MeldID: от единого аккаунта к системе управления цифровым доступом

{"text": "{\n \"title\": \"MeldID: מחשבון אחיד לניהול גישה דיגיטלית\",\n \"slug\": \"meldid-ot-edinogo-akkaunta-k-sisteme-upravleniya-tsifrovym-dostupom\",\n \"excerpt\": \"כאשר לראשונה התחלתי להכיר את MeldID, תפסתי אותו בעיקר כשירות לזיהוי דיגיטלי אחיד. כעת לפרויקט יש אפליקציות ל-iPhone ו-Android שמאגדות את מאמת ה-TOTP באופליין, שחזור אוטומטי של נתונים בין מכשירים ואישור כניסה לשירותים המחוברים.\",\n \"body_markdown\": \"

כאשר לראשונה התחלתי להכיר את MeldID, תפסתי אותו בעיקר כשירות לזיהוי דיגיטלי אחיד. משתמש יוצר חשבון אחד, מלא פרופיל מנוהל ואז יכול להשתמש בו באפליקציות שונות — לכניסה ולשידור נתונים מאושרים מבלי למלא מחדש את אותן הטפסים שוב ושוב.

ציפיתי שההתפתחות תתמקד בעיקר בהרחבת פרופילים ושירותים מחוברים. אך הפרויקט מהר הפך ממתקנת שרתים כמעט בלתי מורגשת לכלי יומיומי לניהול גישה.

השלב הבא היו אפליקציות ל-iPhone ול-Android. והדבר המעניין במיוחד אינו דווקא הופעת הלקוח הנייד, אלא באיזו משימות הצליחו לשלב בו.

TOTP רגיל — עם מטרה שונה

ביישומון קיים מפענח קודי TOTP — בדיוק אותם מספרים משתנים המשמשים לאימות דו-שלבי.

התקן לא ממציא את עצמו; המשתמש מוסיף חשבון ומקבל קוד שניתן להשתמש בשירות צד ג׳ או באתר.

רוב מאמתני ה-TOTP עונים על השאלה: «איך להציג קוד בן שישה ספרות?» כאן נשאלת שאלה רחבה יותר: איך לנהל בצורה בטוחה את מחזור החיים של סודות TOTP — מהוספה ואחסון ועד שחזור במכשיר אחר ומחיקת ההרשמה.

מצב באופליין פועל באופן מלא

למראית עין, היתרון המרכזי הוא פשוט הפקת קודים מקומית. אך ב-MeldID מצב אופליין כולל יותר.

ההיסטוריות השמורות ממשיכות לפעול ללא אינטרנט. הקודים מופקים ישירות בטלפון, כך שחוסר זמינות הקשר זמנית אינו מפקיע את תהליך האימות דו-שלבי.

גם הרשום החדש ל-TOTP ניתן להוספה באופליין. הוא נשמר באופן מקומי ומייד משמש ליצירת קודים. כשתהיה חיבור, ההוספה תשלח אוטומטית לאחסון המוגן ותסונכרן עם מכשירים נוספים.

עריכת ומחיקת רשומות מסונכרנות דורשות חיבור לשרת. כך נמנעים ממצב שבו יש גרסאות שונות של אותו אחסון במכשירים שונים.

כתוצאה מכך, יש שוויון בין פעולות שניתן לבצע ללא רשת לבין השינויים שמתבצעים לאחר חיבור לאינטרנט ומיועדים לכל המכשירים.

טלפון חדש אינו אומר סט קוד שונה

הבעיה המרכזית במאמתני TOTP היא לאחר אובדן, שבירה או החלפה של הטלפון. באורח רגיל יש לחפש קודים מגובים, להעביר רשומות ידנית או לקשר מחדש את היישום לכל שירות.

כאן האחסון קשור לא חשבון MeldID ולא למכשיר ספציפי. לאחר התחברות בטלפון חדש ותחילת השימוש באחסון מוגן, הרשומות מתחדשות אוטומטית.

לא משנה אם המכשיר הקודם היה Android והחדש iPhone או להפך. אפשר לחבר טלפונים רבים, מבלי שתהיה צורך בתהליך העברה נפרד לכל פלטפורמה.

נניח שהטלפון קרס פתאום בזמן טיול. במקום לשחזר את הגישה לשירותים בנפרד, המשתמש מתחבר ל-MeldID במכשיר החדש ומסיים את תהליך ההגדרה של האחסון. אז הרשומות ל-TOTP חוזרות ליישום.

אפשר להשתמש בכמה חשבונות MeldID באותו הטלפון. אחסונם נשאר מופרד: נתוני חשבון אחד אינם מבלבלים עם של אחר ואינם מופיעים במכשיר בלי ההרשאה המתאימה.

מה מתאחסן בשרת

שחזור אוטומטי מצריך אחסון הנתונים במקום כלשהו. אך סודות TOTP אינם נשמרים בבסיס הנתונים בגרסה פתוחה.

הנתון भाग החשבון מוצפן בתוך קונטיינר מוצפן. במבנה הנוכחי משמש הצפנה מזוהה AES-256-GCM, והמפתח מאחסון המוגן מופרד מבסיס הנתונים עצמו.

לפיכך, דליפת בסיס נתונים אחת אינה הופכת לרשימת סודות מוכנה ליצירת קודים. המתקשר מקבל בלוקים מוצפנים, אך לא את נתוני TOTP הפתוחים.

חשוב להדגיש: אין להבטחות מוחלטות. במילים פשוטות: סודות TOTP הפתוחים אינם נשמרים בבסיס הנתונים, וכריכה אחת של בסיס הנתונים אינה מספקת לשימוש בהם.

אישור כניסה דרך MeldID

תפקיד חשוב נוסף של היישומון — Login Approval, כלומר אישור נפרד של ההתחברות.

אם אתר או יישום תומך ב-MeldID, המשתמש יכול להתחיל כניסה עם חשבונו בפעולה אחת. כשיש הגנה, ההתחברות לא די בהצלחת האימות — היא נחשבת מושלמת רק לאחר אישור במכשיר מובטח.

הבקשה יכולה להיות מתועדת או לדחות, אם ההנחה היא שהתחלה זו אינה במתכוון.

בניגוד לאישור בטשטוש בפוש, Login Approval משולב באדריכלות MeldID ויכול לשמש את כל השירותים המחוברים למערכת הזיהוי הזאת.

הפוש משמש כאן רק כהודעה על פעולה חדשה. אין בו סיסמה, קוד TOTP, טוקן או נתונים אחרים לביצוע אימות.

קוד TOTP ואישור כניסה משלימים זה את זה

TOTP נותן תקן אוניברסלי ומעבוד גם בשירותים שאינם מודעים ל-MeldID. לאחר טעינת הרשומה, הקודים נוצרים באופן מקומי.

Login Approval נדרש כשביצוע ההתחברות מתבצע דרך MeldID. הוא מוסיף פעולה מודעת של המשתמש ומאפשר לעצור את הניסיון לפני יצירת סשן.

כך היישומון יכול לשמש גם כמאפיין אוטומטי לאתרים חיצוניים וגם כאמצעי לאישור כניסה במערכת המחוברת.

מה שונה במלואו ב-MeldID

כאשר התחלתי להכיר את הפרויקט, הרעיון המרכזי היה ניהול חשבון יחיד ופרופיל נייד. אך כעת מתברר כי MeldID הופך בהדרגה למרכז ניהול גישה דיגיטלית אישי.

כאן ניתן:

• לקבל קודי TOTP ללא חיבור לאינטרנט;

• להוסיף רשומות חדשות באופליין;

• שחזר אוטומטי במכשיר חדש;

• להשתמש בכמה טלפונים;

• להפריד בין חשבונות שונים במכשיר אחד;

• לאשר או לדחות כניסות חדשות.

הערך של היישומון אינו בכלל בהצגת קוד בן שישה ספרות בלבד, אלא בשמירה על הגישה כשמחליפים מכשיר, בשימור נתונים ללא רשת ובהענקת שליטה מודעת אחרונה לבעל החשבון לפני יצירת סשן חדש.

הביטחון כאן מבוסס על מכלול פתרונות: סודות TOTP אינם נשמרים בגרסה פתוחה, הגישה אינה מקושרת לעולם למכשיר אחד, חשבונות מופרדים ושמורים בנפרד, וכן הכניסה לשירותים הנתמכים מסתיימת רק באישור ממכשיר מאושר.

\"\n \"seo_title\": \"MeldID: מערכת ניהול גישה דיגיטלית ואימות דו-שלבי\",\n \"seo_description\": \"גלה כיצד MeldID מתפתח מסביבת זיהוי לשירות ניהול גישה מלא, הכולל יצירת קודים לאופליין ושחזור אוטומטי של נתונים.\",\n \"og_title\": \"MeldID: מערכת ניהול גישה דיגיטלית ואימות דו-שלבי\",\n \"og_description\": \"גלה כיצד MeldID משתנה משירות זיהוי לפלטפורמה מקיפה לניהול גישה דיגיטלית, המבטיחה הפקת קודים באופליין ושחזור אוטומטי של נתונים.\"\n}"}