Zwei-Faktor-Authentifizierung via Email - Ablauf

  • Allgemein

    Zwei-Faktor-Authentifizierung via Email - Ablauf

    Hallo zusammen,ich würde euch gerne um euren Rat bezüglich der Zwei-Faktor-Authentifizierung via Email bitten..

    Ich würde dort wie folgt vorgehen:

    - Nutzer sieht Login-Screen und tippt wie sonst auch seinen Benutzernamen und Passwort ein und schickt die Daten via HTTP-POST an die REST-Schnittstelle für den Login.
    - Die Login-Schnittstelle erkennt, dass die Daten korrekt sind und meldet dem Client zurück "Hey, du hast die Zwei-Faktor-Authentifizierung aktiv, also gib mir bitte den Code, den ich dir per Mail gesendet habe".
    - Der Client (egal ob jetzt per HTML, oder whatever) erkennt die Antwort und wechselt zum Code-Eingabe-Bildschirm.
    - Der Nutzer checkt seine Mails und findet den Code in der Email (da es sich um eine Single-Page-App in meinem Beispiel handelt, möchte ich nicht hingehen und dort einen Link hinterlegen, sonst würde ein neues Tab zustande kommen..)
    - Der Nutzer wechselt zum Frontend zurück, gibt den Code in der Maske ein und schickt Ihn per weiteren HTTP-POST Request an die passende Schnittstelle.

    An dieser Stelle kommt meine Problematik.. Ich habe mir den Ablauf einer anderen Seite angeschaut und es scheint soweit so zu passen. Was mich allerdings zum Nachdenken bringt ist die Tatsache, dass ich beim Nutzer z.B. den Code hinterlege (beim ersten Request - mit Zeit-Begrenzung von z.B. 2 Minuten - 30 Sekunden sind ja ein wenig zu kurz in dieser Variante) und er diesen Code dann in der zweiten Maske eingibt.

    Schaue ich dann beim zweiten Request einfach nur a la "gibt mir den User mit dem - zeitlich gültigen - Code X", reicht das dann schon??

    PS: Ich glaube ich bin im falschen Unter-Forum gelandet, sorry.
    Polling is trolling!

    Achtung: Ich habe die komische Angewohnheit, simple Dinge zu verkomplizieren..