问题标签 [two-factor-authentication]

我已经在我的 iPhone 中安装了 Google 身份验证器，我正在使用它来登录我的 AWS 根账户。我还想使用相应的令牌生成器 Android 应用程序添加使用我的 Android 手机使用 MFA 登录的功能。

是否可以添加第二个设备以及如何添加？还是 AWS 根账户 MFA 绑定到一个（虚拟）设备？

经过一番研究，我已经实现了一个可靠的“忘记密码？” 机制，现在我想实现 2FA。

但是现在我在想，如果您可以通过“忘记密码？”来恢复您的帐户，那么 2FA（密码 + 电子邮件或短信）有什么意义？机制，只需要 1 个因素（仅电子邮件）？

两者兼有是否正常，或者，正如我现在所想的那样，这有点毫无意义？

目前，Joomla 似乎有一个可选的 2FA 实施。是否可以强制我们的用户使用 2FA 登录？

我正在开发一个提供移动和 iPhone 应用程序的互联网交易应用程序。随着最近的市场趋势，我们正在努力包括两因素身份验证。为此，我们将在用户注册的手机号码上以短信形式发送一次性密码。

有没有办法，OTP 可以从 iPhone 中的用户消息框自动填充到应用程序中？我应该使用什么算法让我的应用程序读取用户的消息框？

提前致谢：）

我想知道是否有任何好的库可以通过使用SecureSocial的 Play Framework 2 应用程序实现两因素身份验证？我已经做了很多谷歌搜索，但什么也没找到。

是否可以为 wifi 网络的已知用户设置两因素身份验证？我想这可能会增加 wifi 网络的安全性，其密钥由不受信任的设备或第三方智能手机操作系统制造商存储。

根据wiki，谷歌 2 因素身份验证密钥应该是 16 个字符的 base32 字符串。当我解码google发给我的二维码时，发现它符合google指定的Key格式，但发现密码长度不对。谷歌是否改变了秘密长度或编码格式？我有什么方法可以从我拥有的密钥中获取 16 个字符的 base32 字符串？我来自 QR 码的密钥（我显然没有完全复制和粘贴）是：

这是我所知道的：

1. 它不是十六进制的。
2. 它有 32 个字符长。
3. 它确实符合base32，但为什么都是小写？google 的密钥格式规范上的示例全部显示为大写？

我唯一能想象的是，谷歌已经将格式从只有 16 个字符更改为 32 个字符。有人知道吗？

我实现了两因素身份验证，如http://blogs.msdn.com/b/webdev/archive/2014/02/18/adding-two-factor-authentication-to-an-application-using-asp-net中所示-identity.aspx但我想在模板视图中向用户展示TokenViewModel object具有两个属性，TokenDate并由View和atTokenString检索。@User.Identity.GetLastUserToken().TokenDate@User.Identity.GetLastUserToken().TokenString

我只是这样做。

正如你所看到的，EmailTokenProviderin manager.RegisterTwoFactorProvider("EmailCode", new EmailTokenProvider<ApplicationUser>()line 是IUserTokenProvider<TKey, TValue>由我自己在我的项目中实现的。

这个继承必须实现这些方法：

我想在 User.Identity 范围内设置令牌 var，但我不确切知道。

我怎样才能做到这一点？

我正在寻找一些急需的帮助来设置Duo Secuirty的PHP Web SDK ，以便为我的Plogger画廊的管理部分进行双重身份验证。我尝试了几种方法，但文档非常稀少，而且有些不完整。

出于明显的安全原因，我无法在此处发布我的确切尝试，但我只需要大致了解如何修改原始登录页面代码以在我的管理部分进行双重双重身份验证。

任何帮助都感激不尽！

可以找到 Plogger -这里

我正在使用版本：1.0 RC1

提前致谢！

——詹姆斯·A。

目前，我正在使用双因素身份验证，随机 6 位代码作为第二个因素，通过短信或电子邮件发送。我现在想通过使用 HOTP 标准来加强这一点。并找到了一个看起来很整洁的好课。

但我正在考虑将第二个因素存储在哪里以及检查它的方法的实现和最佳实践。这是我建议的流程：

• 用户输入第一次认证：用户名+密码
• 成功时将会话行添加到session-table；以及使用上述类生成的 OTP。并通过电子邮件/短信发送给用户。
• 页面重新加载
• 会话可用，但行中仍有 OTP，因此会显示一个表单以输入第二个因素。
• 正在验证第二个因素（三次尝试，之后整个会话被撤销）
• 成功后，OTP 会从会话行中删除，并且otp_done-field 会更新为 true。
• 页面重新加载
• 会话处于活动状态，otp_done=true 所以显示应用程序。

注意事项：
如果会话被劫持（尽管是随机且唯一的），它们将获得完全访问权限。将 otp 存储在会话中并在每次页面加载时对其进行验证是否更好。但不知何故，这听起来是双重的。而且它只为方程增加了 6 位数的随机性。

是否有标准化的方式来实施这些 OTP？
我的实现是好的还是其中存在安全漏洞？

key应该使用什么来生成 OTP？HOTP 标准是否为同一密钥返回不同的 otp？

Session_id 是使用生成的 32 位字符串bin2hex(openssl_random_pseudo_bytes(32))