Добавьте многофакторную аутентификацию TOTP в свое приложение для Android.

Если вы перешли на Firebase Authentication with Identity Platform , вы можете добавить в свое приложение многофакторную аутентификацию (MFA) с одноразовым паролем (TOTP) с ограниченным по времени сроком действия.

Firebase Authentication with Identity Platform позволяет использовать TOTP в качестве дополнительного фактора многофакторной аутентификации (MFA). При включении этой функции пользователи, пытающиеся войти в ваше приложение, видят запрос TOTP. Для его создания необходимо использовать приложение-аутентификатор, способное генерировать действительные коды TOTP, например, Google Authenticator .

Прежде чем начать

  1. Включите хотя бы одного поставщика, поддерживающего MFA. Обратите внимание, что MFA поддерживают все поставщики, за исключением следующих:

    • Авторизация по телефону
    • Анонимная аутентификация
    • Пользовательские токены авторизации
    • Apple Game Center

  2. Убедитесь, что ваше приложение проверяет адреса электронной почты пользователей. Многофакторная аутентификация (MFA) требует подтверждения адреса электронной почты. Это предотвращает возможность злоумышленников регистрироваться в сервисе с адресом электронной почты, которым они не владеют, а затем блокировать доступ к фактическому владельцу адреса электронной почты, добавляя второй фактор.

  3. Если вы еще этого не сделали, установите Firebase Android SDK .

    TOTP MFA поддерживается только в Android SDK версии v22.1.0 и выше.

Включить TOTP MFA

Чтобы включить TOTP в качестве второго фактора, используйте Admin SDK или вызовите конечную точку REST конфигурации проекта.

Чтобы использовать Admin SDK , выполните следующие действия:

  1. Если вы еще этого не сделали, установите Firebase Admin Node.js SDK .

    TOTP MFA поддерживается только в Firebase Admin Node.js SDK версии 11.6.0 и выше.

  2. Выполните следующее:

    import { getAuth } from 'firebase-admin/auth';

getAuth().projectConfigManager().updateProjectConfig(
{
      multiFactorConfig: {
          providerConfigs: [{
              state: "ENABLED",
              totpProviderConfig: {
                  adjacentIntervals: NUM_ADJ_INTERVALS
              }
          }]
      }
})

    Заменить следующее:

    • NUM_ADJ_INTERVALS : Количество смежных интервалов времени, из которых принимаются TOTP, от нуля до десяти. Значение по умолчанию — пять.

      Принцип работы TOTP заключается в том, что когда две стороны (доказывающая сторона и валидатор) генерируют одноразовые пароли в течение одного и того же временного интервала (обычно 30 секунд), они генерируют один и тот же пароль. Однако, чтобы компенсировать разницу во времени между сторонами и время ответа человека, вы можете настроить службу TOTP так, чтобы она принимала TOTP и из смежных временных интервалов.

Чтобы включить TOTP MFA с помощью REST API, выполните следующее:

curl -X PATCH "https://identitytoolkit.googleapis.com/admin/v2/projects/PROJECT_ID/config?updateMask=mfa" \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -H "X-Goog-User-Project: PROJECT_ID" \
    -d \
    '{
        "mfa": {
          "providerConfigs": [{
            "state": "ENABLED",
            "totpProviderConfig": {
              "adjacentIntervals": NUM_ADJ_INTERVALS
            }
          }]
       }
    }'

Заменить следующее:

  • PROJECT_ID : Идентификатор проекта.

  • NUM_ADJ_INTERVALS : Количество интервалов временного окна, от нуля до десяти. Значение по умолчанию — пять.

    Принцип работы TOTP заключается в том, что когда две стороны (доказывающая сторона и валидатор) генерируют одноразовые пароли в течение одного и того же временного интервала (обычно 30 секунд), они генерируют один и тот же пароль. Однако, чтобы компенсировать разницу во времени между сторонами и время ответа человека, вы можете настроить службу TOTP так, чтобы она принимала TOTP и из смежных временных интервалов.

Выберите схему регистрации

Вы можете выбрать, требуется ли вашему приложению многофакторная аутентификация, а также как и когда регистрировать пользователей. Вот некоторые распространённые шаблоны:

  • Включите второй фактор аутентификации пользователя в процесс регистрации. Используйте этот метод, если ваше приложение требует многофакторной аутентификации для всех пользователей.

  • Предложите возможность пропуска второго фактора аутентификации при регистрации. Если вы хотите поощрять, но не требовать многофакторную аутентификацию в своём приложении, вы можете использовать этот подход.

  • Предоставьте возможность добавления второго фактора на странице управления учётной записью или профилем пользователя, а не на экране регистрации. Это минимизирует сложности в процессе регистрации, сохраняя при этом доступность многофакторной аутентификации для пользователей, которым важны вопросы безопасности.

  • Требуйте постепенного добавления второго фактора, когда пользователь захочет получить доступ к функциям с повышенными требованиями к безопасности.

Регистрация пользователей в TOTP MFA

После включения TOTP MFA в качестве второго фактора для вашего приложения реализуйте клиентскую логику для регистрации пользователей в TOTP MFA:

  1. Повторно аутентифицируйте пользователя.

  2. Сгенерируйте секрет TOTP для аутентифицированного пользователя:

    // Generate a TOTP secret.
Firebase.auth.currentUser.multiFactor.session
    .addOnSuccessListener { multiFactorSession ->
        TotpMultiFactorGenerator.generateSecret(multiFactorSession)
            .addOnSuccessListener { totpSecret ->
                // Display the secret to the user and prompt them to
                // enter it into their authenticator app. (See the next
                // step.)
            }
    }

  3. Покажите секрет пользователю и предложите ввести его в приложение-аутентификатор:

    // Display this key:
val secret = totpSecret.sharedSecretKey

    Помимо отображения секретного ключа, вы можете попробовать автоматически добавить его в приложение аутентификации по умолчанию на устройстве. Для этого сгенерируйте URI ключа, совместимый с Google Authenticator , и передайте его в openInOtpApp() :

    val qrCodeUri = totpSecret.generateQrCodeUrl(
    currentUser.email ?: "default account",
    "Your App Name")
totpSecret.openInOtpApp(qrCodeUri)

    После того как пользователь добавит свой секрет в приложение-аутентификатор, оно начнет генерировать TOTP.

  4. Предложите пользователю ввести TOTP, отображаемый его приложением-аутентификатором, и использовать его для завершения регистрации MFA:

    // Ask the user for a verification code from the authenticator app.
val verificationCode = // Code from user input.

// Finalize the enrollment.
val multiFactorAssertion = TotpMultiFactorGenerator
    .getAssertionForEnrollment(totpSecret, verificationCode)
Firebase.auth.currentUser.multiFactor.enroll(multiFactorAssertion, "TOTP")
    .addOnSuccessListener {
        // Enrollment complete.
    }

Вход пользователей с использованием второго фактора

Для авторизации пользователей с помощью TOTP MFA используйте следующий код:

  1. Вызовите один из методов signInWith , как если бы вы не использовали MFA. (Например, signInWithEmailAndPassword() .) Если метод выдает исключение FirebaseAuthMultiFactorException , запустите поток MFA вашего приложения.

    Firebase.auth.signInWithEmailAndPassword(email, password)
    .addOnSuccessListener { result ->
        // If the user is not enrolled with a second factor and provided valid
        // credentials, sign-in succeeds.

        // (If your app requires MFA, this could be considered an error
        // condition, which you would resolve by forcing the user to enroll a
        // second factor.)

        // ...
    }
    .addOnFailureListener { exception ->
        when (exception) {
            is FirebaseAuthMultiFactorException -> {
                // Initiate your second factor sign-in flow. (See next step.)
                // ...
            }
        }
    }

  2. Процесс многофакторной аутентификации (MFA) вашего приложения должен сначала предложить пользователю выбрать второй фактор аутентификации. Список поддерживаемых вторых факторов можно получить, изучив свойство hints экземпляра MultiFactorResolver :

    val enrolledFactors = exception.resolver.hints.map { it.displayName }

  3. Если пользователь выбирает использование TOTP, предложите ему ввести TOTP, отображаемый в приложении аутентификации, и использовать его для входа:

    when (exception.resolver.hints[selectedIndex].factorId) {
    TotpMultiFactorGenerator.FACTOR_ID -> {
        val otpFromAuthenticator = // OTP typed by the user.
        val assertion = TotpMultiFactorGenerator.getAssertionForSignIn(
            exception.resolver.hints[selectedIndex].uid,
            otpFromAuthenticator
        )
        exception.resolver.resolveSignIn(assertion)
            .addOnSuccessListener { result ->
                // Successfully signed in!
            }
            .addOnFailureListener { resolveError ->
                // Invalid or expired OTP.
            }
    }
    PhoneMultiFactorGenerator.FACTOR_ID -> {
        // Handle SMS second factor.
    }
}

Отписаться от TOTP MFA

В этом разделе описывается, как действовать в случае отмены регистрации пользователя в TOTP MFA.

Если пользователь подписался на несколько вариантов MFA и отменяет подписку на последний активированный вариант, он получает сообщение auth/user-token-expired и выходит из системы. Пользователю необходимо снова войти в систему и подтвердить свои учётные данные, например, адрес электронной почты и пароль.

Чтобы отменить регистрацию пользователя, обработать ошибку и запустить повторную аутентификацию, используйте следующий код: 

Firebase.auth.currentUser.multiFactor.unenroll(mfaEnrollmentId)
    .addOnSuccessListener {
        // Second factor unenrolled.
    }
    .addOnFailureListener { exception ->
        when (exception) {
            is FirebaseAuthInvalidUserException -> {
                // Second factor unenrolled. If the user was signed out, re-authenticate
                // them.

                // For example, if they signed in with a password, prompt them to
                // provide it again, then call `reauthenticateWithCredential()` as shown
                // below.
                val credential = EmailAuthProvider.getCredential(email, password)
                currentUser.reauthenticate(credential)
                    .addOnSuccessListener { 
                        // Success!
                    }
                    .addOnFailureListener { 
                        // Bad email address and password combination.
                    }
            }
        }
    }

Что дальше?