一、双因素认证
什么是双因素认证(Two-factor authentication,简称 2FA)
解释一(引自百度百科)
双因素身份认证就是:通过你所知道再加上你所能拥有的,这二个要素组合到一起才能发挥作用的身份认证系统。双因素认证是一种采用时间同步技术的系统,采用了基于时间、事件和密钥三变量而产生的一次性密码来代替传统的静态密码。每个动态密码卡都有一个唯一的密钥,该密钥同时存放在服务器端,每次认证时动态密码卡与服务器分别根据同样的密钥,同样的随机参数(时间、事件)和同样的算法计算了认证的动态密码,从而确保密码的一致性,从而实现了用户的认证。---引自
百度百科
解释二(引自阮一峰的网络日志)
一般来说,三种不同类型的证据,可以证明一个人的身份。
秘密信息:只有该用户知道、其他人不知道的某种信息,比如密码。
个人物品:该用户的私人物品,比如身份证、钥匙。
生理特征:该用户的遗传特征,比如指纹、相貌、虹膜等等。这些证据就称为三种"因素"(factor)。因素越多,证明力就越强,身份就越可靠。
双因素认证就是指,通过认证同时需要两个因素的证据。
银行卡
就是最常见的双因素认证。用户必须同时提供银行卡和密码,才能取到现金。
二、TOTP和Google authenticator简介
TOTP
是什么?简单的说,是一次性密码;全称是"基于时间的一次性密码"(Time-based One-time Password)。它是公认的可靠解决方案,已经写入国际标准RFC6238。Google authenticator
又是什么?是一个基于TOTP原理实现的一个生成一次性密码的工具,用来做双因素登录,也是一个开源的项目。比如阿里的身份宝就是兼容Google authenticator
的一个TOTP工具。
实现TOTP功能需要服务器端和客户端的支持。服务器端负责密钥的生成、验证一次性密码是否正确。客户端记录密钥后生成一次性密码。
1、使用一次一密基本的流程:
1.在服务器端对每个用户生成一个密钥SecretKey,这个密钥对于每个用户是不同的。
2.用户在自己的手机上安装客户端。第一次使用这个系统的时候,将密钥输入到客户端。服务器和用户的手机,现在都有了同一把密钥。这里有两种输入方式,可以手动的输入,也可以由系统生成二维码,客户端可以直接扫描二维码来读取密钥信息和帐号信息;同时可以设置一些参数,比如一次一密的长度(默认为6),时间步长(默认为30s)等。注意,密钥必须跟手机绑定。一旦用户更换手机,就必须生成全新的密钥
。
3.客户端每隔一段时间为系统自动生成一个新的密码。系统验证的时候,用户输入客户端中的数字密码来验证。
2、TOTP算法
其核心内容包括以下三点:
一个共享密钥(一个比特序列);
当前时间输入;
一个签署函数。
对于同一个用户,服务器和客户端共享了一个密钥SecretKey,二是服务器和客户端有相同的时间。
1.客户端和服务端使用HMACSHA1 这个加密算法进行加密,首先客户端和服务端会商量一个key,然后把这个key Base32之后当作算法的加密key
2.然后客户端和服务端需要维持一个long state一个值,如果服务端和客户端不能够通信,那么其实用时间当作这个state即可,当然这个得保证估计几十秒的容错性,一旦时间误差比较大就会验证不通过,这个就是TOTP的缺点。
3.双方通过加密这个long state 得到统一加密后的数据byte[] hash,首先取byte[] hash的最后一个byte& 0xF,那么就是去掉高位,留下一个小于15的数字offset,然后通过截取hash[offset:length],这部分byte[]数组转换成数字truncatedHash,最后根据设置的返回码的位数,来决定取truncatedHash中的多少位。
整个算法流程就是上面这三步,这里面有一个难点,就是保证时间的容错性,
GoogleAuthenticator流程
1、基于密钥和时间计算一个HMAC-SHA1的hash值,这个hash是160bit的
2、将这个hash值随机取连续的4个字节生成32位整数,最后将整数取31位,再取模得到一个的整数。这个就是GoogleAuthenticator显示的数字。
3、在服务器端验证的时候,同样的方法来计算出数字
4、比较计算出来的结果和用户输入的是否一致。
3、示例
创建二维码或密钥,添加到手机Authenticator中,用手机中得到的code与用户和密钥进行验证即可。
<?php
require_once 'PHPGangsta/GoogleAuthenticator.php';
$ga = new PHPGangsta_GoogleAuthenticator();
$secret = $ga->createSecret();
//这是生成的密钥,每个用户唯一一个,为用户保存起来
echo $secret; echo '<br />';
//下面为生成二维码,内容是一个URI地址(otpauth://totp/账号?secret=密钥&issuer=标题)
//例子:otpauth://totp/zjwlgr@163.com?secret=6HPH5373NXGO6M7K&issuer=zjwlgr
$qrCodeUrl = $ga->getQRCodeGoogleUrl('zjwlgr@163.com', $secret, 'kuaxue');
echo "Google Charts URL for the QR-Code: ".$qrCodeUrl."\n\n";
//下面为验证参数
$oneCode = $_GET['code'];//用户手机中获取的code
$secret = '6HPH5373NXGO6M7K';//用户唯一一个密钥,上面生成的
//下面为验证用户输入的code是否正确
$checkResult = $ga->verifyCode($secret, $oneCode, 2); // 2 = 2*30秒 时钟容差
echo '<br />';
if ($checkResult) {
echo 'OK';
} else {
echo 'FAILED';
}
此段程序这是一个PHP实现的调用方法,引用自https://github.com/PHPGangsta/GoogleAuthenticator
,可以把这个clone到你本地使用。
三、双因素认证总结
1、优点
比单纯的密码登录安全得多。就算密码泄露,只要手机还在,账户就是安全的。各种密码破解方法,都对双因素认证无效。
2、缺点
登录多了一步,费时且麻烦,用户会感到不耐烦。而且,它也不意味着账户的绝对安全,入侵者依然可以通过盗取 cookie 或 token,劫持整个对话(session)。
3、帐户恢复问题
这是双因素认证最大的一个问题。
一旦忘记密码或者遗失手机,想要恢复登录,势必就要绕过双因素认证,这就形成了一个安全漏洞。
除非
准备两套
双因素认证,一套用来登录,另一套用来恢复账户。
四、参考
1、php使用谷歌验证 (Google Authenticator) 的双重身份验证
2、使用google authenticator打造运维平台的动态口令
3、google authenticator 工作原理
4、详解Google Authenticator工作原理
5、谷歌验证 (Google Authenticator) PHP版
6、基于Google 验证器 实现内网的双因素认证
7、谷歌验证:不懂备份,人财两空【更新小程序使用方法】
8、Google Authenticator Question
9、双因素认证(2FA)教程