إذا كنت قد أجريت ترقية إلى الإصدار Firebase Authentication with Identity Platform، يمكنك إضافة المصادقة المتعدّدة العوامل (MFA) المستندة إلى كلمة المرور لمرة واحدة المستندة إلى الوقت (TOTP) إلى تطبيقك.
يتيح لك Firebase Authentication with Identity Platform استخدام مصادقة بروتوكول OTP كعامل إضافي للمصادقة المتعددة العوامل. عند تفعيل هذه الميزة، يظهر للمستخدمين الذين يحاولون تسجيل الدخول إلى تطبيقك طلب للحصول على رمز مرور متغيّر. لإنشاء الرمز، يجب استخدام تطبيق مصادقة قادر على إنشاء رموز TOTP صالحة، مثل Google Authenticator.
قبل البدء
فعِّل موفِّرًا واحدًا على الأقل يتيح ميزة "التحقّق من الهوية بعدة طرق". يُرجى العلم أنّ جميع مقدّمي الخدمة سوى مقدّمي الخدمة التاليين يتيحون ميزة "التحقّق من الهوية الإضافي":
- المصادقة عبر الهاتف
- المصادقة المجهولة
- رموز المصادقة المخصّصة
- Apple Game Center
تأكَّد من أنّ تطبيقك يتحقق من عناوين البريد الإلكتروني للمستخدمين. تتطلّب ميزة "التحقّق من الهوية في خطوتَين" إثبات ملكية عنوان البريد الإلكتروني. ويمنع ذلك الجهات الفاعلة الضارّة من التسجيل في خدمة باستخدام عنوان بريد إلكتروني لا يملكه، ثم حظر مالك عنوان البريد الإلكتروني الفعلي من خلال إضافة عامل ثانٍ.
ثبِّت حزمة تطوير البرامج (SDK) لمنصّة Android من Firebase إذا لم يسبق لك إجراء ذلك.
لا تتوفّر ميزة "التوثيق المتعدّد العوامل باستخدام مصادقة كلمة مرور صالحة لمرة واحدة" إلا على الإصدار 22.1.0 من حزمة تطوير البرامج (SDK) لنظام Android والإصدارات الأحدث.
تفعيل المصادقة المتعدّدة العوامل باستخدام رمز مصادقة الوقت المتغيّر (TOTP)
لتفعيل بروتوكول TOTP كعامل ثانٍ، استخدِم Admin SDK أو اتصل بنقطة نهاية REST لإعدادات المشروع.
لاستخدام Admin SDK، اتّبِع الخطوات التالية:
ثبِّت حزمة تطوير البرامج (SDK) لواجهة Firebase Admin Node.js إذا لم يسبق لك إجراء ذلك.
لا تتوفّر ميزة "التأكّد من الهوية باستخدام كلمة مرور صالحة لمرة واحدة" (TOTP) إلا في الإصدار 11.6.0 من حزمة تطوير برامج (SDK) Firebase Admin Node.js والإصدارات الأحدث.
نفِّذ ما يلي:
import { getAuth } from 'firebase-admin/auth'; getAuth().projectConfigManager().updateProjectConfig( { multiFactorConfig: { providerConfigs: [{ state: "ENABLED", totpProviderConfig: { adjacentIntervals:
NUM_ADJ_INTERVALS } }] } })استبدِل ما يلي:
NUM_ADJ_INTERVALS
: عدد فواصل المَعلمة time-window المجاورة التي يتم من خلالها قبول الرموز المميّزة لوقت التشغيل (TOTP)، من صفر إلى عشرة. الإعداد التلقائي هو خمسة.تعمل شهادات TOTP من خلال التأكّد من أنّ الطرفَين (المُثبت والمُدقّق) ينشئان شهادات OTP خلال الفترة الزمنية نفسها (عادةً 30 ثانية)، ما يؤدي إلى إنشاء كلمة المرور نفسها. ومع ذلك، لتلبية اختلاف التوقيت بين الطرفَين ووقت استجابة المستخدم، يمكنك ضبط خدمة TOTP لقبول الرموز من النوافذ المجاورة أيضًا.
لتفعيل المصادقة المتعدّدة العوامل باستخدام TOTP باستخدام واجهة برمجة التطبيقات REST، نفِّذ ما يلي:
curl -X PATCH "https://identitytoolkit.googleapis.com/admin/v2/projects/PROJECT_ID /config?updateMask=mfa" \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: PROJECT_ID " \
-d \
'{
"mfa": {
"providerConfigs": [{
"state": "ENABLED",
"totpProviderConfig": {
"adjacentIntervals": NUM_ADJ_INTERVALS
}
}]
}
}'
استبدِل ما يلي:
-
PROJECT_ID
: رقم تعريف المشروع NUM_ADJ_INTERVALS
: عدد فواصل الإطار الزمني، من صفر إلى عشرة القيمة التلقائية هي خمسة.تعمل شهادات TOTP من خلال التأكّد من أنّ الطرفَين (المُثبت والمُدقّق) ينشئان شهادات OTP خلال الفترة الزمنية نفسها (عادةً 30 ثانية)، ما يؤدي إلى إنشاء كلمة المرور نفسها. ومع ذلك، لتلبية اختلاف التوقيت بين الطرفَين ووقت استجابة المستخدم، يمكنك ضبط خدمة TOTP لقبول الرموز من النوافذ المجاورة أيضًا.
اختيار نمط التسجيل
يمكنك اختيار ما إذا كان تطبيقك يتطلّب المصادقة المتعدّدة العوامل، وكيفية تسجيل المستخدمين ووقت تسجيلهم. تشمل بعض الأنماط الشائعة ما يلي:
سجِّل العامل الثاني للمستخدِم كجزء من عملية التسجيل. استخدِم هذه الطريقة إذا كان تطبيقك يتطلّب مصادقة متعددة العوامل لجميع المستخدمين.
قدِّم خيارًا قابلاً للتخطّي لتسجيل عامل مصادقة ثانٍ أثناء التسجيل. إذا أردت تشجيع استخدام المصادقة المتعدّدة العوامل في تطبيقك بدون فرضها، يمكنك استخدام هذا النهج.
يجب توفير إمكانية إضافة عامل ثانٍ من صفحة إدارة حساب المستخدم أو ملفه الشخصي بدلاً من شاشة الاشتراك. ويؤدي ذلك إلى تقليل الصعوبات أثناء عملية التسجيل، مع إبقاء المصادقة المتعدّدة العوامل متوفرة للمستخدمين الذين يهتمون بالأمان.
اشترِط إضافة عامل ثانٍ بشكل تدريجي عندما يريد المستخدم الوصول إلى الميزات التي تتطلب متطلبات أمان متزايدة.
تسجيل المستخدمين في المصادقة المتعدّدة العوامل باستخدام بروتوكول TOTP
بعد تفعيل مصادقة الهوية متعددة العوامل باستخدام رمز مرور صالح لمرة واحدة (TOTP) كعامل ثانٍ لتطبيقك، نفِّذ برمجيًا منطقًا من جهة العميل لتسجيل المستخدمين في مصادقة الهوية متعددة العوامل باستخدام رمز مرور صالح لمرة واحدة:
أعِد مصادقة المستخدم.
أنشئ سرًا لبروتوكول TOTP للمستخدم الذي تمّت مصادقة هويته:
// Generate a TOTP secret. Firebase.auth.currentUser.multiFactor.session .addOnSuccessListener { multiFactorSession -> TotpMultiFactorGenerator.generateSecret(multiFactorSession) .addOnSuccessListener { totpSecret -> // Display the secret to the user and prompt them to // enter it into their authenticator app. (See the next // step.) } }
اعرض السر على المستخدم واطلب منه إدخاله في تطبيق المصادقة:
// Display this key: val secret = totpSecret.sharedSecretKey
بالإضافة إلى عرض المفتاح السري، يمكنك محاولة إضافته تلقائيًا إلى تطبيق المصادقة التلقائي على الجهاز. لإجراء ذلك، أنشئ عنوان URL للمفتاح متوافقًا مع Google Authenticator، ثم أعِد توجيهه إلى
openInOtpApp()
:val qrCodeUri = totpSecret.generateQrCodeUrl( currentUser.email ?: "default account", "Your App Name") totpSecret.openInOtpApp(qrCodeUri)
بعد أن يضيف المستخدم المفتاح السري إلى تطبيق المصادقة، سيبدأ التطبيق في توليد رموز TOTP.
اطلب من المستخدم كتابة كلمة المرور لمرة واحدة (TOTP) التي يعرضها تطبيق المصادقة و استخدامها لإكمال عملية تسجيل ميزة "التحقّق الإضافي":
// Ask the user for a verification code from the authenticator app. val verificationCode = // Code from user input. // Finalize the enrollment. val multiFactorAssertion = TotpMultiFactorGenerator .getAssertionForEnrollment(totpSecret, verificationCode) Firebase.auth.currentUser.multiFactor.enroll(multiFactorAssertion, "TOTP") .addOnSuccessListener { // Enrollment complete. }
تسجيل دخول المستخدمين باستخدام عامل مصادقة ثانٍ
لتسجيل دخول المستخدمين باستخدام المصادقة المتعدّدة العوامل من خلال رمز مرور متغيّر في الوقت (TOTP)، استخدِم الرمز التالي:
اتصل بإحدى طرق
signInWith
كما لو لم تكن تستخدم ميزة "التحقّق من الهوية الإضافية". (على سبيل المثال،signInWithEmailAndPassword()
.) إذا تسبّبت الطريقة في حدوث خطأFirebaseAuthMultiFactorException
، ابدأ عملية مصادقة متعدّدة العوامل في تطبيقك.Firebase.auth.signInWithEmailAndPassword(email, password) .addOnSuccessListener { result -> // If the user is not enrolled with a second factor and provided valid // credentials, sign-in succeeds. // (If your app requires MFA, this could be considered an error // condition, which you would resolve by forcing the user to enroll a // second factor.) // ... } .addOnFailureListener { exception -> when (exception) { is FirebaseAuthMultiFactorException -> { // Initiate your second factor sign-in flow. (See next step.) // ... } } }
يجب أن يطلب مسار المصادقة المتعددة العوامل في تطبيقك من المستخدم أولاً اختيار العامل الثاني الذي يريد استخدامه. يمكنك الحصول على قائمة بالعوامل الثانية المتوافقة من خلال فحص سمة
hints
مثيلMultiFactorResolver
:val enrolledFactors = exception.resolver.hints.map { it.displayName }
إذا اختار المستخدم استخدام TOTP، اطلب منه كتابة TOTP المعروض على تطبيق المصادقة واستخدامه لتسجيل الدخول:
when (exception.resolver.hints[selectedIndex].factorId) { TotpMultiFactorGenerator.FACTOR_ID -> { val otpFromAuthenticator = // OTP typed by the user. val assertion = TotpMultiFactorGenerator.getAssertionForSignIn( exception.resolver.hints[selectedIndex].uid, otpFromAuthenticator ) exception.resolver.resolveSignIn(assertion) .addOnSuccessListener { result -> // Successfully signed in! } .addOnFailureListener { resolveError -> // Invalid or expired OTP. } } PhoneMultiFactorGenerator.FACTOR_ID -> { // Handle SMS second factor. } }
إلغاء التسجيل في ميزة "التأكّد من الهوية باستخدام كلمة مرور صالحة لمرة واحدة" (TOTP)
يصف هذا القسم كيفية التعامل مع إلغاء تسجيل مستخدم من مصادقة ثنائية العوامل باستخدام رمز متغيّر الوقت (TOTP).
إذا اشترك مستخدم في خيارات متعددة للمصادقة المتعددة العوامل، وفي حال إلغاء تسجيله
من الخيار الذي تم تفعيله مؤخرًا، سيتلقّى إشعارًاauth/user-token-expired
وسيتم تسجيل خروجه. على المستخدم تسجيل الدخول مرة أخرى وإثبات ملكية
بيانات الاعتماد الحالية، مثل عنوان البريد الإلكتروني وكلمة المرور.
لإلغاء تسجيل المستخدم ومعالجة الخطأ وبدء إعادة المصادقة، استخدِم الرمز التالي:
Firebase.auth.currentUser.multiFactor.unenroll(mfaEnrollmentId)
.addOnSuccessListener {
// Second factor unenrolled.
}
.addOnFailureListener { exception ->
when (exception) {
is FirebaseAuthInvalidUserException -> {
// Second factor unenrolled. If the user was signed out, re-authenticate
// them.
// For example, if they signed in with a password, prompt them to
// provide it again, then call `reauthenticateWithCredential()` as shown
// below.
val credential = EmailAuthProvider.getCredential(email, password)
currentUser.reauthenticate(credential)
.addOnSuccessListener {
// Success!
}
.addOnFailureListener {
// Bad email address and password combination.
}
}
}
}
الخطوات التالية
- إدارة مستخدمي المصادقة متعددة العوامل برمجيًا باستخدام Admin SDK