Implementar Two Factor

[filipedeschamps]

Contexto

Não sei se o Two Factor precisa de muito contexto, mas no que trata do TabNews, devemos poder oferecer isso no Login e na alteração de dados cadastrais.

Execução

• O @coffee-is-power iniciou uma implementação sobre Two Factor no PR feat(auth): adiciona autenticação de dois fatores #929
• Em paralelo, o @Diegiwg iniciou uma implementação de pedir a senha ao alterar um dado cadastral no PR refactor(modifies page 'user profile'): adds the 'confirm password' field, which will be requested whenever saving any changes to 'user information' #1104

Ao alterar um dado cadastral, a gente deveria pedir o Token do Two Factor, ou a senha? O mais seguro é o Token, correto?

[cybernerd007]

bom tendo em vistá os ataques recentes do youtubers onde se era roubado a sessão e mesmo tendo a verificação em 2 etapas ativas era possivel logar usando a sessão roubada, recomendo aqui diminuir a vida ultil da sessão do usuario (cookie) assim seria uma SOLUÇÃO PALEATIVA PARA EVITAR FUTURAS DORES DE CABEÇA para caso ocorra o roubo de sessão dificilmente isso traga um impacto maior ao usuario final.

Ao alterar um dado cadastral, a gente deveria pedir o Token do Two Factor, ou a senha? O mais seguro é o Token, correto?

Recomendo pedir os 2 assim como faz o Github quando é solicitado a exclusão de um repositorio, primeiro pede a senha em sequencia pede o token...

o que acha?

[filipedeschamps]

Nas vezes que o GitHub me pede uma segunda autenticação, recentemente ele me pede por padrão o Token, mas se eu quiser, posso ignorar e colocar apenas a Senha. Acho que pedir a Senha e o Token atrapalha demais a UX.

O que acha de, se o Two Factor estiver desabilitado, pede só a senha, e se estiver habilitado, pede só o token?

[cybernerd007]

Nas vezes que o GitHub me pede uma segunda autenticação, recentemente ele me pede por padrão o Token, mas se eu quiser, posso ignorar e colocar apenas a Senha. Acho que pedir a Senha e o Token atrapalha demais a UX.

O que acha de, se o Two Factor estiver desabilitado, pede só a senha, e se estiver habilitado, pede só o token?

Show!! Perfeito dessa forma..

[coffeeispower]

Deve ser fácil adicionar isso no meu pr.

Também uma coisa que ficou meio estranho e que ele adiciona a caixa do código no login, acho que seria melhor um dialog, eu vou ver isso depois....