Bestätigt
Die registrierte Person hat genau diese Anfrage auf ihrem vertrauenswürdigen Gerät freigegeben. Du kannst darauf handeln.
Anwendungsfälle
Sensible Vorgänge
Ein Auszahlungskonto ändern, einen Administrator hinzufügen, einen Produktionsschlüssel ausgeben — gib die genaue Änderung frei, nicht die Kategorie.
Das Problem
Angemeldet sein wird als Erlaubnis für alles behandelt
Die meisten Anwendungen prüfen einmal an der Tür, wer du bist, und erlauben danach alles, was die Rolle zulässt. Eine gestohlene Sitzung, ein geliehener Laptop oder ein Moment falsch platzierten Vertrauens verschafft dann nicht nur Lesezugriff, sondern die Macht zu ändern, wer das Konto kontrolliert.
Was sich ändert
Frag erneut, im Moment der Konsequenz
Folgenschwere Änderungen verlangen eine frische Freigabe, die den alten und den neuen Wert benennt. „Ändere das Auszahlungskonto auf X“ lässt sich nicht wiederverwenden, um es auf Y zu setzen, weil die Freigabe an die angezeigten Werte gebunden ist.
So funktioniert es
Eine konkrete Änderung freigeben
- Eine sensible Änderung wird beantragt Auszahlungsdaten, Administratoren, Wiederherstellungsmethoden, API-Geheimnisse, Webhook-Ziele, Löschung.
- Alter und neuer Wert werden zusammen gezeigt Die freigebende Person sieht, was es jetzt ist und was daraus würde.
- Eine frische, starke Prüfung ist erforderlich Eine reine Passwortsitzung darf das nicht. Es braucht eine kürzlich erfolgte Passkey-Prüfung.
- Änderung und Freigabe werden protokolliert Nur anfügend, samt Angabe, wer gegen welche Werte freigegeben hat.
Mögliche Ergebnisse
Vier Antworten, und eine davon ist Schweigen
Eine Prüfanfrage hat mehr als zwei Ausgänge. Alles außer einer ausdrücklichen Freigabe trotzdem als Freigabe zu behandeln, ist genau die Art, wie Prüfsysteme Menschen im Stich lassen.
Abgelehnt
Die registrierte Person hat diese Anfrage gesehen und abgelehnt. Behandle sie als Betrug und melde sie.
Abgelaufen
Die Anfrage wurde nicht rechtzeitig beantwortet und ist nicht mehr gültig. Beginne neu, falls sie echt war.
Keine Antwort und Nicht bestätigt werden nie als Freigabe dargestellt und werden durch Warten auch nicht dazu.
Ehrliche Grenzen
Was das nicht löst
Das schützt den Moment, in dem eine Änderung erfolgt. Es schützt nicht vor einer befugten Person, die wirklich Schaden anrichten will, und hilft nicht dort, wo eine Anwendung REAL AUTH gar nicht erst fragt. Die Abdeckung ist genau so gut wie die Liste der Vorgänge, die die einbindende Anwendung zu schützen wählt.
Verwandte Anwendungsfälle
Befugnis in der Organisation
Nicht „ist das ein echter Mitarbeiter“, sondern „hat diese Person diese Befugnis, jetzt, in dieser Organisatio…
Mehr erfahren →Sichere Anmeldung
Prüfe, wer sich anmeldet, von welchem Gerät, in welches Konto, mit welcher Rolle — bevor die Sitzung überhaupt…
Mehr erfahren →Krypto- und Wallet-Prüfung
Den Besitz einer Wallet zu belegen ist nicht dasselbe wie zu belegen, dass ein Mensch diese Transaktion wollte…
Mehr erfahren →Probier es an deiner eigenen Anwendung aus
Eine kostenlose Sandbox, echte Abläufe, ohne Karte.