动态令牌（谷歌身份验证器）的实现

最新推荐文章于 2024-09-13 15:46:41 发布

bigcarp

最新推荐文章于 2024-09-13 15:46:41 发布

阅读量9.2k

点赞数

分类专栏：编程文章标签： python

原文链接：https://blog.csdn.net/weixin_39868414/article/details/110985973

版权

编程专栏收录该内容

92 篇文章 7 订阅

订阅专栏

本文详细介绍了动态令牌（如OTP、HOTP和TOTP）的工作原理，包括服务器端密钥生成、二维码展示、谷歌验证器的使用，并展示了Python代码示例。重点在于服务端生成和验证动态密码的过程，适合了解和实践安全认证技术。

摘要由CSDN通过智能技术生成

动态令牌-(OTP,HOTP,TOTP)-基本原理： https://www.cnblogs.com/navysummer/p/11943319.html

实现原理： https://blog.csdn.net/weixin_39868414/article/details/110985973

1、服务端首先要约定一个base32的密钥，并且把这个密钥与某个账户关联。

2、在页面显示一个二维码，内容是一个URI地址(otpauth://totp/账号?secret=密钥)。

3、通过手机端的谷歌身份验证器软件扫描这个二维码，使密钥保存在手机客户端

# -*- coding: utf-8 -*-
import base64
import hashlib
import hmac
import time
import datetime
import random as _random


def byte_secret(secret):

    missing_padding = len(secret) % 8
    if missing_padding != 0:
        secret += '=' * (8 - missing_padding)

    return base64.b32decode(secret, casefold=True)


def int_to_bytestring(i, padding=8):

    result = bytearray()
    while i != 0:
        result.append(i & 0xFF)
        i >>= 8

    return bytes(bytearray(reversed(result)).rjust(padding, b'\0'))

#根据约定的密钥计算当前动态密码

def generate_otp(secret):
    for_time = datetime.datetime.now()
    i = time.mktime(for_time.timetuple())

    input = int(i / 30)
    digest = hashlib.sha1
    digits = 6
    if input < 0:
        raise ValueError('input must be positive integer')

    hasher = hmac.new(byte_secret(secret),int_to_bytestring(input),digest)
    hmac_hash = bytearray(hasher.digest())

    offset = hmac_hash[-1] & 0xf
    code = ((hmac_hash[offset] & 0x7f) << 24 |
            (hmac_hash[offset + 1] & 0xff) << 16 |
            (hmac_hash[offset + 2] & 0xff) << 8 |
            (hmac_hash[offset + 3] & 0xff))

    str_code = str(code % 10 ** digits)

    while len(str_code) < digits:
        str_code = '0' + str_code

    return str_code

#随机生成一个base32密钥

def random_base32(length=16, random=_random.SystemRandom(), chars=list('ABCDEFGHIJKLMNOPQRSTUVWXYZ234567')):
    return ''.join(
        random.choice(chars)
        for _ in range(length)
    )

x=random_base32()
print(x)
y=generate_otp(x)
print(y)

如何使用：

【1】服务器端，使用random_base32函数生成一个随机密钥，并且把这个密钥与某个账户关联。

【2】以下A/B方案中选择其中一个：

A、在页面上显示这个密钥，用户复制这个密钥，粘帖到手机端的谷歌身份验证器。

B、在页面显示一个二维码，内容是一个URI地址(otpauth://totp/账号?secret=密钥)。用户通过手机端的谷歌身份验证器软件扫描这个二维码，使密钥保存在手机客户端。

服务端验证：

把上面生成的密钥传入generate_otp函数，可计算出当前动态密码。