Two-Factor Authentication with Node.js

有许多战略保护你重要的在线全权证书。 我们经常听到有关密码管理员和发电机的情况,但对于我来说,更为重要的战略是使用两个因素认证(2FA)。 密码可以加以分析,电话号码可以浏览,但使用两个因素的认证,基本上要求用户拥有带有像谷歌·奥思特茨器这样的仪器的物理装置,该装置带有特定信号的秘密钥匙,提供额外的安全等级。

在。 有8 000名加密公司在几分钟内偷窃,因为供应商使用电话号码验证,允许交易获得批准。 今天,我对我的所有重要电子邮件、工作和财务账户都使用两个因素认证。

自2006年以来 我经常使用2个财务框架,我希望看到这一过程如何由用户开发商管理。 这将包括生成秘密钥匙,建立QR代码代表制,将该代码扫描成谷歌Athenticator(由用户标明),然后验证GA-given的密码与用户钥匙。 我发现很容易使用Node.js图书馆,,以便这样做!

var speakeasy = require( speakeasy );

var secret = speakeasy.generateSecret({length: 20});
console.log(secret.base32); // Save this value to your DB for the user

// Example:  JFBVG4R7ORKHEZCFHZFW26L5F55SSP2Y

var QRCode = require( qrcode );

QRCode.toDataURL(secret.otpauth_url, function(err, image_data) {
  console.log(image_data); // A data URI for the QR code image
});

_image data URI, 你可以用于img。 如果你不熟悉QR的法典,那么它将研究这样的情况:

User Step 1:  Scan the QR Code / Add Site to Authenticator

此时此刻,用户应开放谷歌朗准器(或Authy等)并扫描QR代码;在装置坐标内加入你的网络链接。 从这一点看,只要用户想要在(或执行你想要保护的任何行动)上登记,那么你的系统就应当承认用户想要使用2个财务表,而且你应当要求他们从自己的手脚上入住。

For the purposes of debugging, you can get what should be the user code value at a given time via:

// Load the secret.base32 from their user record in database
var secret = ...

var token = speakeasy.totp({
  secret: secret,
  encoding:  base32 
});

User Step 2: Providing the Token / Vapdating the Token

When your web app prompts the user for the current 2FA token, and the user provides a 6 digit token, the web app must vapdate that token:

// This is provided the by the user via form POST
var userToken = params.get( token );

// Load the secret.base32 from their user record in database
var secret = ...

// Verify that the user token matches what it should at this moment
var verified = speakeasy.totp.verify({
  secret: secret,
  encoding:  base32 ,
  token: userToken
});

如果信标匹配,用户可以信赖;如果信号不匹配,网络信号应当促使用户再次尝试。 认为Austhenticator提供一种新的标记,每{x}秒钟,便不正确,脚踏上红旗;被标语可能在用户提交表格时已经过期。

Live Demo

讲演者创建了一个pve meeasy 2FA demo,供你玩.,以便你能够从用户和开发者的角度理解所涉步骤。

该员额只是简单、高层次地概述实施两个因素认证的情况——请阅读,以便获得更详细的解释,并了解更为具体的2FA备选方案。 在理想世界中,多数标识的缺省会使两个因素的认证成为可能,但多数网络用户(非常非技术用户的想象力)可能混淆不清,因此,我可以理解,为什么现在把2个财务框架视为额外的安全措施。 令人十分感谢的是,美术开发商很容易使用Nodejs图书馆、繁多的文件和简单的 de!