Блог

Я пытаюсь добавить 2-факторную аутентификацию, используя pin-коды, отправленные по электронной почте. Шаг 2FA требуется пользователям только через 30 дней после того, как они в последний раз выполнили шаг 2FA.

Технология проекта — это ASP.NET MVC 5 с использованием EntityFramework 6 с пакетом NuGet версии 2.2.2 от Microsoft.AspNet.Пакеты идентификации (.Core, .EntityFramework, .Owin).

Я следовал советам из этого руководства, но интегрировал его в уже существующее решение моей компании: https://learn.microsoft.com/en-us/aspnet/identity/overview/features-api/two-factor-authentication-using-sms-and-email-with-aspnet-identity

Мои проблемы

SignInManager никогда не возвращает Requireesverification при использовании PasswordSignIn Я предположил, что я должен ожидать этот статус входа, когда флаг «TwoFactorEnabled» установлен в true в базе данных для каждого пользователя. Я не уверен, стоит ли мне использовать это, если я только хочу, чтобы пользователи проходили проверку 2FA каждые 2 недели, поскольку у меня сложилось впечатление, что это потребует от пользователей проходить это каждый раз. Либо это, либо я должен использовать временную метку, установленную для пользователя, чтобы определить, пришло ли время повторно включить флаг «TwoFactorEnabled»?

Я не могу получить идентификатор проверенного пользователя, при проверке кода я думал, что после выполнения обычного PasswordSignIn сервер сможет получить идентификатор пользователя, например, при проверке правильности введенного pin-кода:

 [HttpPost]
    [AllowAnonymous]
    public async Task<ActionResult> VerifyCode(string pin)
    {
        string userId = await SignInManager.GetVerifiedUserIdAsync().WithCurrentCulture();

        if (userId == null || String.IsNullOrEmpty(pin))
        {
            return View("Error");
        }

        var user = await UserManager.FindByIdAsync(userId);

        if (await UserManager.VerifyTwoFactorTokenAsync(user.Id, "EmailCode", pin))
        {
            await SignInManager.SignInAsync(user, false, false);
            return RedirectToAction("Index", "Dashboards");
        }
        else
        {
            ModelState.AddModelError("", "Invalid code");
        }

        return View();
    }
  

Это немного сбивает с толку, поскольку большинство руководств очень старые и используют AuthenticationManager, которого я никогда раньше не видел.

Как мне запретить пользователям просто переходить на другие страницы с экрана проверки, если они уже «успешно вошли в систему с именем пользователя и паролем», смогут ли они обойти атрибут авторизации на этом этапе?

Что уже работает Я могу заставить UserManager отправить электронное письмо с токеном (pin-кодом), и оно будет успешно проверено, если я введу правильный идентификатор пользователя

Что я сделал У меня установлена стандартная настройка идентификации по умолчанию, поэтому мы в значительной степени используем стандартную конфигурацию, которая поставляется с новыми проектами MVC 5.

Запуск.Аутентификация:

 // Enables the application to temporarily store user information when they are verifying the second factor in the two-factor authentication process.
        app.UseTwoFactorSignInCookie(DefaultAuthenticationTypes.TwoFactorCookie, TimeSpan.FromMinutes(10));

        // Enables the application to remember the second login verification factor such as phone or email.
        // Once you check this option, your second step of verification during the login process will be remembered on the device where you logged in from.
        // This is similar to the RememberMe option when you log in.
        app.UseTwoFactorRememberBrowserCookie(DefaultAuthenticationTypes.TwoFactorRememberBrowserCookie);
  

Настройка поставщика 2FA в ApplicationUserManager:

         manager.RegisterTwoFactorProvider("EmailCode", new EmailTokenProvider<ApplicationUser>
        {
            Subject = "Security Code",
            BodyFormat = "Your security code is {0}"
        });

        manager.EmailService = new EmailService();
        //manager.SmsService = new SmsService();
        var dataProtectionProvider = options.DataProtectionProvider;
        if (dataProtectionProvider != null)
        {
            manager.UserTokenProvider =
                new DataProtectorTokenProvider<ApplicationUser>(dataProtectionProvider.Create("ASP.NET Identity"));
        }

        return manager;
  

Заранее большое вам спасибо за любую помощь.

Я думаю, что, возможно, я понял, в чем проблема. UserManager вернул 0 для GetValidTwoFactorProvidersAsync. Похоже, что это происходит, когда электронное письмо не подтверждено для пользователя. Я попробовал настройки электронной почты как подтвержденные для пользователя, и теперь возвращается requireresverification.

Когда возвращается Requireresverification, кажется, что пользователь не полностью вошел в систему, но я все еще могу получить идентификатор пользователя в последующих вызовах проверки кода, используя метод GetVerifiedUserId от SignInManager.

Итак, теперь, когда пользователь входит в систему, перед выполнением входа по паролю я просто выполняю проверку, чтобы узнать, когда пользователь в последний раз выполнял аутентификацию 2FA. Если прошло более 30 дней, я повторно включаю флаг 2FA в базе данных. Затем, когда будет выполнен ввод пароля, я получу requireesverification, как и ожидалось, и я могу продолжить остальную часть потока, поскольку в противном случае потребовалась бы любая стандартная проверка 2FA.