问题标签 [two-factor-authentication]

我正在使用 Laravel 5.1 的内置 AuthController 。我已经集成了 antonioribeiro/google2fa来生成二维码并验证密钥。我还对我的 postLogin 函数进行了更改，以便在验证凭据后，用户将被重定向到 TFA 密钥输入表单。

我的问题是我应该在哪里以及如何处理 TFA Key 响应。什么应该是最佳实践，这样我的应用程序的安全性就不会受到损害。

我为我的 bitbucket 帐户启用了两因素身份验证。现在 Osx 上的 Atlassian Sourcetree 应用程序无法运行，无法登录 bitbucket。

我如何配置 SourceTree 以使用 bitbucket 两因素身份验证？

我正在尝试在我的 Spring 应用程序中实现两个因素身份验证。

期望的情况

我希望用户首先使用他的用户名和密码登录，如果这些都是正确的，我希望系统生成一个随机密钥并将其通过电子邮件发送给用户。之后，系统必须将用户重定向到一个页面，他只需输入令牌并登录到系统。

到目前为止我得到了什么（在伪代码中）

用户进入 login.jsp 页面。使用用户名/密码登录后，系统会发出 CustomMade AuthenticationException。在 AuthenticationFailureHandler 中，我对异常执行 getAuthentication（我知道弃用）但我使用用户名向用户发送他的令牌。之后，我将异常放入会话中（使用 request.getSession().setAttribute ），最后系统重新加载 login.jsp。

Login.jsp 在会话中看到异常并显示令牌输入字段。用户填写令牌输入字段并登录。系统使用会话中的凭据和给定令牌对用户进行身份验证。

问题

我认为在会话中保存用户名/密码是不好的做法。我想到了两种可能的解决方案：

1. 检查用户名/密码后。将用户名保存在静态变量或数据库中。当用户输入令牌时，检查用户名是否在变量/db中并检查令牌。如果令牌正确，请使用用户登录。

2. 检查用户名/密码后，以低角色登录用户。低角色用户只能进入token页面，输入有效token后系统会赋予用户新的权限。

实施的最佳解决方案是什么？

我正在考虑在我的应用程序中添加另一层安全性。两因素身份验证 (2FA) 似乎是我想要使用的东西。

我想知道是什么决定了一个好的 2FA？另外你会推荐哪些？我目前不在 Devise 上，所以任何独立的第三方/gem 都会有所帮助。

我还没有发现任何明显的东西可以回答这个问题，所以我要在这里问，如果我找到我正在寻找的答案，我会与社区分享。

我正在实施 Azure 本地多因素身份验证。一切顺利。SMS 的两种工作方式都很花哨。Authenticator 应用程序在我的 iPhone 上运行良好。我什至设法让我们的 FortiGate 设备与它对话，以实现我们的 VPN 连接的两个因素。

我现在正试图弄清楚如何实现 OATH 令牌，因为我的老板不想依赖蜂窝网络，而且我们的大部分移动设备都是 BlackBerry 的。

我一直没有完全理解的是你登录时输入了什么？

场景 1：假设我只有一个 OATH 令牌，没有 Authenticator 应用程序，也没有 PIN。你在用户名和密码提示中输入了什么？

场景 2：如果我的手机上有 Authenticator 应用程序但没有手机信号怎么办。我可以输入我的用户名，然后输入在应用程序中生成的密码作为我的密码吗？

我有一个 java spring web 应用程序，目前它有一个正常的身份验证流程。我需要向它添加一个两因素身份验证实现。为此，我们可以使用 google 或任何其他提供商之类的第三方提供商。

我最近想使用我的一个旧项目特定的 GitHub 帐户，其中启用了两因素身份验证。由于我无法记住密码，我使用了忘记密码选项并重置密码。

然而，在成功更改凭据后，GitHub 像往常一样期待双向身份验证密钥，因为我现在没有相同的设备，我没有配置 GitHub 来获得双向身份验证，我也没有更多关于帐户，而不是我的登录凭据。

有什么办法可以让双向重构工作。或者我可以登录？

我正在尝试在 PHP 中运行 Authy 的演示。我已经用 Composer 安装了 Authy 库，所以现在我可以使用这样的硬编码值来注册用户：

当上面的脚本运行时，确实生成了一个 5 位数的用户 ID，所以一切似乎都很顺利，但 SMS 从未发送到我的手机。

一个可能的问题可能是我的号码已经注册为应用程序电话（与管理员帐户相关联），因此（根据文档）每个电话号码都必须唯一标识一个用户，也许我的号码已经注册了这个应用程序，因此无需发送新令牌。如果是这种情况，用户对象的 id 可能是之前注册的。

但是，其他电话号码仍然存在问题。所以现在我迷路了。

我正在为以前的雇主编写一个网络爬虫，它要求我登录，如果我以前从未使用该用户登录，它还会进行两因素身份验证。

好吧...我发现在传递令牌以及用户名和密码之后，它永远不会在我的网络爬虫上要求我进行两因素身份验证，但它会在浏览器中。我什至使用从未登录过的人的测试用户名/密码来完成此操作。

1. 通过两因素身份验证就那么容易获得吗？

2. 在不泄露代码（出于安全原因）的情况下，发生这种情况的可能原因是什么？

3. 有什么方法可以让这更安全吗？它是否只是在这两个因素上运行 java 脚本验证，并且由于我的网络爬虫没有 java 脚本，所以它永远不会命中它？

4. 两因素代码要求的最合适/最安全的实现是什么？

是否有任何可用的 Twilio 或 Authy SDK 可用于 Cognito 的两因素身份验证？

或者，通过 Cognito 使用两因素身份验证进行用户身份验证的最佳实践是什么？

基本上，移动应用程序如何通过使用 Cognito 进行身份管理来通过两因素身份验证对用户进行身份验证？