Wenn Sie ein Upgrade auf Firebase Authentication with Identity Platform ausgeführt haben, können Sie Ihrer Anwendung die Multi-Faktor-Authentifizierung (MFA) mit zeitbasierter Einmalpasswort (Time-based One-Time Password, TOTP) hinzufügen.
Mit Firebase Authentication with Identity Platform können Sie ein TOTP als zusätzlichen Faktor für die MFA verwenden. Wenn Sie diese Funktion aktivieren, sehen Nutzer, die sich bei Ihrer Anwendung anmelden möchten, eine Anfrage für ein TOTP. Dazu muss er eine Authentifizierungs-App verwenden, die gültige TOTP-Codes generieren kann, z. B. Google Authenticator.
Hinweis
Aktivieren Sie mindestens einen Anbieter, der die Multi-Faktor-Authentifizierung unterstützt. Alle Anbieter außer den folgenden unterstützen MFA:
- Telefonauthentifizierung
- Anonyme Authentifizierung
- Benutzerdefinierte Auth-Tokens
- Apple Game Center
Achten Sie darauf, dass die Anwendung die E-Mail-Adressen der Nutzer überprüft. Die Multi-Faktor-Authentifizierung erfordert eine E-Mail-Bestätigung. So wird verhindert, dass sich böswillige Nutzer bei einem Dienst mit einer E-Mail-Adresse registrieren, die ihnen nicht gehört, und dann den echten Inhaber sperren, indem sie einen zweiten Faktor hinzufügen.
Installieren Sie das Firebase Android SDK, falls noch nicht geschehen.
TOTP-MFA wird nur ab Android SDK-Version 22.1.0 unterstützt.
TOTP-MFA aktivieren
Wenn Sie TOTP als zweiten Faktor aktivieren möchten, verwenden Sie Admin SDK oder rufen Sie den REST-Endpunkt der Projektkonfiguration auf.
So verwenden Sie das Admin SDK:
Installieren Sie das Firebase Admin Node.js SDK, falls noch nicht geschehen.
TOTP MFA wird nur ab der Firebase Admin Node.js SDK-Version 11.6.0 unterstützt.
Führen Sie den folgenden Befehl aus:
import { getAuth } from 'firebase-admin/auth'; getAuth().projectConfigManager().updateProjectConfig( { multiFactorConfig: { providerConfigs: [{ state: "ENABLED", totpProviderConfig: { adjacentIntervals: NUM_ADJ_INTERVALS } }] } })Ersetzen Sie Folgendes:
NUM_ADJ_INTERVALS: Die Anzahl der benachbarten Zeitfensterintervalle, in denen TOTPs akzeptiert werden sollen, von null bis zehn. Der Standardwert ist 5.TOTPs sorgen dafür, dass zwei Parteien (der Prüfer und der Validator) innerhalb desselben Zeitfensters (in der Regel 30 Sekunden lang) dasselbe Passwort generieren. Um jedoch Abweichungen zwischen den Uhren der Parteien und der Reaktionszeit von Menschen zu berücksichtigen, können Sie den TOTP-Dienst so konfigurieren, dass auch TOTPs aus benachbarten Zeitfenstern akzeptiert werden.
So aktivieren Sie die TOTP-Mehrfachauthentifizierung mit der REST API:
curl -X PATCH "https://identitytoolkit.googleapis.com/admin/v2/projects/PROJECT_ID/config?updateMask=mfa" \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: PROJECT_ID" \
-d \
'{
"mfa": {
"providerConfigs": [{
"state": "ENABLED",
"totpProviderConfig": {
"adjacentIntervals": NUM_ADJ_INTERVALS
}
}]
}
}'
Ersetzen Sie Folgendes:
PROJECT_ID: die Projekt-IDNUM_ADJ_INTERVALS: Die Anzahl der Zeitfensterintervalle, von null bis zehn. Der Standardwert ist fünf.TOTPs sorgen dafür, dass zwei Parteien (der Prüfer und der Validator) innerhalb desselben Zeitfensters (in der Regel 30 Sekunden lang) dasselbe Passwort generieren. Um den Zeitunterschied zwischen Parteien und die menschliche Antwortzeit zu berücksichtigen, können Sie den TOTP-Dienst jedoch auch so konfigurieren, dass er auch TOTPs von benachbarten Fenstern akzeptiert.
Registrierungsmuster auswählen
Sie können auswählen, ob Ihre Anwendung eine Multi-Faktor-Authentifizierung erfordert, und wie und wann Ihre Nutzer registriert werden sollen. Zu den gängigen Mustern gehören:
Bieten Sie den zweiten Faktor des Nutzers als Teil der Registrierung an. Verwenden Sie diese Methode, wenn Ihre Anwendung eine Multi-Faktor-Authentifizierung für alle Nutzer erfordert.
Bieten Sie bei der Registrierung eine überspringbare Option an, mit der ein zweiter Faktor registriert werden kann. Wenn Sie die Multi-Faktor-Authentifizierung in Ihrer Anwendung zwar fördern, aber nicht verlangen möchten, können Sie diesen Ansatz verwenden.
Ermöglichen Sie, dass ein zweiter Faktor über die Konto- oder Profilverwaltungsseite des Nutzers hinzufügbar ist anstelle über den Anmeldebildschirm. Dadurch wird der Registrierungsprozess vereinfacht und gleichzeitig die Multi-Faktor-Authentifizierung für sicherheitsorientierte Nutzer verfügbar gemacht.
Das Hinzufügen eines zweiten Faktors ist erforderlich, wenn der Nutzer auf Features mit höheren Sicherheitsanforderungen zugreifen möchte.
Nutzer für die TOTP-MFA registrieren
Nachdem Sie die TOTP-MFA als zweiten Faktor für Ihre App aktiviert haben, implementieren Sie clientseitige Logik, um Nutzer für die TOTP-MFA zu registrieren:
Authentifizieren Sie den Nutzer noch einmal.
Generieren Sie ein TOTP-Secret für den authentifizierten Nutzer:
// Generate a TOTP secret. Firebase.auth.currentUser.multiFactor.session .addOnSuccessListener { multiFactorSession -> TotpMultiFactorGenerator.generateSecret(multiFactorSession) .addOnSuccessListener { totpSecret -> // Display the secret to the user and prompt them to // enter it into their authenticator app. (See the next // step.) } }Zeigen Sie dem Nutzer das Geheimnis an und bitten Sie ihn, es in seiner Authenticator-App einzugeben:
// Display this key: val secret = totpSecret.sharedSecretKeySie können den geheimen Schlüssel nicht nur anzeigen, sondern auch versuchen, ihn automatisch der Standard-Authentifizierungs-App des Geräts hinzuzufügen. Generieren Sie dazu einen mit Google Authenticator kompatiblen Schlüssel-URI und übergeben Sie ihn an
openInOtpApp():val qrCodeUri = totpSecret.generateQrCodeUrl( currentUser.email ?: "default account", "Your App Name") totpSecret.openInOtpApp(qrCodeUri)Nachdem der Nutzer sein Secret zur Authentifizierungs-App hinzugefügt hat, werden TOTPs generiert.
Bitten Sie den Nutzer, den von seiner Authenticator App angezeigten TOTP-Code einzugeben und damit die MFA-Registrierung abzuschließen:
// Ask the user for a verification code from the authenticator app. val verificationCode = // Code from user input. // Finalize the enrollment. val multiFactorAssertion = TotpMultiFactorGenerator .getAssertionForEnrollment(totpSecret, verificationCode) Firebase.auth.currentUser.multiFactor.enroll(multiFactorAssertion, "TOTP") .addOnSuccessListener { // Enrollment complete. }
Nutzer mit einem zweiten Faktor anmelden
Verwenden Sie den folgenden Code, um Nutzer mit TOTP-MFA anzumelden:
Rufen Sie eine der
signInWith-Methoden auf, als würden Sie die MFA nicht verwenden. (z. B.signInWithEmailAndPassword()). Wenn die Methode eineFirebaseAuthMultiFactorExceptionauslöst, starten Sie den MFA-Ablauf Ihrer App.Firebase.auth.signInWithEmailAndPassword(email, password) .addOnSuccessListener { result -> // If the user is not enrolled with a second factor and provided valid // credentials, sign-in succeeds. // (If your app requires MFA, this could be considered an error // condition, which you would resolve by forcing the user to enroll a // second factor.) // ... } .addOnFailureListener { exception -> when (exception) { is FirebaseAuthMultiFactorException -> { // Initiate your second factor sign-in flow. (See next step.) // ... } } }Der MFA-Ablauf Ihrer App sollte den Nutzer zuerst auffordern, den gewünschten zweiten Faktor auszuwählen. Eine Liste der unterstützten zweiten Faktoren finden Sie in der
hints-Eigenschaft einerMultiFactorResolver-Instanz:val enrolledFactors = exception.resolver.hints.map { it.displayName }Wenn der Nutzer sich für die Verwendung von TOTP entscheidet, bitte ihn, das in der Authentifizierungs-App angezeigte TOTP einzugeben und sich damit anzumelden:
when (exception.resolver.hints[selectedIndex].factorId) { TotpMultiFactorGenerator.FACTOR_ID -> { val otpFromAuthenticator = // OTP typed by the user. val assertion = TotpMultiFactorGenerator.getAssertionForSignIn( exception.resolver.hints[selectedIndex].uid, otpFromAuthenticator ) exception.resolver.resolveSignIn(assertion) .addOnSuccessListener { result -> // Successfully signed in! } .addOnFailureListener { resolveError -> // Invalid or expired OTP. } } PhoneMultiFactorGenerator.FACTOR_ID -> { // Handle SMS second factor. } }
Von der TOTP-Mehrfachauthentifizierung abmelden
In diesem Abschnitt wird beschrieben, wie Sie vorgehen, wenn ein Nutzer die Anmeldung für die TOTP-Mehrfachauthentifizierung aufhebt.
Wenn sich ein Nutzer für mehrere MFA-Optionen registriert hat und die Registrierung für die zuletzt aktivierte Option aufhebt, erhält er eine auth/user-token-expired und wird abgemeldet. Der Nutzer muss sich noch einmal anmelden und seine vorhandenen Anmeldedaten bestätigen, z. B. eine E-Mail-Adresse und ein Passwort.
Verwende den folgenden Code, um die Registrierung des Nutzers aufzuheben, den Fehler zu behandeln und die erneute Authentifizierung auszulösen:
Firebase.auth.currentUser.multiFactor.unenroll(mfaEnrollmentId)
.addOnSuccessListener {
// Second factor unenrolled.
}
.addOnFailureListener { exception ->
when (exception) {
is FirebaseAuthInvalidUserException -> {
// Second factor unenrolled. If the user was signed out, re-authenticate
// them.
// For example, if they signed in with a password, prompt them to
// provide it again, then call `reauthenticateWithCredential()` as shown
// below.
val credential = EmailAuthProvider.getCredential(email, password)
currentUser.reauthenticate(credential)
.addOnSuccessListener {
// Success!
}
.addOnFailureListener {
// Bad email address and password combination.
}
}
}
}