Добавьте многофакторную аутентификацию в свое приложение iOS.

Если вы перешли на Firebase Authentication with Identity Platform , вы можете добавить многофакторную аутентификацию по SMS в свое приложение для iOS.

Многофакторная аутентификация повышает безопасность вашего приложения. Хотя злоумышленники часто компрометируют пароли и учетные записи в социальных сетях, перехватить текстовое сообщение сложнее.

Прежде чем начать

  1. Включите хотя бы одного поставщика, поддерживающего многофакторную аутентификацию. Каждый провайдер поддерживает MFA, за исключением аутентификации по телефону, анонимной аутентификации и Apple Game Center.

  2. Убедитесь, что ваше приложение проверяет электронную почту пользователей. MFA требует подтверждения электронной почты. Это не позволяет злоумышленникам зарегистрироваться в службе с адресом электронной почты, которым они не владеют, а затем заблокировать реального владельца, добавив второй фактор.

Включение многофакторной аутентификации

  1. Откройте страницу «Аутентификация» > «Метод входа» в консоли Firebase .

  2. В разделе «Дополнительно» включите многофакторную аутентификацию по SMS .

    Вам также следует ввести номера телефонов, с которыми вы будете тестировать свое приложение. Регистрация тестовых телефонных номеров не является обязательной, но настоятельно рекомендуется, чтобы избежать регулирования во время разработки.

  3. Если вы еще не авторизовали домен своего приложения, добавьте его в список разрешений на странице «Аутентификация» > «Настройки» консоли Firebase .

Проверка вашего приложения

Firebase необходимо убедиться, что SMS-запросы поступают из вашего приложения. Вы можете сделать это двумя способами:

  • Тихие уведомления APN . Когда вы входите в систему в первый раз, Firebase может отправить тихое push-уведомление на устройство пользователя. Аутентификация может быть продолжена, если приложение получит уведомление. Обратите внимание, что начиная с iOS 8.0 вам не нужно просить пользователя разрешить push-уведомления для использования этого метода.

  • Проверка reCAPTCHA . Если вы не можете отправить автоматическое уведомление (например, потому что пользователь отключил фоновое обновление или вы тестируете свое приложение в симуляторе iOS), вы можете использовать reCAPTCHA. Во многих случаях reCAPTCHA решается автоматически, без вмешательства пользователя.

Использование беззвучных уведомлений

Чтобы включить уведомления APN для использования с Firebase :

  1. В Xcode включите push-уведомления для вашего проекта.

  2. Загрузите свой ключ аутентификации APN с помощью консоли Firebase (ваши изменения будут автоматически перенесены в Google Cloud Firebase ). Если у вас еще нет ключа аутентификации APN, см. раздел Настройка APN с помощью FCM, чтобы узнать, как его получить.

    1. Откройте консоль Firebase .

    2. Перейдите в «Настройки проекта» .

    3. Выберите вкладку Облачные сообщения .

    4. В разделе «Ключ аутентификации APN» в разделе «Конфигурация приложения iOS» нажмите « Загрузить» .

    5. Выберите свой ключ.

    6. Добавьте идентификатор ключа для ключа. Идентификатор ключа можно найти в разделе «Сертификаты, идентификаторы и профили» Центра участников Apple Developer .

    7. Нажмите «Загрузить» .

Если у вас уже есть сертификат APNs, вы можете загрузить его.

Использование проверки reCAPTCHA

Чтобы клиентский SDK мог использовать reCAPTCHA:

  1. Откройте конфигурацию проекта в Xcode.

  2. Дважды щелкните имя проекта в левом дереве.

  3. Выберите свое приложение в разделе «Цели» .

  4. Выберите вкладку Информация .

  5. Разверните раздел «Типы URL» .

  6. Нажмите кнопку + .

  7. Введите обратный идентификатор клиента в поле «Схемы URL-адресов» . Это значение можно найти в файле конфигурации GoogleService-Info.plist как REVERSED_CLIENT_ID .

По завершении ваша конфигурация должна выглядеть примерно так:

Пользовательские схемы

При желании вы можете настроить способ представления SFSafariViewController или UIWebView в вашем приложении при отображении reCAPTCHA. Для этого создайте собственный класс, соответствующий протоколу FIRAuthUIDelegate , и передайте его методу verifyPhoneNumber:UIDelegate:completion: .

Выбор формы регистрации

Вы можете выбрать, требует ли ваше приложение многофакторную аутентификацию, а также как и когда регистрировать пользователей. Некоторые распространенные шаблоны включают в себя:

  • Зарегистрируйте второй фактор пользователя в рамках регистрации. Используйте этот метод, если ваше приложение требует многофакторной аутентификации для всех пользователей. Обратите внимание, что для регистрации второго фактора учетная запись должна иметь подтвержденный адрес электронной почты, поэтому ваш процесс регистрации должен учитывать это.

  • Предложите возможность пропуска для регистрации второго фактора во время регистрации. Приложения, которые хотят поощрять, но не требуют многофакторную аутентификацию, могут предпочесть этот подход.

  • Предоставьте возможность добавлять второй фактор со страницы управления учетной записью или профилем пользователя вместо экрана регистрации. Это сводит к минимуму трудности в процессе регистрации, одновременно делая многофакторную аутентификацию доступной для пользователей, чувствительных к безопасности.

  • Требуйте постепенного добавления второго фактора, когда пользователь хочет получить доступ к функциям с повышенными требованиями безопасности.

Регистрация второго фактора

Чтобы зарегистрировать новый вторичный фактор для пользователя:

  1. Повторно авторизуйте пользователя.

  2. Попросите пользователя ввести свой номер телефона.

  3. Получите многофакторную сессию для пользователя:

    Быстрый 

    authResult.user.multiFactor.getSessionWithCompletion() { (session, error) in
  // ...
}

    Цель-C 

    [authResult.user.multiFactor
  getSessionWithCompletion:^(FIRMultiFactorSession * _Nullable session,
                            NSError * _Nullable error) {
    // ...
}];

  4. Отправьте подтверждающее сообщение на телефон пользователя. Убедитесь, что номер телефона имеет начальный + и не содержит других знаков препинания или пробелов (например: +15105551234 ).

    Быстрый 

    // Send SMS verification code.
PhoneAuthProvider.provider().verifyPhoneNumber(
  phoneNumber,
  uiDelegate: nil,
  multiFactorSession: session) { (verificationId, error) in
    // verificationId will be needed for enrollment completion.
}

    Цель-C 

    // Send SMS verification code.
[FIRPhoneAuthProvider.provider verifyPhoneNumber:phoneNumber
                                      UIDelegate:nil
                              multiFactorSession:session
                                      completion:^(NSString * _Nullable verificationID,
                                                    NSError * _Nullable error) {
    // verificationId will be needed for enrollment completion.
}];

    Хотя это и не обязательно, рекомендуется заранее информировать пользователей о том, что они получат SMS-сообщение и что применяются стандартные тарифы.

    verifyPhoneNumber() запускает процесс проверки приложения в фоновом режиме с помощью автоматического push-уведомления. Если тихое push-уведомление недоступно, вместо него выдается запрос reCAPTCHA.

  5. После отправки SMS-кода попросите пользователя подтвердить код. Затем используйте их ответ для создания PhoneAuthCredential :

    Быстрый 

    // Ask user for the verification code. Then:
let credential = PhoneAuthProvider.provider().credential(
  withVerificationID: verificationId,
  verificationCode: verificationCode)

    Цель-C 

    // Ask user for the SMS verification code. Then:
FIRPhoneAuthCredential *credential = [FIRPhoneAuthProvider.provider
                                       credentialWithVerificationID:verificationID
                                       verificationCode:kPhoneSecondFactorVerificationCode];

  6. Инициализируйте объект утверждения:

    Быстрый 

    let assertion = PhoneMultiFactorGenerator.assertion(with: credential)

    Цель-C 

    FIRMultiFactorAssertion *assertion = [FIRPhoneMultiFactorGenerator assertionWithCredential:credential];

  7. Завершите регистрацию. При необходимости можно указать отображаемое имя для второго фактора. Это полезно для пользователей с несколькими вторыми факторами, поскольку номер телефона маскируется во время процесса аутентификации (например, +1******1234).

    Быстрый 

    // Complete enrollment. This will update the underlying tokens
// and trigger ID token change listener.
user.multiFactor.enroll(with: assertion, displayName: displayName) { (error) in
  // ...
}

    Цель-C 

    // Complete enrollment. This will update the underlying tokens
// and trigger ID token change listener.
[authResult.user.multiFactor enrollWithAssertion:assertion
                                     displayName:nil
                                      completion:^(NSError * _Nullable error) {
    // ...
}];

В приведенном ниже коде показан полный пример регистрации второго фактора:

Быстрый 

let user = Auth.auth().currentUser
user?.multiFactor.getSessionWithCompletion({ (session, error) in
  // Send SMS verification code.
  PhoneAuthProvider.provider().verifyPhoneNumber(
    phoneNumber,
    uiDelegate: nil,
    multiFactorSession: session
  ) { (verificationId, error) in
    // verificationId will be needed for enrollment completion.
    // Ask user for the verification code.
    let credential = PhoneAuthProvider.provider().credential(
      withVerificationID: verificationId!,
      verificationCode: phoneSecondFactorVerificationCode)
    let assertion = PhoneMultiFactorGenerator.assertion(with: credential)
    // Complete enrollment. This will update the underlying tokens
    // and trigger ID token change listener.
    user?.multiFactor.enroll(with: assertion, displayName: displayName) { (error) in
      // ...
    }
  }
})

Цель-C 

FIRUser *user = FIRAuth.auth.currentUser;
[user.multiFactor getSessionWithCompletion:^(FIRMultiFactorSession * _Nullable session,
                                              NSError * _Nullable error) {
    // Send SMS verification code.
    [FIRPhoneAuthProvider.provider
      verifyPhoneNumber:phoneNumber
      UIDelegate:nil
      multiFactorSession:session
      completion:^(NSString * _Nullable verificationID, NSError * _Nullable error) {
        // verificationId will be needed for enrollment completion.

        // Ask user for the verification code.
        // ...

        // Then:
        FIRPhoneAuthCredential *credential =
            [FIRPhoneAuthProvider.provider credentialWithVerificationID:verificationID
                                                        verificationCode:kPhoneSecondFactorVerificationCode];
        FIRMultiFactorAssertion *assertion =
            [FIRPhoneMultiFactorGenerator assertionWithCredential:credential];

        // Complete enrollment. This will update the underlying tokens
        // and trigger ID token change listener.
        [user.multiFactor enrollWithAssertion:assertion
                                  displayName:displayName
                                    completion:^(NSError * _Nullable error) {
            // ...
        }];
    }];
}];

Поздравляем! Вы успешно зарегистрировали второй фактор аутентификации для пользователя.

Вход пользователей со вторым фактором

Чтобы войти в систему пользователя с двухфакторной SMS-проверкой:

  1. Войдите в систему, используя первый фактор, а затем поймайте ошибку, указывающую, что требуется многофакторная аутентификация. Эта ошибка содержит преобразователь, подсказки о зарегистрированных втором факторе и базовый сеанс, подтверждающий, что пользователь успешно прошел проверку подлинности с помощью первого фактора.

    Например, если первым фактором пользователя был адрес электронной почты и пароль:

    Быстрый 

    Auth.auth().signIn(
  withEmail: email,
  password: password
) { (result, error) in
  let authError = error as NSError
  if authError?.code == AuthErrorCode.secondFactorRequired.rawValue {
    // The user is a multi-factor user. Second factor challenge is required.
    let resolver =
      authError!.userInfo[AuthErrorUserInfoMultiFactorResolverKey] as! MultiFactorResolver
    // ...
  } else {
    // Handle other errors such as wrong password.
  }
}

    Цель-C 

    [FIRAuth.auth signInWithEmail:email
                     password:password
                   completion:^(FIRAuthDataResult * _Nullable authResult,
                                NSError * _Nullable error) {
    if (error == nil || error.code != FIRAuthErrorCodeSecondFactorRequired) {
        // User is not enrolled with a second factor and is successfully signed in.
        // ...
    } else {
        // The user is a multi-factor user. Second factor challenge is required.
    }
}];

    Если первым фактором пользователя является федеративный поставщик, например OAuth, перехватите ошибку после вызова getCredentialWith() .

  2. Если у пользователя зарегистрировано несколько вторичных факторов, спросите его, какой из них использовать. Вы можете получить замаскированный номер телефона с resolver.hints[selectedIndex].phoneNumber и отображаемое имя с resolver.hints[selectedIndex].displayName .

    Быстрый 

    // Ask user which second factor to use. Then:
if resolver.hints[selectedIndex].factorID == PhoneMultiFactorID {
  // User selected a phone second factor.
  // ...
} else if resolver.hints[selectedIndex].factorID == TotpMultiFactorID {
  // User selected a TOTP second factor.
  // ...
} else {
  // Unsupported second factor.
}

    Цель-C 

    FIRMultiFactorResolver *resolver =
    (FIRMultiFactorResolver *) error.userInfo[FIRAuthErrorUserInfoMultiFactorResolverKey];

// Ask user which second factor to use. Then:
FIRPhoneMultiFactorInfo *hint = (FIRPhoneMultiFactorInfo *) resolver.hints[selectedIndex];
if (hint.factorID == FIRPhoneMultiFactorID) {
  // User selected a phone second factor.
  // ...
} else if (hint.factorID == FIRTOTPMultiFactorID) {
  // User selected a TOTP second factor.
  // ...
} else {
  // Unsupported second factor.
}

  3. Отправьте подтверждающее сообщение на телефон пользователя:

    Быстрый 

    // Send SMS verification code.
let hint = resolver.hints[selectedIndex] as! PhoneMultiFactorInfo
PhoneAuthProvider.provider().verifyPhoneNumber(
  with: hint,
  uiDelegate: nil,
  multiFactorSession: resolver.session
) { (verificationId, error) in
  // verificationId will be needed for sign-in completion.
}

    Цель-C 

    // Send SMS verification code
[FIRPhoneAuthProvider.provider
  verifyPhoneNumberWithMultiFactorInfo:hint
  UIDelegate:nil
  multiFactorSession:resolver.session
  completion:^(NSString * _Nullable verificationID, NSError * _Nullable error) {
    if (error != nil) {
        // Failed to verify phone number.
    }
}];

  4. После отправки кода SMS попросите пользователя проверить код и использовать его для создания PhoneAuthCredential :

    Быстрый 

    // Ask user for the verification code. Then:
let credential = PhoneAuthProvider.provider().credential(
  withVerificationID: verificationId!,
  verificationCode: verificationCodeFromUser)

    Цель-C 

    // Ask user for the SMS verification code. Then:
FIRPhoneAuthCredential *credential =
    [FIRPhoneAuthProvider.provider
      credentialWithVerificationID:verificationID
                  verificationCode:verificationCodeFromUser];

  5. Инициализируйте объект утверждения с помощью учетных данных:

    Быстрый 

    let assertion = PhoneMultiFactorGenerator.assertion(with: credential)

    Цель-C 

    FIRMultiFactorAssertion *assertion =
    [FIRPhoneMultiFactorGenerator assertionWithCredential:credential];

  6. Разрешите вход в систему. Затем вы можете получить доступ к исходному результату входа, который включает стандартные данные, специфичные для поставщика, и учетные данные для аутентификации:

    Быстрый 

    // Complete sign-in. This will also trigger the Auth state listeners.
resolver.resolveSignIn(with: assertion) { (authResult, error) in
  // authResult will also contain the user, additionalUserInfo, optional
  // credential (null for email/password) associated with the first factor sign-in.

  // For example, if the user signed in with Google as a first factor,
  // authResult.additionalUserInfo will contain data related to Google provider that
  // the user signed in with.

  // user.credential contains the Google OAuth credential.
  // user.credential.accessToken contains the Google OAuth access token.
  // user.credential.idToken contains the Google OAuth ID token.
}

    Цель-C 

    // Complete sign-in.
[resolver resolveSignInWithAssertion:assertion
                          completion:^(FIRAuthDataResult * _Nullable authResult,
                                        NSError * _Nullable error) {
    if (error != nil) {
        // User successfully signed in with the second factor phone number.
    }
}];

В приведенном ниже коде показан полный пример входа многофакторного пользователя:

Быстрый 

Auth.auth().signIn(
  withEmail: email,
  password: password
) { (result, error) in
  let authError = error as NSError?
  if authError?.code == AuthErrorCode.secondFactorRequired.rawValue {
    let resolver =
      authError!.userInfo[AuthErrorUserInfoMultiFactorResolverKey] as! MultiFactorResolver

    // Ask user which second factor to use.
    // ...

    // Then:
    let hint = resolver.hints[selectedIndex] as! PhoneMultiFactorInfo

    // Send SMS verification code
    PhoneAuthProvider.provider().verifyPhoneNumber(
      with: hint,
      uiDelegate: nil,
      multiFactorSession: resolver.session
    ) { (verificationId, error) in
      if error != nil {
        // Failed to verify phone number.
      }
      // Ask user for the SMS verification code.
      // ...

      // Then:
      let credential = PhoneAuthProvider.provider().credential(
        withVerificationID: verificationId!,
        verificationCode: verificationCodeFromUser)
      let assertion = PhoneMultiFactorGenerator.assertion(with: credential)

      // Complete sign-in.
      resolver.resolveSignIn(with: assertion) { (authResult, error) in
        if error != nil {
          // User successfully signed in with the second factor phone number.
        }
      }
    }
  }
}

Цель-C 

[FIRAuth.auth signInWithEmail:email
                     password:password
                   completion:^(FIRAuthDataResult * _Nullable authResult,
                               NSError * _Nullable error) {
    if (error == nil || error.code != FIRAuthErrorCodeSecondFactorRequired) {
        // User is not enrolled with a second factor and is successfully signed in.
        // ...
    } else {
        FIRMultiFactorResolver *resolver =
            (FIRMultiFactorResolver *) error.userInfo[FIRAuthErrorUserInfoMultiFactorResolverKey];

        // Ask user which second factor to use.
        // ...

        // Then:
        FIRPhoneMultiFactorInfo *hint = (FIRPhoneMultiFactorInfo *) resolver.hints[selectedIndex];

        // Send SMS verification code
        [FIRPhoneAuthProvider.provider
          verifyPhoneNumberWithMultiFactorInfo:hint
                                    UIDelegate:nil
                            multiFactorSession:resolver.session
                                    completion:^(NSString * _Nullable verificationID,
                                                NSError * _Nullable error) {
            if (error != nil) {
                // Failed to verify phone number.
            }

            // Ask user for the SMS verification code.
            // ...

            // Then:
            FIRPhoneAuthCredential *credential =
                [FIRPhoneAuthProvider.provider
                  credentialWithVerificationID:verificationID
                              verificationCode:kPhoneSecondFactorVerificationCode];
            FIRMultiFactorAssertion *assertion =
                [FIRPhoneMultiFactorGenerator assertionWithCredential:credential];

            // Complete sign-in.
            [resolver resolveSignInWithAssertion:assertion
                                      completion:^(FIRAuthDataResult * _Nullable authResult,
                                                    NSError * _Nullable error) {
                if (error != nil) {
                    // User successfully signed in with the second factor phone number.
                }
            }];
        }];
    }
}];

Поздравляем! Вы успешно вошли в систему пользователя, используя многофакторную аутентификацию.

Что дальше