双因素认证(2FA)工作原理简介

双因素认证-2FA

一、双因素认证

什么是双因素认证(Two-factor authentication,简称 2FA)

解释一(引自百度百科)

双因素身份认证就是：通过你所知道再加上你所能拥有的，这二个要素组合到一起才能发挥作用的身份认证系统。双因素认证是一种采用时间同步技术的系统，采用了基于时间、事件和密钥三变量而产生的一次性密码来代替传统的静态密码。每个动态密码卡都有一个唯一的密钥，该密钥同时存放在服务器端，每次认证时动态密码卡与服务器分别根据同样的密钥，同样的随机参数（时间、事件）和同样的算法计算了认证的动态密码，从而确保密码的一致性，从而实现了用户的认证。---引自百度百科

解释二(引自阮一峰的网络日志)

一般来说，三种不同类型的证据，可以证明一个人的身份。

秘密信息：只有该用户知道、其他人不知道的某种信息，比如密码。
个人物品：该用户的私人物品，比如身份证、钥匙。
生理特征：该用户的遗传特征，比如指纹、相貌、虹膜等等。

这些证据就称为三种"因素"（factor）。因素越多，证明力就越强，身份就越可靠。
双因素认证就是指，通过认证同时需要两个因素的证据。
银行卡就是最常见的双因素认证。用户必须同时提供银行卡和密码，才能取到现金。

二、TOTP和Google authenticator简介

TOTP是什么？简单的说，是一次性密码；全称是"基于时间的一次性密码"（Time-based One-time Password）。它是公认的可靠解决方案，已经写入国际标准RFC6238。Google authenticator又是什么？是一个基于TOTP原理实现的一个生成一次性密码的工具，用来做双因素登录，也是一个开源的项目。比如阿里的身份宝就是兼容Google authenticator的一个TOTP工具。

实现TOTP功能需要服务器端和客户端的支持。服务器端负责密钥的生成、验证一次性密码是否正确。客户端记录密钥后生成一次性密码。

1、使用一次一密基本的流程：

1.在服务器端对每个用户生成一个密钥SecretKey，这个密钥对于每个用户是不同的。

2.用户在自己的手机上安装客户端。第一次使用这个系统的时候，将密钥输入到客户端。服务器和用户的手机，现在都有了同一把密钥。这里有两种输入方式，可以手动的输入，也可以由系统生成二维码，客户端可以直接扫描二维码来读取密钥信息和帐号信息；同时可以设置一些参数，比如一次一密的长度（默认为6），时间步长（默认为30s）等。注意，密钥必须跟手机绑定。一旦用户更换手机，就必须生成全新的密钥。

3.客户端每隔一段时间为系统自动生成一个新的密码。系统验证的时候，用户输入客户端中的数字密码来验证。

2、TOTP算法

其核心内容包括以下三点：

一个共享密钥（一个比特序列）；
当前时间输入；
一个签署函数。

对于同一个用户，服务器和客户端共享了一个密钥SecretKey，二是服务器和客户端有相同的时间。

1.客户端和服务端使用HMACSHA1 这个加密算法进行加密，首先客户端和服务端会商量一个key，然后把这个key Base32之后当作算法的加密key
2.然后客户端和服务端需要维持一个long state一个值，如果服务端和客户端不能够通信，那么其实用时间当作这个state即可，当然这个得保证估计几十秒的容错性，一旦时间误差比较大就会验证不通过，这个就是TOTP的缺点。
3.双方通过加密这个long state 得到统一加密后的数据byte[] hash,首先取byte[] hash的最后一个byte& 0xF，那么就是去掉高位，留下一个小于15的数字offset，然后通过截取hash[offset:length]，这部分byte[]数组转换成数字truncatedHash，最后根据设置的返回码的位数，来决定取truncatedHash中的多少位。

整个算法流程就是上面这三步，这里面有一个难点，就是保证时间的容错性，

GoogleAuthenticator流程
1、基于密钥和时间计算一个HMAC-SHA1的hash值，这个hash是160bit的
2、将这个hash值随机取连续的4个字节生成32位整数，最后将整数取31位，再取模得到一个的整数。这个就是GoogleAuthenticator显示的数字。
3、在服务器端验证的时候，同样的方法来计算出数字
4、比较计算出来的结果和用户输入的是否一致。

3、示例

创建二维码或密钥，添加到手机Authenticator中，用手机中得到的code与用户和密钥进行验证即可。

createSecret();
//这是生成的密钥，每个用户唯一一个，为用户保存起来
echo $secret; echo '
';
//下面为生成二维码，内容是一个URI地址（otpauth://totp/账号?secret=密钥&issuer=标题）
//例子：otpauth://totp/[email protected]?secret=6HPH5373NXGO6M7K&issuer=zjwlgr
$qrCodeUrl = $ga->getQRCodeGoogleUrl('[email protected]', $secret, 'kuaxue');
echo "Google Charts URL for the QR-Code: ".$qrCodeUrl."\n\n";
//下面为验证参数
$oneCode = $_GET['code'];//用户手机中获取的code
$secret = '6HPH5373NXGO6M7K';//用户唯一一个密钥，上面生成的
//下面为验证用户输入的code是否正确
$checkResult = $ga->verifyCode($secret, $oneCode, 2);    // 2 = 2*30秒 时钟容差
echo '
';
if ($checkResult) {
    echo 'OK';
} else {
    echo 'FAILED';
}

此段程序这是一个PHP实现的调用方法，引用自https://github.com/PHPGangsta/GoogleAuthenticator，可以把这个clone到你本地使用。

三、双因素认证总结

1、优点

比单纯的密码登录安全得多。就算密码泄露，只要手机还在，账户就是安全的。各种密码破解方法，都对双因素认证无效。

2、缺点

登录多了一步，费时且麻烦，用户会感到不耐烦。而且，它也不意味着账户的绝对安全，入侵者依然可以通过盗取 cookie 或 token，劫持整个对话（session）。

3、帐户恢复问题

这是双因素认证最大的一个问题。

一旦忘记密码或者遗失手机，想要恢复登录，势必就要绕过双因素认证，这就形成了一个安全漏洞。

除非准备两套双因素认证，一套用来登录，另一套用来恢复账户。

四、参考

1、php使用谷歌验证 (Google Authenticator) 的双重身份验证
2、使用google authenticator打造运维平台的动态口令
3、google authenticator 工作原理
4、详解Google Authenticator工作原理
5、谷歌验证 (Google Authenticator) PHP版
6、基于Google 验证器 实现内网的双因素认证
7、谷歌验证：不懂备份，人财两空【更新小程序使用方法】
8、Google Authenticator Question
9、双因素认证（2FA）教程