Zähler für Fehlversuche bei, wenn ein neuer Code ausgestellt wird.
In short
Erlauben Sie höchstens zehn Minuten.
Zustellung und Eingabe verbrauchen beide das Gültigkeitsfenster. Wählen Sie eine kürzere Dauer, wenn Ihr gemessener Ablauf dies unterstützt.
Verwenden Sie mindestens sechs zufällige Ziffern.
Zählen Sie Fehlversuche und wählen Sie eine passende Codelänge. Längere Codes ersetzen kein Versuchslimit.
Akzeptieren Sie jeden Code nur einmal.
Lehnen Sie einen bereits akzeptierten Code ab, auch wenn sein Gültigkeitsfenster noch nicht abgelaufen ist.
Behalten Sie den Versuchszähler bei erneutem Senden bei.
Das Ausstellen eines neuen Codes darf dem Konto keine neuen Rateversuche gewähren.