ZX2FA یک اکستنشن امنیتی برای ZXStore است که با اضافه کردن احراز هویت دو عاملی (2FA) به فرآیند ورود، یک لایه امنیتی بیشتر برای محافظت از حساب‌های مدیریتی فروشگاه ایجاد می‌کند.
این اکستنشن از استاندارد TOTP (Time-based One-Time Password) استفاده می‌کند؛ بنابراین پس از فعال‌سازی، علاوه بر نام کاربری و رمز عبور، کاربر باید یک کد یک‌بارمصرف را نیز هنگام ورود وارد کند.
این کد توسط اپلیکیشن‌های Authenticator مانند google authenticator تولید می‌شود و در بازه‌های زمانی کوتاه تغییر می‌کند.
چرا احراز هویت دو عاملی اهمیت دارد؟
رمز عبور به‌تنهایی همیشه نمی‌تواند از یک حساب کاربری در برابر دسترسی غیرمجاز محافظت کند.
اگر رمز عبور یک مدیر به هر دلیلی افشا یا سرقت شود، فرد دیگری می‌تواند با استفاده از همان اطلاعات برای ورود به حساب تلاش کند.
احراز هویت دو عاملی یک مرحله امنیتی دیگر به این فرآیند اضافه می‌کند.
در حالت عادی:
نام کاربری + رمز عبور → ورود
اما با فعال بودن ZX2FA:
نام کاربری + رمز عبور + کد یک‌بارمصرف → ورود
در نتیجه، داشتن رمز عبور به‌تنهایی برای ورود به حساب کافی نخواهد بود.
ZX2FA چگونه کار می‌کند؟
ZX2FA از الگوریتم TOTP برای تولید کدهای یک‌بارمصرف استفاده می‌کند.
پس از فعال‌سازی اکستنشن، کاربر باید Secret اختصاصی خود را در پروفایل حساب خود ایجاد و ذخیره کند.
این Secret برای تولید کدهای TOTP مورد استفاده قرار می‌گیرد.
سپس می‌توان آن را در یکی از برنامه‌های Authenticator سازگار ثبت کرد.
فرآیند کلی به این شکل است:
فعال‌سازی ZX2FA
↓
ایجاد Secret در پروفایل کاربر
↓
ثبت Secret در اپلیکیشن Authenticator
↓
تولید کد TOTP
↓
ورود به پنل مدیریت
↓
بررسی رمز عبور
↓
بررسی کد یک‌بارمصرف
↓
ورود موفق به پنل
Secret Code چیست؟
Secret Code یک مقدار محرمانه و اختصاصی است که برای تولید کدهای TOTP استفاده می‌شود.
هر کاربر باید Secret مربوط به حساب خودش را ایجاد و در پروفایل کاربری ذخیره کند.
این Secret نباید در اختیار افراد دیگر قرار بگیرد؛ زیرا هر شخصی که به Secret دسترسی داشته باشد، در صورت داشتن اطلاعات لازم دیگر، می‌تواند کدهای TOTP مربوط به آن را تولید کند.
به همین دلیل Secret باید مانند یک اطلاعات امنیتی حساس نگهداری شود.
فعال‌سازی احراز هویت دو عاملی برای حساب کاربر
ZX2FA مدیریت Secret مربوط به احراز هویت دو عاملی را از طریق پروفایل کاربران انجام می‌دهد.
در پروفایل کاربر بخش مربوط به ZX2FA در اختیار مدیر یا کاربر قرار می‌گیرد و می‌توان Secret موردنیاز برای TOTP را ایجاد و ذخیره کرد.
این موضوع باعث می‌شود تنظیمات احراز هویت دو عاملی در همان محیط مدیریت کاربران ZXStore انجام شود و نیازی به سیستم جداگانه‌ای برای مدیریت Secretها وجود نداشته باشد.
ورود امن‌تر به پنل مدیریت
پس از فعال شدن 2FA، فرآیند ورود به پنل مدیریت ZXStore شامل مرحله تأیید کد TOTP نیز خواهد بود.
ZX2FA در فرآیند Login فیلد مربوط به کد یک‌بارمصرف را نمایش می‌دهد.
کاربر ابتدا اطلاعات ورود خود را وارد می‌کند و سپس کد تولیدشده توسط Authenticator را وارد می‌کند.
در مرحله احراز هویت، ZX2FA کد واردشده را بررسی می‌کند و تنها در صورت معتبر بودن اطلاعات، اجازه ورود به پنل مدیریت داده می‌شود.
کدهای TOTP چگونه کار می‌کنند؟
کدهای TOTP برخلاف رمز عبور معمولی ثابت نیستند.
کد تولیدشده بر اساس:
Secret اختصاصی کاربر + زمان فعلی
محاسبه می‌شود.
به همین دلیل کد یک‌بارمصرف در بازه‌های زمانی مشخص تغییر می‌کند.
برای مثال ممکن است Authenticator یک کد مانند:
482731نمایش دهد و پس از مدت کوتاهی کد جدیدی تولید کند.
بنابراین حتی اگر یک کد یک‌بارمصرف مشاهده شود، برای مدت طولانی قابل استفاده نخواهد بود.
سازگار با اپلیکیشن‌های Authenticator
ZX2FA از استاندارد TOTP استفاده می‌کند و بنابراین می‌تواند با اپلیکیشن‌های Authenticator سازگار با این استاندارد مورد استفاده قرار گیرد.
برای مثال کاربران می‌توانند Secret مربوط به حساب خود را در اپلیکیشن‌های رایج تولید کد TOTP وارد کنند.
این موضوع باعث می‌شود برای استفاده از ZX2FA به یک اپلیکیشن اختصاصی و وابسته به ZXStore نیاز نداشته باشید.
افزایش امنیت حساب‌های مدیریتی
حساب‌های مدیریتی معمولاً دسترسی بسیار بیشتری نسبت به کاربران عادی دارند.
یک حساب Administrator ممکن است امکان دسترسی به:
- محصولات
- سفارش‌ها
- اطلاعات مشتریان
- تنظیمات فروشگاه
- موجودی
- تراکنش‌ها
- افزونه‌ها
- قالب
- تنظیمات سیستم
را داشته باشد.
به همین دلیل محافظت از این حساب‌ها اهمیت ویژه‌ای دارد.
ZX2FA با اضافه کردن یک مرحله احراز هویت مستقل از رمز عبور، سطح امنیت ورود به پنل مدیریت را افزایش می‌دهد.
مناسب برای مدیران و کاربران حساس
ZX2FA به‌خصوص برای حساب‌هایی مناسب است که دسترسی مهمی به فروشگاه دارند.
برای مثال:
Administrator
Store Manager
مدیر سیستم
کاربران دارای دسترسی‌های حساس
می‌توانند از احراز هویت دو عاملی برای محافظت بیشتر از حساب خود استفاده کنند.
تفاوت رمز عبور و احراز هویت دو عاملی
رمز عبور یک عامل احراز هویت است که معمولاً توسط کاربر انتخاب می‌شود و ممکن است افشا شود.
اما در احراز هویت دو عاملی، عامل دیگری نیز برای تأیید هویت کاربر مورد نیاز است.
به‌صورت ساده:
بدون 2FA
Username
+
Password
=
Loginبا ZX2FA
Username
+
Password
+
TOTP Code
=
Loginبنابراین مهاجم برای ورود موفق به حساب، علاوه بر رمز عبور باید به عامل دوم نیز دسترسی داشته باشد.
ZX2FA بخشی از اکوسیستم امنیتی ZXStore
ZX2FA به‌عنوان یک Extension مستقل برای ZXStore طراحی شده است.
این یعنی قابلیت احراز هویت دو عاملی بدون ایجاد تغییرات اساسی در هسته فروشگاه، به سیستم اضافه می‌شود.
ساختار ماژولار ZXStore این امکان را فراهم می‌کند که قابلیت‌های امنیتی و تخصصی نیز مانند سایر امکانات، در قالب Extension توسعه پیدا کنند.
در نتیجه:
ZXStore Core
ZX2FA
=
احراز هویت دو عاملی برای پنل مدیریت
چرا از TOTP استفاده شده است؟
TOTP یکی از استانداردهای رایج برای تولید رمزهای یک‌بارمصرف مبتنی بر زمان است.
استفاده از این روش چند مزیت مهم دارد:
- کدها ثابت نیستند.
- کدها در بازه‌های زمانی کوتاه تغییر می‌کنند.
- برای تولید کد به اتصال دائمی به سرویس خارجی نیاز نیست.
- می‌توان از Authenticatorهای رایج استفاده کرد.
- Secret اختصاصی برای هر حساب قابل تعریف است.
- فرآیند احراز هویت به رمز عبور محدود نمی‌شود.
نکته مهم هنگام فعال‌سازی ZX2FA
پس از فعال کردن اکستنشن، حتماً Secret Code مربوط به حساب را از بخش پروفایل ایجاد و ذخیره کنید.
بدون تنظیم Secret و ثبت آن در Authenticator، امکان استفاده صحیح از مرحله TOTP وجود نخواهد داشت.
همچنین Secret Code یک اطلاعات محرمانه است و باید با دقت نگهداری شود.
ZX2FA؛ یک لایه امنیتی بیشتر برای ZXStore
امنیت حساب‌های مدیریتی یکی از مهم‌ترین بخش‌های یک فروشگاه اینترنتی است.
ZX2FA با استفاده از احراز هویت دو عاملی مبتنی بر TOTP، ورود به پنل مدیریت ZXStore را به یک مرحله تأیید بیشتر مجهز می‌کند.
در این روش، حتی در صورت افشای رمز عبور، دسترسی به حساب بدون عبور از مرحله دوم احراز هویت امکان‌پذیر نخواهد بود.
ZX2FA؛ یک لایه امنیتی بیشتر برای محافظت از ورود به پنل مدیریت ZXStore.
دیدگاهتان را بنویسید