feat(auth): Zwei-Faktor-Anmeldung per TOTP

Ein Einmalkennwort zusaetzlich zum Passwort, mit QR-Code zum Einrichten und
zehn Wiederherstellungscodes fuer den Fall, dass das Geraet verloren geht.

Die Rechnung nach RFC 6238 steht in lib/auth/totp.ts statt in einer
Abhaengigkeit. Es sind wenige Zeilen, das Verfahren liegt seit 2011 fest, und
der RFC bringt Testvektoren mit - die Richtigkeit ist damit belegt und nicht
nur behauptet. Fuer den QR-Code kommt qrcode dazu; ihn selbst zu zeichnen
waere unverhaeltnismaessig.

Einrichtung in zwei Schritten: der Schluessel wird hinterlegt, aber erst ein
bestaetigter Code schaltet ihn scharf. Wer den QR-Code nicht scannen konnte
und abbricht, sperrt sich sonst beim naechsten Anmelden selbst aus.

Zwischen Passwort und Code steht ein eigenes Modell statt einer halbfertigen
Sitzung. Eine Sitzungszeile mit einem "noch nicht gueltig"-Merker waere eine
Zeile, die bei einem vergessenen Filter irgendwo doch als Anmeldung
durchgeht; dieses Versehen kann hier nicht passieren. Nach fuenf
Fehlversuchen ist der Vorgang verbrannt, damit sechs Stellen nicht in Ruhe
durchprobiert werden.

Die Wiederherstellungscodes liegen als SHA-256 statt als scrypt: sie sind
zufaellig erzeugt und lang genug, dass Raten aussichtslos ist - ein
langsames Verfahren brauchte bei jeder Anmeldung zehn teure Vergleiche und
kaufte nichts dafuer. Das Alphabet laesst O, I und B weg, weil die Codes von
Hand abgeschrieben werden.

Abschalten und Neuerzeugen verlangen das Passwort. Ein unbeaufsichtigter
Rechner mit offener Sitzung soll den zweiten Faktor nicht im Vorbeigehen
entfernen koennen.

Nachgewiesen im Browser: Einrichtung, Anmeldung mit Code, Anmeldung mit
Wiederherstellungscode, derselbe Code ein zweites Mal abgelehnt, Abschalten
mit falschem und richtigem Passwort.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

src/lib/auth/mfa.ts

@@ -0,0 +1,128 @@
+import { createHash, randomBytes } from "node:crypto";
+import { cookies } from "next/headers";
+import type { NextResponse } from "next/server";
+import { COOKIES_SECURE, MFA_COOKIE, MFA_TTL_MS } from "@/lib/config";
+import { tryDecryptSecret } from "@/lib/crypto";
+import { prisma } from "@/lib/db";
+
+/**
+ * Der Zwischenzustand zwischen Passwort und zweitem Faktor.
+ *
+ * Bewusst nicht als halbfertige Sitzung: eine Sitzungszeile mit einem
+ * "noch nicht gueltig"-Merker waere eine Zeile, die bei einem vergessenen
+ * Filter irgendwo doch als Anmeldung durchgeht. Ein eigenes Modell kann
+ * dieses Versehen nicht passieren.
+ */
+
+/** Nach so vielen Fehlversuchen ist der Vorgang verbrannt. */
+export const MFA_MAX_ATTEMPTS = 5;
+
+function hashToken(token: string): string {
+  return createHash("sha256").update(token).digest("base64url");
+}
+
+export async function createPendingLogin(userId: string): Promise<string> {
+  const token = randomBytes(32).toString("base64url");
+
+  // Aeltere Vorgaenge desselben Kontos verwerfen: es kann nur einen geben,
+  // sonst sammeln sich bei jedem Anlauf neue Rateversuche an.
+  await prisma.pendingLogin.deleteMany({
+    where: { OR: [{ userId }, { expiresAt: { lt: new Date() } }] },
+  });
+
+  await prisma.pendingLogin.create({
+    data: {
+      userId,
+      tokenHash: hashToken(token),
+      expiresAt: new Date(Date.now() + MFA_TTL_MS),
+    },
+  });
+
+  return token;
+}
+
+export function setMfaCookie(response: NextResponse, token: string) {
+  response.cookies.set({
+    name: MFA_COOKIE,
+    value: token,
+    httpOnly: true,
+    sameSite: "lax",
+    secure: COOKIES_SECURE,
+    path: "/",
+    maxAge: Math.floor(MFA_TTL_MS / 1000),
+  });
+}
+
+export function clearMfaCookie(response: NextResponse) {
+  response.cookies.set({
+    name: MFA_COOKIE,
+    value: "",
+    httpOnly: true,
+    sameSite: "lax",
+    secure: COOKIES_SECURE,
+    path: "/",
+    maxAge: 0,
+  });
+}
+
+export interface PendingLoginState {
+  id: string;
+  attempts: number;
+  user: {
+    id: string;
+    username: string;
+    role: "ADMIN" | "USER";
+    isActive: boolean;
+    /** Entschluesselter TOTP-Schluessel; null, wenn er nicht lesbar ist. */
+    totpSecret: string | null;
+  };
+}
+
+/** Liest den laufenden Vorgang aus dem Cookie. */
+export async function readPendingLogin(): Promise<PendingLoginState | null> {
+  const store = await cookies();
+  const token = store.get(MFA_COOKIE)?.value;
+  if (!token) return null;
+
+  const pending = await prisma.pendingLogin.findUnique({
+    where: { tokenHash: hashToken(token) },
+    include: { user: true },
+  });
+  if (!pending) return null;
+
+  if (pending.expiresAt.getTime() <= Date.now()) {
+    await prisma.pendingLogin.delete({ where: { id: pending.id } }).catch(() => undefined);
+    return null;
+  }
+
+  return {
+    id: pending.id,
+    attempts: pending.attempts,
+    user: {
+      id: pending.user.id,
+      username: pending.user.username,
+      role: pending.user.role,
+      isActive: pending.user.isActive,
+      totpSecret: tryDecryptSecret(pending.user.totpSecretCipher),
+    },
+  };
+}
+
+/** Zaehlt einen Fehlversuch. Gibt zurueck, ob noch Versuche offen sind. */
+export async function noteMfaFailure(id: string): Promise<boolean> {
+  const updated = await prisma.pendingLogin.update({
+    where: { id },
+    data: { attempts: { increment: 1 } },
+    select: { attempts: true },
+  });
+
+  if (updated.attempts >= MFA_MAX_ATTEMPTS) {
+    await prisma.pendingLogin.delete({ where: { id } }).catch(() => undefined);
+    return false;
+  }
+  return true;
+}
+
+export async function discardPendingLogin(id: string): Promise<void> {
+  await prisma.pendingLogin.delete({ where: { id } }).catch(() => undefined);
+}

src/lib/auth/recovery.test.ts

@@ -0,0 +1,34 @@
+import { describe, expect, it } from "vitest";
+import { hashCode, normalizeCode } from "./recovery";
+
+describe("normalizeCode", () => {
+  it("setzt den Bindestrich, wenn er beim Abtippen fehlt", () => {
+    expect(normalizeCode("a7k2mp9xqd")).toBe("a7k2m-p9xqd");
+  });
+
+  it("nimmt Grossschreibung und Leerzeichen hin", () => {
+    // Aus einem Ausdruck abgeschrieben sieht ein Code selten so aus wie
+    // beim Erzeugen.
+    expect(normalizeCode("A7K2M-P9XQD")).toBe("a7k2m-p9xqd");
+    expect(normalizeCode(" a7k2m p9xqd ")).toBe("a7k2m-p9xqd");
+    expect(normalizeCode("a7k2m—p9xqd")).toBe("a7k2m-p9xqd");
+  });
+
+  it("laesst zu kurze Eingaben unveraendert, statt sie zurechtzubiegen", () => {
+    expect(normalizeCode("abc")).toBe("abc");
+  });
+});
+
+describe("hashCode", () => {
+  it("bildet Schreibweisen desselben Codes auf denselben Hash ab", () => {
+    expect(hashCode("A7K2M-P9XQD")).toBe(hashCode("a7k2mp9xqd"));
+  });
+
+  it("unterscheidet verschiedene Codes", () => {
+    expect(hashCode("a7k2m-p9xqd")).not.toBe(hashCode("a7k2m-p9xqe"));
+  });
+
+  it("gibt den Code nicht preis", () => {
+    expect(hashCode("a7k2m-p9xqd")).not.toContain("a7k2m");
+  });
+});

src/lib/auth/recovery.ts

@@ -0,0 +1,100 @@
+import { createHash, randomInt, timingSafeEqual } from "node:crypto";
+import { prisma } from "@/lib/db";
+
+/**
+ * Wiederherstellungscodes fuer den Fall, dass der Authenticator verloren geht.
+ *
+ * Ohne sie waere die Zwei-Faktor-Anmeldung eine Falle: ein neues Handy, und
+ * das Konto ist zu. Ein Administrator kann zwar aushelfen – im
+ * Einzelbenutzerbetrieb ist der Administrator aber genau die ausgesperrte
+ * Person.
+ */
+
+/** Wie viele Codes bei der Einrichtung erzeugt werden. */
+export const RECOVERY_CODE_COUNT = 10;
+
+/**
+ * Alphabet ohne die Paare, die man beim Abschreiben verwechselt: kein O/0,
+ * kein I/l/1, kein B/8. Die Codes werden von Hand aus einem Ausdruck oder
+ * Passwortmanager uebertragen, oft unter Zeitdruck.
+ */
+const ALPHABET = "abcdefghjkmnpqrstuvwxyz23456789";
+const GROUP = 5;
+
+/** Ein Code der Form "a7k2m-p9xqd" – rund 50 Bit Zufall. */
+function generateCode(): string {
+  const zeichen = Array.from(
+    { length: GROUP * 2 },
+    () => ALPHABET[randomInt(ALPHABET.length)],
+  ).join("");
+  return `${zeichen.slice(0, GROUP)}-${zeichen.slice(GROUP)}`;
+}
+
+/** Vereinheitlicht Eingaben: Grossschreibung und fehlender Bindestrich. */
+export function normalizeCode(input: string): string {
+  const clean = input.toLowerCase().replace(/[^a-z0-9]/g, "");
+  if (clean.length !== GROUP * 2) return clean;
+  return `${clean.slice(0, GROUP)}-${clean.slice(GROUP)}`;
+}
+
+export function hashCode(code: string): string {
+  return createHash("sha256").update(normalizeCode(code)).digest("base64url");
+}
+
+/**
+ * Erzeugt einen frischen Satz und verwirft den alten. Gibt die Codes im
+ * Klartext zurueck – das ist die einzige Gelegenheit, sie zu sehen.
+ */
+export async function issueRecoveryCodes(userId: string): Promise<string[]> {
+  const codes = Array.from({ length: RECOVERY_CODE_COUNT }, generateCode);
+
+  await prisma.$transaction([
+    prisma.recoveryCode.deleteMany({ where: { userId } }),
+    prisma.recoveryCode.createMany({
+      data: codes.map((code) => ({ userId, codeHash: hashCode(code) })),
+    }),
+  ]);
+
+  return codes;
+}
+
+/**
+ * Loest einen Code ein. Ein Code gilt genau einmal; verbraucht wird er auch
+ * dann, wenn die Anmeldung danach aus anderem Grund scheitert – lieber ein
+ * Code zu viel verbraucht als einer, der zweimal geht.
+ */
+export async function redeemRecoveryCode(userId: string, input: string): Promise<boolean> {
+  const eingabe = normalizeCode(input);
+  if (eingabe.length < GROUP * 2) return false;
+
+  const offen = await prisma.recoveryCode.findMany({
+    where: { userId, usedAt: null },
+    select: { id: true, codeHash: true },
+  });
+
+  const gesucht = Buffer.from(hashCode(eingabe), "utf8");
+  let treffer: string | null = null;
+  for (const code of offen) {
+    const vorhanden = Buffer.from(code.codeHash, "utf8");
+    // Nicht abbrechen, sobald es passt: die Laufzeit soll nicht verraten,
+    // an welcher Stelle der Liste der Code stand.
+    if (vorhanden.length === gesucht.length && timingSafeEqual(vorhanden, gesucht)) {
+      treffer = code.id;
+    }
+  }
+
+  if (!treffer) return false;
+
+  // updateMany mit der Bedingung "noch unbenutzt": zwei gleichzeitige
+  // Versuche mit demselben Code koennen so nicht beide durchkommen.
+  const result = await prisma.recoveryCode.updateMany({
+    where: { id: treffer, usedAt: null },
+    data: { usedAt: new Date() },
+  });
+  return result.count === 1;
+}
+
+/** Wie viele Codes noch ungenutzt sind – fuer den Hinweis im Konto. */
+export async function countUnusedRecoveryCodes(userId: string): Promise<number> {
+  return prisma.recoveryCode.count({ where: { userId, usedAt: null } });
+}

src/lib/auth/totp.test.ts

@@ -0,0 +1,126 @@
+import { describe, expect, it } from "vitest";
+import {
+  TOTP_PERIOD,
+  base32Decode,
+  base32Encode,
+  counterFor,
+  generateTotpSecret,
+  groupSecret,
+  otpauthUri,
+  totpCode,
+  verifyTotp,
+} from "./totp";
+
+describe("Base32", () => {
+  // Testvektoren aus RFC 4648, Abschnitt 10 – ohne die Auffuellzeichen,
+  // die Authenticator-Apps nicht erwarten.
+  it.each([
+    ["", ""],
+    ["f", "MY"],
+    ["fo", "MZXQ"],
+    ["foo", "MZXW6"],
+    ["foob", "MZXW6YQ"],
+    ["fooba", "MZXW6YTB"],
+    ["foobar", "MZXW6YTBOI"],
+  ])("kodiert %j als %j", (klartext, erwartet) => {
+    expect(base32Encode(Buffer.from(klartext, "utf8"))).toBe(erwartet);
+  });
+
+  it("dekodiert zurueck, auch mit Leerzeichen und Auffuellzeichen", () => {
+    expect(base32Decode("MZXW6YTBOI").toString("utf8")).toBe("foobar");
+    expect(base32Decode("mzxw 6ytb oi").toString("utf8")).toBe("foobar");
+    expect(base32Decode("MZXW6YTBOI======").toString("utf8")).toBe("foobar");
+  });
+
+  it("weist fremde Zeichen ab, statt still Unsinn zu liefern", () => {
+    // 0, 1 und 8 gehoeren nicht zum Alphabet – gerade sie werden aber gern
+    // mit O, I und B verwechselt.
+    expect(() => base32Decode("MZXW0YTB")).toThrow();
+  });
+});
+
+describe("TOTP nach RFC 6238", () => {
+  // Der Schluessel aus Anhang B des RFC: die ASCII-Ziffern 1234567890,
+  // zweimal hintereinander.
+  const SECRET = base32Encode(Buffer.from("12345678901234567890", "utf8"));
+
+  /**
+   * Der RFC nennt achtstellige Codes. Sechs Stellen sind davon die letzten
+   * sechs – gerechnet wird modulo 10^6 statt 10^8.
+   */
+  it.each([
+    [59, "287082"],
+    [1111111109, "081804"],
+    [1111111111, "050471"],
+    [1234567890, "005924"],
+    [2000000000, "279037"],
+    [20000000000, "353130"],
+  ])("liefert zum Zeitpunkt %i den Code %s", (sekunden, erwartet) => {
+    const counter = Math.floor(sekunden / TOTP_PERIOD);
+    expect(totpCode(SECRET, counter)).toBe(erwartet);
+  });
+
+  it("rechnet Zeitpunkte in Fenster um", () => {
+    expect(counterFor(new Date(59_000))).toBe(1);
+    expect(counterFor(new Date(1111111109_000))).toBe(37037036);
+  });
+});
+
+describe("verifyTotp", () => {
+  const SECRET = base32Encode(Buffer.from("12345678901234567890", "utf8"));
+  const JETZT = new Date(1111111109_000);
+
+  it("nimmt den Code des aktuellen Fensters an", () => {
+    expect(verifyTotp(SECRET, "081804", JETZT)).toBe(true);
+  });
+
+  it("nimmt auch das vorige und das naechste Fenster an", () => {
+    // Eine um bis zu 30 Sekunden falsch gehende Uhr soll niemanden aussperren.
+    const vorher = new Date(JETZT.getTime() - TOTP_PERIOD * 1000);
+    const nachher = new Date(JETZT.getTime() + TOTP_PERIOD * 1000);
+    expect(verifyTotp(SECRET, "081804", vorher)).toBe(true);
+    expect(verifyTotp(SECRET, "081804", nachher)).toBe(true);
+  });
+
+  it("lehnt ein Fenster weiter ab", () => {
+    const zuFrueh = new Date(JETZT.getTime() - 2 * TOTP_PERIOD * 1000);
+    expect(verifyTotp(SECRET, "081804", zuFrueh)).toBe(false);
+  });
+
+  it("lehnt falsche Codes und Unfug ab", () => {
+    expect(verifyTotp(SECRET, "000000", JETZT)).toBe(false);
+    expect(verifyTotp(SECRET, "", JETZT)).toBe(false);
+    expect(verifyTotp(SECRET, "81804", JETZT)).toBe(false);
+    expect(verifyTotp(SECRET, "abcdef", JETZT)).toBe(false);
+    // Fuehrende Nullen duerfen nicht als Zahl verlorengehen.
+    expect(verifyTotp(SECRET, "81804 ", JETZT)).toBe(false);
+  });
+
+  it("sieht ueber Leerzeichen in der Eingabe hinweg", () => {
+    expect(verifyTotp(SECRET, "081 804", JETZT)).toBe(true);
+  });
+});
+
+describe("Einrichtung", () => {
+  it("erzeugt Schluessel, die sich unterscheiden und lang genug sind", () => {
+    const a = generateTotpSecret();
+    const b = generateTotpSecret();
+    expect(a).not.toBe(b);
+    // 20 Byte ergeben 32 Base32-Zeichen.
+    expect(a).toHaveLength(32);
+    expect(base32Decode(a)).toHaveLength(20);
+  });
+
+  it("baut eine otpauth-URI mit Aussteller im Label und im Parameter", () => {
+    const uri = otpauthUri({ secret: "ABCD", account: "chefin", issuer: "Nebula" });
+    expect(uri).toContain("otpauth://totp/Nebula%3Achefin?");
+    expect(uri).toContain("secret=ABCD");
+    expect(uri).toContain("issuer=Nebula");
+    expect(uri).toContain("digits=6");
+    expect(uri).toContain("period=30");
+  });
+
+  it("gruppiert den Schluessel zum Abtippen", () => {
+    expect(groupSecret("ABCDEFGH")).toBe("ABCD EFGH");
+  });
+});

src/lib/auth/totp.ts

@@ -0,0 +1,158 @@
+import { createHmac, randomBytes, timingSafeEqual } from "node:crypto";
+
+/**
+ * Zeitbasierte Einmalkennwoerter nach RFC 6238 (TOTP über HMAC-SHA1).
+ *
+ * Selbst gerechnet statt als Abhaengigkeit: es sind wenige Zeilen, das
+ * Verfahren steht seit 2011 fest, und der RFC bringt Testvektoren mit –
+ * die Richtigkeit laesst sich also beweisen statt nur behaupten
+ * (siehe totp.test.ts).
+ *
+ * SHA-1 ist hier kein Mangel. Es geht nicht um Kollisionsresistenz, sondern
+ * um HMAC mit einem geheimen Schluessel, und jede Authenticator-App der Welt
+ * erwartet genau diese Voreinstellung.
+ */
+
+/** Stellenzahl des Codes. */
+export const TOTP_DIGITS = 6;
+/** Laenge eines Zeitfensters in Sekunden. */
+export const TOTP_PERIOD = 30;
+/**
+ * Wie viele Fenster in jede Richtung zusaetzlich gelten. Eines deckt eine um
+ * bis zu 30 Sekunden falsch gehende Uhr ab – mehr wuerde den Zeitraum
+ * unnoetig verbreitern, in dem ein abgefangener Code noch taugt.
+ */
+export const TOTP_WINDOW = 1;
+
+const BASE32_ALPHABET = "ABCDEFGHIJKLMNOPQRSTUVWXYZ234567";
+
+/** Base32 nach RFC 4648, ohne Auffuellzeichen – so erwarten es die Apps. */
+export function base32Encode(data: Buffer): string {
+  let bits = 0;
+  let value = 0;
+  let output = "";
+
+  for (const byte of data) {
+    value = (value << 8) | byte;
+    bits += 8;
+    while (bits >= 5) {
+      output += BASE32_ALPHABET[(value >>> (bits - 5)) & 31];
+      bits -= 5;
+    }
+  }
+  if (bits > 0) output += BASE32_ALPHABET[(value << (5 - bits)) & 31];
+  return output;
+}
+
+export function base32Decode(input: string): Buffer {
+  // Leerzeichen und Auffuellzeichen grosszuegig hinnehmen: Benutzer tippen
+  // den Schluessel gelegentlich aus einer Anzeige in Vierergruppen ab.
+  const clean = input.toUpperCase().replace(/[\s-]/g, "").replace(/=+$/, "");
+  let bits = 0;
+  let value = 0;
+  const bytes: number[] = [];
+
+  for (const char of clean) {
+    const index = BASE32_ALPHABET.indexOf(char);
+    if (index === -1) throw new Error("Ungueltiges Zeichen im Base32-Schluessel");
+    value = (value << 5) | index;
+    bits += 5;
+    if (bits >= 8) {
+      bytes.push((value >>> (bits - 8)) & 255);
+      bits -= 8;
+    }
+  }
+  return Buffer.from(bytes);
+}
+
+/**
+ * Neuer Schluessel. 20 Byte entsprechen der Empfehlung des RFC fuer
+ * HMAC-SHA1 und ergeben 32 Base32-Zeichen.
+ */
+export function generateTotpSecret(): string {
+  return base32Encode(randomBytes(20));
+}
+
+/** Der Code fuer ein bestimmtes Zeitfenster. */
+export function totpCode(secret: string, counter: number): string {
+  const key = base32Decode(secret);
+
+  // Zaehler als 8-Byte-Zahl in Big-Endian. BigInt, weil er theoretisch
+  // ueber 2^32 hinausgeht – praktisch erst in einigen tausend Jahren, aber
+  // die Bitschieberei mit Zahlen waere hier ohnehin heikel.
+  const buffer = Buffer.alloc(8);
+  buffer.writeBigUInt64BE(BigInt(counter));
+
+  const digest = createHmac("sha1", key).update(buffer).digest();
+
+  // Dynamic Truncation nach RFC 4226, Abschnitt 5.3.
+  const offset = digest[digest.length - 1] & 0x0f;
+  const binary =
+    ((digest[offset] & 0x7f) << 24) |
+    ((digest[offset + 1] & 0xff) << 16) |
+    ((digest[offset + 2] & 0xff) << 8) |
+    (digest[offset + 3] & 0xff);
+
+  return String(binary % 10 ** TOTP_DIGITS).padStart(TOTP_DIGITS, "0");
+}
+
+/** Das Zeitfenster, in dem ein Zeitpunkt liegt. */
+export function counterFor(at: Date = new Date()): number {
+  return Math.floor(at.getTime() / 1000 / TOTP_PERIOD);
+}
+
+/**
+ * Prueft einen eingegebenen Code. Vergleicht in konstanter Zeit und probiert
+ * die Nachbarfenster mit, damit eine leicht abweichende Uhr nicht stoert.
+ */
+export function verifyTotp(
+  secret: string,
+  code: string,
+  at: Date = new Date(),
+  window: number = TOTP_WINDOW,
+): boolean {
+  const eingabe = code.replace(/\s/g, "");
+  if (!/^\d+$/.test(eingabe) || eingabe.length !== TOTP_DIGITS) return false;
+
+  const jetzt = counterFor(at);
+  let treffer = false;
+  for (let schritt = -window; schritt <= window; schritt += 1) {
+    // Nicht fruehzeitig abbrechen: sonst haengt die Laufzeit davon ab,
+    // welches Fenster gepasst hat.
+    if (constantEquals(totpCode(secret, jetzt + schritt), eingabe)) treffer = true;
+  }
+  return treffer;
+}
+
+function constantEquals(a: string, b: string): boolean {
+  const left = Buffer.from(a, "utf8");
+  const right = Buffer.from(b, "utf8");
+  if (left.length !== right.length) return false;
+  return timingSafeEqual(left, right);
+}
+
+/**
+ * Die URI, die als QR-Code angezeigt wird. Das Label enthaelt sowohl den
+ * Aussteller als auch das Konto – so schreiben es die Authenticator-Apps
+ * vor, sonst steht in der Liste nur ein nackter Benutzername.
+ */
+export function otpauthUri(options: {
+  secret: string;
+  account: string;
+  issuer: string;
+}): string {
+  const label = `${options.issuer}:${options.account}`;
+  const query = new URLSearchParams({
+    secret: options.secret,
+    issuer: options.issuer,
+    algorithm: "SHA1",
+    digits: String(TOTP_DIGITS),
+    period: String(TOTP_PERIOD),
+  });
+  return `otpauth://totp/${encodeURIComponent(label)}?${query.toString()}`;
+}
+
+/** Der Schluessel in Vierergruppen – zum Abtippen, wenn die Kamera streikt. */
+export function groupSecret(secret: string): string {
+  return secret.replace(/(.{4})/g, "$1 ").trim();
+}

src/lib/config.ts

@@ -79,6 +79,14 @@ export const SESSION_TTL_MS = SESSION_TTL_DAYS * 24 * 60 * 60 * 1000;
 
 export const SESSION_COOKIE = "nebula_session";
 
+/**
+ * Cookie fuer die halbfertige Anmeldung zwischen Passwort und zweitem Faktor.
+ * Kurzlebig – wer den Code nicht binnen fuenf Minuten eingibt, faengt von
+ * vorne an.
+ */
+export const MFA_COOKIE = "nebula_mfa";
+export const MFA_TTL_MS = 5 * 60 * 1000;
+
 /** Wird beim Start einmal geloggt, damit Fehlkonfiguration frueh auffaellt. */
 export function describeConfig(): string {
   return [