php通过谷歌身份验证实现动态口令

Google Authenticator，是谷歌推出的一款动态口令工具，解决大家的google账户遭到恶意攻击的问题；许多安全性比较高的网站都会采用这种工具来验证登录或者交易；这个动态口令就是Google身份验证器每隔30s会动态生成一个6位数的数字。它的作用是：对你的账号进行“二步验证”保护，或者说做一个双重身份验证，来达到提升安全级别的目的。

通过 一致算法保持手机端和服务端相同，并每30秒改变认证码。

一致算法:

totp是基于时间的，htop是基于次数的。

秘钥生成原理（基于时间）

1、时间戳，精确到微秒，除以1000，除以30（动态6位数字每30秒变化一次）

2、对时间戳余数 hmac_sha1 编码

3、然后 base32 encode 标准编码

4、输出大写字符串，即秘钥

动态6位数字验证：

Google Authenticator会基于密钥和时间计算一个HMAC-SHA1的hash值，这个hash是160 bit的，然后将这个hash值随机取连续的4个字节生成32位整数，最后将整数取31位，再取模得到一个的整数。

这个就是Google Authenticator显示的数字。

在服务器端验证的时候，同样的方法来计算出数字，然后比较计算出来的结果和用户输入的是否一致。

Google Authenticator PHP类

https://github.com/PHPGangsta/GoogleAuthenticator

生成安全码并绑定手机

 

<?php

require_once './PHPGangsta/GoogleAuthenticator.php';

$ga = new PHPGangsta_GoogleAuthenticator();

// 创建新的"安全密匙SecretKey"
// 把本次的"安全密匙SecretKey" 入库,和账户关系绑定,客户端也是绑定这同一个"安全密匙SecretKey"
// 安全密匙SecretKey 可以和手机端绑定
$secret = $ga->createSecret();

echo "安全密匙SecretKey: " . $secret . "\n\n";

//第一个参数是"标识",第二个参数为"安全密匙SecretKey" 生成二维码信息
$qrCodeUrl = $ga->getQRCodeGoogleUrl('www.xxx.com', $secret);

//Google Charts接口 生成的二维码图片,方便手机端扫描绑定安全密匙SecretKey
echo "Google Charts URL for the QR-Code: " . $qrCodeUrl . "\n\n";

输出：

 

安全密匙SecretKey: M5X3M4PGBQRFPUTY

Google Charts URL for the QR-Code: https://api.qrserver.com/v1/create-qr-code/?data=otpauth%3A%2F%2Ftotp%2Fwww.xxx.com%3Fsecret%3DM5X3M4PGBQRFPUTY&size=200x200&ecc=M

绑定手机方式

image.png

• 通过安全秘钥

• 通过二维码（图片地址就是Google Charts生成的可以直接打开）

   

  

  image.png

动态口令验证

image.png

 

<?php

require_once './PHPGangsta/GoogleAuthenticator.php';

$ga = new PHPGangsta_GoogleAuthenticator();

// 把提交的验证码和服务端上生成的验证码做对比
// $secret 服务端的 "安全密匙SecretKey"
// $oneCode 手机上看到的 "一次性验证码"
// 最后一个参数 为容差时间,这里是2 那么就是 2* 30 sec 一分钟.
$oneCode = '371922';
$secret = 'M5X3M4PGBQRFPUTY';

$checkResult = $ga->verifyCode($secret, $oneCode, 2);


if ($checkResult) {
    //这里添加自定义逻辑
    echo '匹配! OK';
} else {
    echo '匹配! FAILED';
}

https://github.com/PHPGangsta/GoogleAuthenticator