使用 Golang 实现基于时间的一次性密码 TOTP

目录

为用户生成 TOTP Key

把密钥和密码生成规则分享给用户

为用户提供“恢复码” Recovery Codes

校验用户输入的 TOTP 密码

模拟生成密钥、校验密码的代码

为什么国内鲜见支持 TOTP 验证的网站？

---

上篇文章详细讲解了一次性密码 OTP 相关的知识，基于时间的一次性密码 TOTP 是 OTP 的一种实现方式。这种方法的优点是不依赖网络，因此即使在没有网络的情况下，用户也可以生成密码。所以这种方式被许多流行的网站使用到双因子或多因子认证中，包括 Google、GitHub、Facebook 和 Salesforce 等等。

因为 TOTP 是标准化的协议并且被广泛采用，所以有很多对应的移动应用或者 web 应用实现，被称为身份验证器应用，例如 Google Authenticator、Microsoft Authenticator 等。Golang 也有很多优秀的三方库可以帮助我们快速实现 TOTP 的服务端实现，其中比较有代表性的是 pquerna/otp 库，接下来就使用这个库来演示一下 TOTP 的服务端实现流程。

为用户生成 TOTP Key

用户开启双因子认证时，为用户生成 TOTP Key，用于生成 TOTP 密码。将这个密码保存在数据库或者秘钥管理系统中，生成 key 的关键代码如下：

key, err := totp.Generate(totp.GenerateOpts{
		Issuer:      "Github",
		AccountName: "user@example.com",
		Period:      30,
		Digits:      otp.DigitsSix,
    Algorithm: otp.AlgorithmSHA1,
	})

这几个参数的意思如下：

• Issuer 意思是应用名称，例如 Github。
• AccountName 意思要给哪个用户生成 key。
• Period 意思是 TOTP 密码的有效时间，也是不同 TOTP 密码的生成时间间隔，一般为 30 秒。
• Digits 意思是生成的密码长度，一般为 6 位。
• Algorithm，用于 HMAC 签名的算法，默认是 SHA1。

把密钥和密码生成规则分享给用户

通常是将秘钥和密码规则信息以二维码的形式展示给用户，用户使用身份验证器应用扫描二维码保存相关信息并且生成密码。二维码中的内容格式一般如下：

otpauth://totp/Github:user@example.com?algorithm=SHA1&digits=6&issuer=Github&period=30&secret=5RLOAFJOB6LRV7WOKFIMDZ5IESZ7L3JM

为用户提供“恢复码” Recovery Codes

生成“恢复码” Recovery Codes （使用随机生成的字符串即可）存储到数据库或者秘钥管理系统中。当用户不能访问自己的 TOTP 设备（例如将 TOTP 应用中的 TOTP 秘钥删除了、将 TOTP 应用卸载了、手机丢失了等）时，就无法登录自己的帐户了。因为这种情况比较常见，所以很多网站都会给用户提供“备份代码”或“恢复代码”，并且每个只能使用一次，可以临时用来代替 TOTP 密码。

校验用户输入的 TOTP 密码

用户再次登录后，触发双因子认证，要求用户输入 TOTP 密码，服务端检验这个密码。校验的关键代码如下：

// 验证一次性密码
isValid := totp.Validate(passcode, key.Secret())

模拟生成密钥、校验密码的代码

package main

import (
	"fmt"
	"time"

	"github.com/pquerna/otp"
	"github.com/pquerna/otp/totp"
)

func main() {
	// 生成密钥
	key, err := totp.Generate(totp.GenerateOpts{
		Issuer:      "Github",
		AccountName: "user@example.com",
		Period:      30,
		Digits:      otp.DigitsSix,
		Algorithm:   otp.AlgorithmSHA1,
	})
	if err != nil {
		panic(err)
	}

	fmt.Println("Secret URL: ", key.URL())

	// 模拟生成一个一次性密码
	now := time.Now()
	passcode, err := totp.GenerateCode(key.Secret(), now)
	if err != nil {
		panic(err)
	}

	// 验证一次性密码
	valid := totp.Validate(passcode, key.Secret())
	if valid {
		fmt.Println("Valid passcode!")
	} else {
		fmt.Println("Invalid passcode!")
	}
}

为什么国内鲜见支持 TOTP 验证的网站？

TOTP 实现起来是非常简单的，但是国内主流网站几乎没哟支持的。首要的原因就是用户的使用成本高，体现在以下几个方面：

1. 理解成本高：一般用户理解 TOTP 真的很困难。
2. 使用成本高：生成 TOTP 的载体一般是 APP、网页或者小程序，总之需要借助一个额外的工具才能完成，太麻烦。
3. 如果信息丢失，找回难度高：如果用户用于生成 TOTP 的 APP 卸载了，就只能通过恢复码登录了，需要恢复码的时候用户可能根本就没有记录自己的恢复码。

其次是国内用户长期以来习惯了短信验证码这种两步验证方式，对于大多数用户来说，接收短信验证码是一种最简单直观的方法，几乎无理解成本。