- Verschifft
- 3. August 2026 um 04:31 UTC
- Autor
- Kamo
- Ausschuss
- e5efc19
Vollendet MFA. Der Kern landete in Kamo-Shared-Bibliothek; das ist der Draht, der sich dreht die Konfiguration in ein tatsächliches Tor eingefügt. Das Gate ist klein, weil Login bereits die richtige Form hatte: Es erstellt die *** Sitzung und reicht es dem Client NUR als einmaliger Schlüssel in der Antwort-Körperin - nein Cookie wird bei der Anmeldung gesetzt. So ist der gesamte Mechanismus, die OTK bis zum Der zweite Faktor ist bewiesen. Eine Sitzung, für die niemand ein OTK hält, ist unerreichbar, was bedeutet, dass die Sitzungserstellung selbst überhaupt nicht operiert werden musste. MfaChallengeService hält die ***Id unter einem undurchsichtigen, einwegigen, 5-Minuten-Token. Der Kunde erhält nie die Session-ID, und das Token ist wertlos ohne Code. Kurz absichtlich: Ein halbauthentischer Staat überlebt einen Passwort-Kompromiss. POST /api/security/mfa/challenge vervollständigt die Anmeldung, die Freigabe der OTK so die Client nimmt genau den Flow wieder auf, den er ohne MFA gehabt hätte. Ein falscher Code veröffentlicht nichts und verbrennt nicht die Herausforderung, weil erzwingt ein Benutzer zurück durch das Passwort über einen Tippfehler ist, wie MFA wird ausgeschaltet. Die Die Aussperrung der Einschreibung zählt diese Ausfälle. Ein Erfolg verbraucht die Herausforderung so es kann nicht wiederholt werden. Recovery-Codes vervollständigen es zu, und werden nie auch als versucht ein TOTP. Einschreibungsendpunkte (/einschreiben, /confirm, /status) erfordern eine Sitzung Faktor ist eine authentifizierte Aktion auf eigene Rechnung. /challenge absichtlich tut nicht, weil sein Anrufer per Definition Mid-Login ist. INERT HEUTE: das Tor feuert nur auf hatConfirmedFactor, und niemand ist eingeschrieben, so der vorhandene Login-Pfad ist kabelidentisch. Das ist der Punkt, das kann sich einsetzen bevor ein Client es unterstützt. Die Endpunkt-Ratsche erwischte meine eigenen drei Einschreiber als unbewacht. Sie sind bewacht, durch einen UserIdFromSession Helfer kann der One-Methode-Deep-Scan nicht folgen, so war der Fix lehrt GUARD, dass Helfer eher als baselining sie. Ich auch dokumentiert die umgekehrte Begrenzung die gleiche Übung ausgesetzt: completeChallenge räumt den Scan nur, weil er kSessionService berührt.