ASP.NET Core中用户丢失2FA设备时无设备关闭2FA的更优方案问询

针对该场景的优化方案 #

以下是落地成本低、同时符合安全规范的可选处理方案：

• 方案1：给恢复码登录的用户开放临时2FA操作权限
  这是改动最小的调整方案，逻辑完全符合安全规则：恢复码本身属于账号归属的强验证凭证，能提供正确恢复码的用户默认是账号持有者。你可以在ASP.NET Core Identity的恢复码登录逻辑TwoFactorRecoveryCodeSignInAsync执行成功后，给当前用户的会话添加一个有效期15分钟/仅本次会话生效的临时权限标记，持有该标记的用户可以直接操作关闭2FA、重新绑定新的2FA设备，无需验证原有设备的验证码。操作完成后自动销毁该临时权限，同时作废所有未使用的旧恢复码，引导用户保存新生成的恢复码。
• 方案2：增设前置备用验证因子
  在用户首次绑定2FA的时候，强制要求预留额外的独立验证方式作为兜底，比如备用邮箱、已验证的非2FA绑定手机号、预设的安全问题组合。用户丢失设备后，不需要先登录，直接在2FA验证页选择「丢失设备」入口，通过备用验证因子完成身份校验后，直接走2FA解绑/重绑流程，不需要依赖恢复码登录。
• 方案3：增加高权限恢复码配置
  生成恢复码的时候，区分普通恢复码和重置专用恢复码：普通恢复码仅用于登录，重置专用恢复码使用后会直接跳转2FA重绑流程，无需额外验证。可以在用户首次生成恢复码时明确标注两类恢复码的用途，引导用户分开存放。

注意所有方案都需要做好操作日志留存，所有2FA解绑、重绑的操作都要记录操作IP、时间，同时给用户预留的联系方式发送操作通知，避免出现恶意操作的情况。

内容的提问来源于stack exchange，提问作者Pieterjan