jRSrSSKJrJrJrJrJr SSKJrJ r SSK J r SSK J r J r SSKrSSKrSSKrSSKrSSKrSSKrSSKrSSKJr SSKJr SS KJrJrJrJrJr SS KJ r \"5r!S S 0r"S S S.r#Sr$Suo Kétlépcsős hitelesítés: a belépés 2. lépése - a 6 jegyű kód bekérése (2. fázis), és az első beállítás (3. fázis). FOLYAMAT (kész beállítás, 2. fázis) 1. POST /login: helyes jelszó + kötelező 2FA + kész beállítás -> átmeneti (mfa_pending, cel="kod") süti, átirányítás ide 2. GET /mfa : kód-bevitel oldal (csak érvényes átmeneti sütivel) 3. POST /mfa : a kód ellenőrzése. Siker -> teljes munkamenet-süti (`mfa` jelzéssel), a számlálók nullázása, naplózás. Hiba -> a sikertelen kísérlet számlálása a login_vedelem-ben (ugyanaz a tiltás, mint a jelszó-találgatásnál: túl sok próbálkozás után tiltás + a rendszeradmin értesítése). 4. POST /mfa/megse: az átmeneti süti törlése, vissza a bejelentkezéshez. FOLYAMAT (első beállítás, 3. fázis) - ha a felhasználóra kötelező a 2FA, de még nincs megerősített beállítása 1. POST /login: helyes jelszó -> átmeneti (cel="beallitas", 15 perc) süti, átirányítás a /mfa/beallitas-ra 2. GET /mfa/beallitas : (v28-tól) csak a BEVEZETŐ + "QR-kód létrehozása" gomb - NEM ír (egy GET-nek ismételhetőnek kell lennie) POST /mfa/beallitas/inditas : új TOTP-titok (a korábbi meg nem erősített eldobva), a válasz közvetlenül a QR-kód + kézi kulcs oldal 3. POST /mfa/beallitas : a hitelesítő alkalmazás első kódja. Siker -> a beállítás KÉSZ, a felhasználó be van lépve (a kód ismerete bizonyítja, hogy a titok a telefonján van), naplózás, értesítő e-mail A MEGERŐSÍTETT beállítást ez az oldal NEM írja felül (csak a "beallitando" állapotú felhasználó érheti el) - különben egy ellopott jelszó kicserélhetné a második faktort. Elveszett telefon: rendszeradmin-reset (mfa_felold.py; 5. fázis: felület). BIZTONSÁG (részletek: docs/KETLEPCSOS_HITELESITES.md) - Az átmeneti süti NEM munkamenet: a security.get_current_user() visszautasítja (typ mező). - A süti `SameSite=Strict`, `HttpOnly`, `Secure`, és csak a /mfa útvonalra érvényes; 5 percig él. - A kód egyszer használható (mfa_utils: atomi, visszajátszás elleni rögzítés). - A hibaüzenet mindig ugyanaz ("hibás vagy lejárt kód"), nem árulja el, melyik része volt rossz. - Az oldalak `Cache-Control: no-store` fejlécet kapnak. ) APIRouterRequestDependsFormstatus) HTMLResponseRedirectResponse)Session)datetimetimezoneN)ACCESS_TOKEN_EXPIRE_MINUTES)get_db)create_access_tokenbelepesi_tokendecode_mfa_pending_token get_client_ipMFA_PENDING_COOKIE) templates Cache-Controlzno-storez no-referrer)rzReferrer-PolicyuiHibás vagy lejárt kód. Ellenőrizd, hogy a telefonod ideje pontos-e, és a legfrissebb kódot írd be!kodrequestdbcelcn[URR[55nU(aURSS5U:wagUR [ R 5R[ R RURS5:H5R5nU(a UR(aURSLagURbSURS5nUb>[R"U[R S9R#SS9UR:agU$) uA félig bejelentkezett felhasználó, ha az átmeneti süti érvényes, a megfelelő CÉLÚ ("kod" / "beallitas": a két végpont nem használhatja egymás tokenjét), és a fiók még használható; különben None.rrNsubFiat)tz)tzinfo)rcookiesgetrquerymodelsUserfilteremailfirstaktiv aktivalvajelszo_valtozott_atr fromtimestampr utcreplace)rrrpayloaduserrs /var/www/website/routers/mfa.py!_felhasznalo_az_atmeneti_tokenbolr08s'w':':;M'NOG gkk%/36 88FKK ' ' (9(9W[[=O(O P V V XD tzzT^^u%< +kk%  ;(00FNNVZN[^b^v^vv Kreturnc^[S[RS9nUR[SS9 U$)Nz/loginurl status_code/mfapath)r rHTTP_303_SEE_OTHER delete_cookier)resps r/_vissza_a_belepeshezr=Js- f6O6O PD)7 Kr1hibacR[R"USURUS.[S9$)Nzmfa.html)r%r>rnamecontextheaders)rTemplateResponser% _FEJLECEK)rr.r>s r/_oldalrFPs*  % % **d3  r1r7)response_classcP[X5nU(d [5$[X5$N)r0r=rFrrr.s r/ mfa_oldalrKYs# ,W 9D #%% '  r1c >[X5nU(d [5$[U5nURn[R "X$U5(a[ X[R5$[R"X#5[R:wa [5$URURpv[R"X$XS5b[ X[R5$UR[R U5n[R""X#U5(d[ X[$5$UR'5 [R("X$U5 UR+[R,"UUSSSUS3S95 UR'5 [/X%U5$)NBejelentkezés-u7Sikeres bejelentkezés kétlépcsős hitelesítéssel () company_iduser_id field_name old_value new_value)r0r=rr% login_vedelemtiltva_erFTILTOTT_UZENET mfa_utilsallapot ALLAPOT_KESZidrRsikertelen_rogziteser r"r#kod_ellenorzese_es_rogziteseHIBAS_KOD_UZENETcommitsikeres_torleseaddAuditLog_teljes_belepes)rrrr. client_ipr%rSrRs r/mfa_kod_ellenorzesergasH -W 9D #%%g&I JJEbU33g]%A%ABB"i&<&<<#%%''4??Z))"EQg]%A%ABB 66&++w 'D  1 1"C @ @g%566IIK!!"7FF6??#KI;VWX  IIK 2i 00r1r%rfc UR[R5R[RRU:H5R 5nUc,[ [R"X5[RS9nUR[SS9 URS[XUSS9SSS[S-S 9 U$) uA teljes munkamenet kiadása a 2FA-kód (vagy mentőkód) elfogadása után (belépés vagy első beállítás). Új munkamenet-azonosítót (sid) indít: ez dobja ki a fiók esetleges másik, még élő munkamenetét (v32, docs/EGYIDEJU_BELEPES.md); a rendszeradminra ez nem vonatkozik. `resp` (v34): ha meg van adva, a sütiket erre a (pl. a mentőkódokat mutató oldal) válaszra teszi, különben átirányítást ad a modulválasztóra.r4r7r8 access_tokenT)mfalax<)keyvaluehttponlysecuresamesitemax_age)r!r"r#r$r%r&r jelszo_hazirendbelepes_utani_celrr:r;r set_cookierr )rr%rfr<r.s r/reres 88FKK ' ' (9(9U(B C I I KD |O$E$Eb$O]c]v]vw)7OO Ryd;+b0 Kr1z /mfa/megsec[5$)upMégse: az átmeneti süti törlése, vissza a bejelentkezéshez (POST: állapotot módosít - a sütit törli).)r=r1r/ mfa_megserxs  !!r1titokc b^SRU4Sj[S[T5S555$)uA kézi beírású kulcs olvashatóbb alakja (4 karakteres csoportok) - az alkalmazások a szóközt figyelmen kívül hagyják. c32># UH nTXS-v M g7f)Nrw).0irys r/ '_kulcs_csoportositva..sD,CqE!EN,Csrr})joinrangelen)rys`r/_kulcs_csoportositvars% 88DE!SZ,CD DDr1c [R"USURU[R"[R "X55[ U5S.[S9$)Nmfa_beallitas.htmlr%r>qrkulcsr@)rrDr%rZqr_png_data_uriprovisioning_urir_BEALLITAS_FEJLECEK)rr.ryr>s r/_beallitas_oldalrsP  % % !ZZ++I,F,Ft,ST)%0  $  r1cr[XSS9nUb([R"X5[R:wagU$)uA beállításra jogosult (érvényes, "beallitas" célú átmeneti süti ÉS "beallitando" állapot) felhasználó, vagy None. beallitas)rN)r0rZr[ALLAPOT_BEALLITANDOrJs r/_beallitando_felhasznalors3 ,Wk JD |y((2i6S6SS Kr1cXURRS5nUSL=(a US;$)uMélységi védelem a böngészős CSRF ellen - azonos a routers/rendszeradmin_mfa.py `_idegen_eredet`-ével (onnan körkörös import miatt nem importálható; ha az egyiket módosítod, a másikat is!). A `Sec-Fetch-Site` `same-origin` / `none` jó, minden más (`cross-site`, `same-site`) elutasítva; hiányzó fejléc (régi böngésző) nem utasítandó el. A fő védelem itt amúgy is az átmeneti süti: SameSite=Strict és Path=/mfa.zsec-fetch-siteN)z same-originnone)rCr )rsfss r/_idegen_eredetrs. //  . /C d? As*AAAr1/mfa/beallitasc [X5nU(d [5$[R"USURSSSS.[ S9$)uA beállítás BEVEZETŐ oldala: magyarázat + "QR-kód létrehozása" gomb. SZÁNDÉKOSAN CSAK MEGJELENÍT, NEM ÍR (v28). Korábban (v27-ig) ez a GET minden megnyitáskor ÚJ titkot írt az adatbázisba (commit), így egy frissítés, a vissza-gomb vagy egy böngésző-előtöltés észrevétlenül érvénytelenítette a már beolvasott QR-kódot. Egy GET-nek biztonságosnak és ismételhetőnek kell lennie (docs/GET_ATTEKINTES.md, 7. fejezet), ezért az írás átkerült a POST /mfa/beallitas/inditas végpontra. A biztonsági tulajdonság VÁLTOZATLAN: minden MEGJELENÍTETT titok friss, a korábbi megerősítetlen eldobva (lásd lent).rNrr@)rr=rrDr%rrJs r/mfa_beallitas_oldalrsF $G 0D #%%  % % !**d$N#  r1z/mfa/beallitas/inditasc<[X5nU(d [5$[U5(a[S[R S9$UR n[R"X5nUc [5$[XR[RU5U5$)uA beállítás INDÍTÁSA: új titkot készít és a QR-oldalt MEGJELENÍTI (a válasz közvetlenül ez az oldal, nincs átirányítás - a titok így sosem kerül URL-be vagy a böngészőelőzménybe; Cache-Control: no-store, Referrer-Policy: no-referrer). MINDEN indítás ÚJ titkot készít, a korábban meg nem erősítettet eldobja (biztonsági review-ból, 5c.2). Ha a meg nem erősített titkot újrahasználnánk, egy jelszót ismerő támadó (aki előbb indítja a beállítást) ugyanazt a titkot látná, mint a jogos felhasználó, és a felhasználó megerősítése után tartósan, észrevétlenül kódot tudna generálni. Így a támadó által látott titok érvénytelenedik, amint a felhasználó elindítja (és fordítva: a felhasználó hibás kódja jelzi, ha valaki közben újat készített). Ára: az oldal újratöltése (a böngésző az újraküldést megerősíttesse) új QR-t ad - a már beolvasott régi nem működik (az oldal erre figyelmeztet). Megerősített beállítás ide nem juthat (a _beallitando_felhasznalo kizárja). Az írás ATOMI (mfa_utils.titok_inditasa: UPDATE ... WHERE a beállítás nincs megerősítve): egy párhuzamos megerősítés mellett sem írhat felül megerősített beállítást.rr4) rr=rr rr:r]rZtitok_inditasarr r"r#)rrr.rSrys r/mfa_beallitas_inditasars| $G 0D #%%g$4&B[B[\\ggG  $ $R 1E }#%% GVVFKK%A5 IIr1c [X5nU(d [5$[U5nURn[R "X$U5(aB[ R"U5nU(a[XU[R5$[5$[ R"U5nUc[S[RS9$URURp[R"X$XS5bXUR!["R$U5n[X[ R"U5=(d U[R5$UR!["R$U5n[ R&"X#U5(d^UR)5 UR!["R$U5n[X[ R"U5=(d U[*5$UR-["R."UUSSSUS3S95 UR15 [R2"X$U5 [5X'U5 UR-["R."UUSS S US3S95 UR15 [7XXxXT5$) Nrr4uKétlépcsős hitelesítésunincs beállítvau'Beállítva (hitelesítő alkalmazás, rPrQrNrOu7Sikeres bejelentkezés (első 2FA-beállítás után) ()rr=rr%rWrXrZtitok_olvasasarrYr rr:r]rRr^r r"r# megerositesrollbackr`rcrdrarb_ertesito_level_belepes_mentokodokkal) rrrr.rfr%ryrSrRs r/mfa_beallitas_megerositesers $G 0D #%%g&I JJEbU33((.W\um6R6RSxbvbxx  $ $T *E }$4&B[B[\\''4??Z))"EQvvfkk7+y/G/G/M/VQVXeXtXtuu 66&++w 'D  3 / / vvfkk7+y/G/G/M/VQVXhiiFF6??0%;I;aH  IIK!!"7B+FF6??#KI;VWX  IIK !'wE UUr1z/valassz-modultTF)kodokmaradtr>oktovabb kezelhetoelso kod_szovegrrrrrrc [R"USXX4XVUU[R[RU S. [ S9$)uA mentőkódok oldala (templates/mfa_mentokodok.html). `kodok`: az ÚJ készlet (egyszer látható) - ilyenkor ezt mutatja; különben a kezelő állapotot (hátralévő darabszám + "új készlet" űrlap). A válasz sosem kerülhet gyorsítótárba, a Referer nem viheti tovább.zmfa_mentokodok.html) r%rrr>rrrrdarabkuszobrr@)rrDmentokod_utilsDARABFIGYELMEZTETO_KUSZOBr) rr%rrr>rrrrrs r/mentokod_oldalr=sL  % %36WY{D(<(<HkHk)+$  r1c<SU-S-SRU5-S-$)uA letölthető .txt tartalma.uEmeLOG mentőkódok - u Minden kód csak egyszer használható. Tartsd biztonságos helyen (pl. jelszókezelő, kinyomtatva) - ne a telefonodon, a hitelesítő alkalmazás mellett!  )r)r%rs r/mentokod_szovegrJs4 $u ,0o oii !% &'r1rSc [R"X5nUR[R"X2SSS[R SUS3S95 UR 5 [XUS [XF5S 9n[XXX5$![aJnUR5 [S[U5RSU35 [XU5sS nA$S nAff=f) uaAz ELSŐ 2FA-beállítás végén: új mentőkód-készlet, és a teljes munkamenet kiadása egy olyan oldalon, amely a kódokat EGYSZER megmutatja (a "Tovább" gomb a modulválasztóra visz). Ha a készlet elkészítése bármiért elbukik, a belépést nem akadályozza: a felhasználó később is kérhet készletet (Beállítások -> Mentőkódok).u*Kétlépcsős hitelesítés - mentőkódokrOuÚj mentőkód-készlet (u db, első beállítás, rPrQu8⚠️ A mentőkód-készlet elkészítése sikertelen: : NT)r%rrr)r uj_keszletrcr"rdrra Exceptionrprinttype__name__rerr) rrrSrRr%rfrexoldals r/rrQs 5))"6 v!?kwz1.2F2F1GG`aj`kklm   7u4TcdiTq rE 2i 77 5  HbIZIZH[[]^`]abcr)445sA!B C?C CCc HUR[RU5nUbUR(dgSn[R "[R "55nSU"UR5SU"U5SU"U5S3n[R"UR/SUS[RURUS 9 UR5 g![a>nUR5 [S [!U5R"S U35 SnAgSnAff=f) uUBiztonsági értesítő a felhasználónak: a kétlépcsős hitelesítés beállítva lett. Ha NEM ő volt (pl. egy ellopott jelszóval valaki más állította be az első faktort), ebből észreveszi. Nem akadályozhatja a belépést: hibánál csak a konzolra ír. A kategória "rendszer" (a levél-feliratkozásokkal nem kapcsolható ki).NcN[R"UcSSS9$[U5SS9$)NrLT)quote)htmlescapestr)xs r/!_ertesito_level..lsdkk "TJs1vTJr1u

Kétlépcsős hitelesítés beállítva

Kedves uz!

Az EmeLOG fiókodon beállították a kétlépcsős hitelesítést (hitelesítő alkalmazás).

Időpont: u
IP-cím: u

Ha nem te voltál, azonnal értesítsd a rendszergazdát - valaki ismerheti a jelszavadat!

u;Kétlépcsős hitelesítés beállítva az EmeLOG fiókodonrendszer) kategoria prioritasrRruO⚠️ A 2FA-beállítás értesítő levelét nem sikerült sorba állítani: r)r r"r#r%rWhelyi_ido_szoveg _utc_mostusername email_sor sorba_allitPRIORITAS_NORMALrRrarrrrr)rrSrfr.emosttorzsrs r/rrds {vvfkk7+ JU  U  tzzl,ikp(2i>X>X)-R A {  _`deg`h`q`q_rrtuwtxyzz{s4CB!C D!#4DD!)rrI)<__doc__fastapirrrrrfastapi.responsesrr sqlalchemy.ormr r r rr"rrWrrsrZconfigr databasersecurityrrrrr templates_envrrouterrErr`rr0r=rFr rKpostrgrerxrrrboolrrrrintrrrrrwr1r/rs06>=<"' .$  j ) (2}U~wG#$. GF<0.5fo!w!G!1!VBx&//1 /1 /1 /1/1d*\""EEE g C s g7BGBB \:8?g;$ %&;B6?JGJJ'J0 Bx&/4V 4V 4V 4V4Vt;?a]amq!2dY^rt G s  WZ gj  ?C RV lo '3'#'8G8838[^8kn8&{{#{#{${r1