Добавьте многофакторную аутентификацию в свое приложение iOS.

Если вы перешли на Firebase Authentication with Identity Platform, вы можете добавить многофакторную аутентификацию по SMS в свое приложение для iOS.

Многофакторная аутентификация повышает безопасность вашего приложения. В то время как злоумышленники часто компрометируют пароли и учетные записи социальных сетей, перехватить текстовое сообщение сложнее.

Прежде чем вы начнете

  1. Включите хотя бы одного провайдера, поддерживающего многофакторную аутентификацию. Все провайдеры поддерживают MFA, кроме аутентификации по телефону, анонимной аутентификации и Apple Game Center.

  2. Убедитесь, что ваше приложение проверяет электронную почту пользователей. MFA требует подтверждения электронной почты. Это не позволяет злоумышленникам зарегистрироваться в службе с адресом электронной почты, которым они не владеют, а затем заблокировать реального владельца, добавив второй фактор.

Включение многофакторной аутентификации

  1. Откройте страницу Аутентификация > Способ входа в консоль Firebase.

  2. В разделе « Дополнительно » включите Многофакторную аутентификацию по SMS .

    Вам также следует ввести номера телефонов, с которыми вы будете тестировать свое приложение. Хотя это и необязательно, регистрация тестовых номеров телефонов настоятельно рекомендуется, чтобы избежать ограничений во время разработки.

  3. Если вы еще не авторизовали домен своего приложения, добавьте его в список разрешенных на странице Аутентификация > Настройки консоли Firebase.

Проверка вашего приложения

Firebase необходимо убедиться, что SMS-запросы поступают из вашего приложения. Вы можете сделать это двумя способами:

  • Тихие уведомления APN : когда вы входите в систему в первый раз, Firebase может отправлять автоматические push-уведомления на устройство пользователя. Аутентификация может быть продолжена, если приложение получит уведомление. Обратите внимание, что начиная с iOS 8.0 вам не нужно просить пользователя разрешить push-уведомления для использования этого метода.

  • Проверка reCAPTCHA : если вы не можете отправить уведомление без вывода сообщений (например, потому что пользователь отключил фоновое обновление или вы тестируете свое приложение в симуляторе iOS), вы можете использовать reCAPTCHA. Во многих случаях reCAPTCHA решается автоматически, без участия пользователя.

Использование тихих уведомлений

Чтобы включить уведомления APN для использования с Firebase:

  1. В Xcode включите push-уведомления для вашего проекта.

  2. Загрузите свой ключ аутентификации APN с помощью консоли Firebase (ваши изменения будут автоматически перенесены в Google Cloud Firebase). Если у вас еще нет ключа аутентификации APN, см. раздел Настройка APN с помощью FCM , чтобы узнать, как его получить.

    1. Откройте консоль Firebase .

    2. Перейдите к настройкам проекта .

    3. Выберите вкладку Облачные сообщения .

    4. В разделе « Ключ аутентификации APNs » в разделе « Конфигурация приложения iOS » нажмите « Загрузить ».

    5. Выберите свой ключ.

    6. Добавьте идентификатор ключа для ключа. Идентификатор ключа можно найти в разделе « Сертификаты, идентификаторы и профили » в Apple Developer Member Center .

    7. Щелкните Загрузить .

Если у вас уже есть сертификат APNs, вы можете вместо этого загрузить сертификат.

Использование проверки reCAPTCHA

Чтобы клиентский SDK мог использовать reCAPTCHA:

  1. Откройте конфигурацию вашего проекта в Xcode.

  2. Дважды щелкните имя проекта в левом древовидном представлении.

  3. Выберите свое приложение в разделе « Цели ».

  4. Выберите вкладку Информация .

  5. Разверните раздел Типы URL .

  6. Нажмите кнопку + .

  7. Введите обратный идентификатор клиента в поле « Схемы URL» . Это значение можно найти в файле конфигурации GoogleService-Info.plist как REVERSED_CLIENT_ID .

По завершении ваша конфигурация должна выглядеть примерно так:

Пользовательские схемы

При желании вы можете настроить способ, которым ваше приложение представляет SFSafariViewController или UIWebView при отображении reCAPTCHA. Для этого создайте собственный класс, соответствующий протоколу FIRAuthUIDelegate , и передайте его в verifyPhoneNumber:UIDelegate:completion: .

Выбор схемы регистрации

Вы можете выбрать, требует ли ваше приложение многофакторную аутентификацию, а также как и когда регистрировать пользователей. Некоторые распространенные шаблоны включают в себя:

  • Зарегистрируйте второй фактор пользователя как часть регистрации. Используйте этот метод, если вашему приложению требуется многофакторная проверка подлинности для всех пользователей. Обратите внимание, что учетная запись должна иметь подтвержденный адрес электронной почты для регистрации второго фактора, поэтому процесс регистрации должен учитывать это.

  • Предложите вариант с возможностью пропуска для регистрации второго фактора во время регистрации. Приложения, которые хотят поощрять, но не требуют многофакторную аутентификацию, могут предпочесть этот подход.

  • Предоставьте возможность добавить второй фактор со страницы управления учетной записью или профилем пользователя, а не с экрана регистрации. Это сводит к минимуму трения в процессе регистрации, в то же время делая многофакторную аутентификацию доступной для чувствительных к безопасности пользователей.

  • Требовать постепенного добавления второго фактора, когда пользователь хочет получить доступ к функциям с повышенными требованиями к безопасности.

Регистрация второго фактора

Чтобы зарегистрировать новый вторичный фактор для пользователя:

  1. Повторно аутентифицируйте пользователя.

  2. Попросите пользователя ввести свой номер телефона.

  3. Получите многофакторную сессию для пользователя:

    Быстрый

    authResult.user.multiFactor.getSessionWithCompletion() { (session, error) in
  // ...
}

    Цель-C

    [authResult.user.multiFactor
  getSessionWithCompletion:^(FIRMultiFactorSession * _Nullable session,
                            NSError * _Nullable error) {
    // ...
}];

  4. Отправьте проверочное сообщение на телефон пользователя. Убедитесь, что номер телефона отформатирован с начальным + и без других знаков препинания или пробелов (например: +15105551234 ).

    Быстрый

    // Send SMS verification code.
PhoneAuthProvider.provider().verifyPhoneNumber(
  phoneNumber,
  uiDelegate: nil,
  multiFactorSession: session) { (verificationId, error) in
    // verificationId will be needed for enrollment completion.
}

    Цель-C

    // Send SMS verification code.
[FIRPhoneAuthProvider.provider verifyPhoneNumber:phoneNumber
                                      UIDelegate:nil
                              multiFactorSession:session
                                      completion:^(NSString * _Nullable verificationID,
                                                    NSError * _Nullable error) {
    // verificationId will be needed for enrollment completion.
}];

    Хотя это и не требуется, рекомендуется заранее информировать пользователей о том, что они получат SMS-сообщение и что применяются стандартные тарифы.

    Метод verifyPhoneNumber() запускает процесс проверки приложения в фоновом режиме с помощью тихого push-уведомления. Если тихое push-уведомление недоступно, вместо этого выдается вызов reCAPTCHA.

  5. После отправки SMS-кода попросите пользователя подтвердить код. Затем используйте их ответ для создания PhoneAuthCredential :

    Быстрый

    // Ask user for the verification code. Then:
let credential = PhoneAuthProvider.provider().credential(
  withVerificationID: verificationId,
  verificationCode: verificationCode)

    Цель-C

    // Ask user for the SMS verification code. Then:
FIRPhoneAuthCredential *credential = [FIRPhoneAuthProvider.provider
                                       credentialWithVerificationID:verificationID
                                       verificationCode:kPhoneSecondFactorVerificationCode];

  6. Инициализируйте объект утверждения:

    Быстрый

    let assertion = PhoneMultiFactorGenerator.assertion(with: credential)

    Цель-C

    FIRMultiFactorAssertion *assertion = [FIRPhoneMultiFactorGenerator assertionWithCredential:credential];

  7. Завершите регистрацию. При желании вы можете указать отображаемое имя для второго фактора. Это полезно для пользователей с несколькими секундными факторами, поскольку номер телефона маскируется во время процесса аутентификации (например, +1******1234).

    Быстрый

    // Complete enrollment. This will update the underlying tokens
// and trigger ID token change listener.
user.multiFactor.enroll(with: assertion, displayName: displayName) { (error) in
  // ...
}

    Цель-C

    // Complete enrollment. This will update the underlying tokens
// and trigger ID token change listener.
[authResult.user.multiFactor enrollWithAssertion:assertion
                                     displayName:nil
                                      completion:^(NSError * _Nullable error) {
    // ...
}];

Код ниже показывает полный пример регистрации второго фактора:

Быстрый

let user = Auth.auth().currentUser
user?.multiFactor.getSessionWithCompletion({ (session, error) in
  // Send SMS verification code.
  PhoneAuthProvider.provider().verifyPhoneNumber(
    phoneNumber,
    uiDelegate: nil,
    multiFactorSession: session
  ) { (verificationId, error) in
    // verificationId will be needed for enrollment completion.
    // Ask user for the verification code.
    let credential = PhoneAuthProvider.provider().credential(
      withVerificationID: verificationId!,
      verificationCode: phoneSecondFactorVerificationCode)
    let assertion = PhoneMultiFactorGenerator.assertion(with: credential)
    // Complete enrollment. This will update the underlying tokens
    // and trigger ID token change listener.
    user?.multiFactor.enroll(with: assertion, displayName: displayName) { (error) in
      // ...
    }
  }
})

Цель-C

FIRUser *user = FIRAuth.auth.currentUser;
[user.multiFactor getSessionWithCompletion:^(FIRMultiFactorSession * _Nullable session,
                                              NSError * _Nullable error) {
    // Send SMS verification code.
    [FIRPhoneAuthProvider.provider
      verifyPhoneNumber:phoneNumber
      UIDelegate:nil
      multiFactorSession:session
      completion:^(NSString * _Nullable verificationID, NSError * _Nullable error) {
        // verificationId will be needed for enrollment completion.

        // Ask user for the verification code.
        // ...

        // Then:
        FIRPhoneAuthCredential *credential =
            [FIRPhoneAuthProvider.provider credentialWithVerificationID:verificationID
                                                        verificationCode:kPhoneSecondFactorVerificationCode];
        FIRMultiFactorAssertion *assertion =
            [FIRPhoneMultiFactorGenerator assertionWithCredential:credential];

        // Complete enrollment. This will update the underlying tokens
        // and trigger ID token change listener.
        [user.multiFactor enrollWithAssertion:assertion
                                  displayName:displayName
                                    completion:^(NSError * _Nullable error) {
            // ...
        }];
    }];
}];

Поздравляем! Вы успешно зарегистрировали второй фактор аутентификации для пользователя.

Вход пользователей с помощью второго фактора

Чтобы войти в систему с двухфакторной SMS-верификацией:

  1. Войдите в систему с помощью первого фактора, а затем поймайте ошибку, указывающую на необходимость многофакторной аутентификации. Эта ошибка содержит преобразователь, подсказки о зарегистрированных вторых факторах и базовый сеанс, подтверждающий, что пользователь успешно прошел проверку подлинности с помощью первого фактора.

    Например, если первым фактором пользователя был адрес электронной почты и пароль:

    Быстрый

    Auth.auth().signIn(
  withEmail: email,
  password: password
) { (result, error) in
  let authError = error as NSError
  if authError?.code == AuthErrorCode.secondFactorRequired.rawValue {
    // The user is a multi-factor user. Second factor challenge is required.
    let resolver =
      authError!.userInfo[AuthErrorUserInfoMultiFactorResolverKey] as! MultiFactorResolver
    // ...
  } else {
    // Handle other errors such as wrong password.
  }
}

    Цель-C

    [FIRAuth.auth signInWithEmail:email
                     password:password
                   completion:^(FIRAuthDataResult * _Nullable authResult,
                                NSError * _Nullable error) {
    if (error == nil || error.code != FIRAuthErrorCodeSecondFactorRequired) {
        // User is not enrolled with a second factor and is successfully signed in.
        // ...
    } else {
        // The user is a multi-factor user. Second factor challenge is required.
    }
}];

    Если первым фактором пользователя является федеративный поставщик, такой как OAuth, перехватите ошибку после вызова getCredentialWith() .

  2. Если у пользователя есть несколько зарегистрированных вторичных факторов, спросите их, какой из них использовать. Вы можете получить замаскированный номер телефона с помощью resolver.hints[selectedIndex].phoneNumber и отображаемое имя с помощью resolver.hints[selectedIndex].displayName .

    Быстрый

    // Ask user which second factor to use. Then:
if resolver.hints[selectedIndex].factorID == PhoneMultiFactorID {
  // User selected a phone second factor.
  // ...
} else if resolver.hints[selectedIndex].factorID == TotpMultiFactorID {
  // User selected a TOTP second factor.
  // ...
} else {
  // Unsupported second factor.
}

    Цель-C

    FIRMultiFactorResolver *resolver =
    (FIRMultiFactorResolver *) error.userInfo[FIRAuthErrorUserInfoMultiFactorResolverKey];

// Ask user which second factor to use. Then:
FIRPhoneMultiFactorInfo *hint = (FIRPhoneMultiFactorInfo *) resolver.hints[selectedIndex];
if (hint.factorID == FIRPhoneMultiFactorID) {
  // User selected a phone second factor.
  // ...
} else if (hint.factorID == FIRTOTPMultiFactorID) {
  // User selected a TOTP second factor.
  // ...
} else {
  // Unsupported second factor.
}

  3. Отправьте проверочное сообщение на телефон пользователя:

    Быстрый

    // Send SMS verification code.
let hint = resolver.hints[selectedIndex] as! PhoneMultiFactorInfo
PhoneAuthProvider.provider().verifyPhoneNumber(
  with: hint,
  uiDelegate: nil,
  multiFactorSession: resolver.session
) { (verificationId, error) in
  // verificationId will be needed for sign-in completion.
}

    Цель-C

    // Send SMS verification code
[FIRPhoneAuthProvider.provider
  verifyPhoneNumberWithMultiFactorInfo:hint
  UIDelegate:nil
  multiFactorSession:resolver.session
  completion:^(NSString * _Nullable verificationID, NSError * _Nullable error) {
    if (error != nil) {
        // Failed to verify phone number.
    }
}];

  4. После отправки SMS-кода попросите пользователя подтвердить код и использовать его для создания PhoneAuthCredential :

    Быстрый

    // Ask user for the verification code. Then:
let credential = PhoneAuthProvider.provider().credential(
  withVerificationID: verificationId!,
  verificationCode: verificationCodeFromUser)

    Цель-C

    // Ask user for the SMS verification code. Then:
FIRPhoneAuthCredential *credential =
    [FIRPhoneAuthProvider.provider
      credentialWithVerificationID:verificationID
                  verificationCode:verificationCodeFromUser];

  5. Инициализируйте объект утверждения с помощью учетных данных:

    Быстрый

    let assertion = PhoneMultiFactorGenerator.assertion(with: credential)

    Цель-C

    FIRMultiFactorAssertion *assertion =
    [FIRPhoneMultiFactorGenerator assertionWithCredential:credential];

  6. Разрешите вход. Затем вы можете получить доступ к исходному результату входа, который включает стандартные данные для конкретного поставщика и учетные данные для аутентификации:

    Быстрый

    // Complete sign-in. This will also trigger the Auth state listeners.
resolver.resolveSignIn(with: assertion) { (authResult, error) in
  // authResult will also contain the user, additionalUserInfo, optional
  // credential (null for email/password) associated with the first factor sign-in.

  // For example, if the user signed in with Google as a first factor,
  // authResult.additionalUserInfo will contain data related to Google provider that
  // the user signed in with.

  // user.credential contains the Google OAuth credential.
  // user.credential.accessToken contains the Google OAuth access token.
  // user.credential.idToken contains the Google OAuth ID token.
}

    Цель-C

    // Complete sign-in.
[resolver resolveSignInWithAssertion:assertion
                          completion:^(FIRAuthDataResult * _Nullable authResult,
                                        NSError * _Nullable error) {
    if (error != nil) {
        // User successfully signed in with the second factor phone number.
    }
}];

В приведенном ниже коде показан полный пример входа многофакторного пользователя:

Быстрый

Auth.auth().signIn(
  withEmail: email,
  password: password
) { (result, error) in
  let authError = error as NSError?
  if authError?.code == AuthErrorCode.secondFactorRequired.rawValue {
    let resolver =
      authError!.userInfo[AuthErrorUserInfoMultiFactorResolverKey] as! MultiFactorResolver

    // Ask user which second factor to use.
    // ...

    // Then:
    let hint = resolver.hints[selectedIndex] as! PhoneMultiFactorInfo

    // Send SMS verification code
    PhoneAuthProvider.provider().verifyPhoneNumber(
      with: hint,
      uiDelegate: nil,
      multiFactorSession: resolver.session
    ) { (verificationId, error) in
      if error != nil {
        // Failed to verify phone number.
      }
      // Ask user for the SMS verification code.
      // ...

      // Then:
      let credential = PhoneAuthProvider.provider().credential(
        withVerificationID: verificationId!,
        verificationCode: verificationCodeFromUser)
      let assertion = PhoneMultiFactorGenerator.assertion(with: credential)

      // Complete sign-in.
      resolver.resolveSignIn(with: assertion) { (authResult, error) in
        if error != nil {
          // User successfully signed in with the second factor phone number.
        }
      }
    }
  }
}

Цель-C

[FIRAuth.auth signInWithEmail:email
                     password:password
                   completion:^(FIRAuthDataResult * _Nullable authResult,
                               NSError * _Nullable error) {
    if (error == nil || error.code != FIRAuthErrorCodeSecondFactorRequired) {
        // User is not enrolled with a second factor and is successfully signed in.
        // ...
    } else {
        FIRMultiFactorResolver *resolver =
            (FIRMultiFactorResolver *) error.userInfo[FIRAuthErrorUserInfoMultiFactorResolverKey];

        // Ask user which second factor to use.
        // ...

        // Then:
        FIRPhoneMultiFactorInfo *hint = (FIRPhoneMultiFactorInfo *) resolver.hints[selectedIndex];

        // Send SMS verification code
        [FIRPhoneAuthProvider.provider
          verifyPhoneNumberWithMultiFactorInfo:hint
                                    UIDelegate:nil
                            multiFactorSession:resolver.session
                                    completion:^(NSString * _Nullable verificationID,
                                                NSError * _Nullable error) {
            if (error != nil) {
                // Failed to verify phone number.
            }

            // Ask user for the SMS verification code.
            // ...

            // Then:
            FIRPhoneAuthCredential *credential =
                [FIRPhoneAuthProvider.provider
                  credentialWithVerificationID:verificationID
                              verificationCode:kPhoneSecondFactorVerificationCode];
            FIRMultiFactorAssertion *assertion =
                [FIRPhoneMultiFactorGenerator assertionWithCredential:credential];

            // Complete sign-in.
            [resolver resolveSignInWithAssertion:assertion
                                      completion:^(FIRAuthDataResult * _Nullable authResult,
                                                    NSError * _Nullable error) {
                if (error != nil) {
                    // User successfully signed in with the second factor phone number.
                }
            }];
        }];
    }
}];

Поздравляем! Вы успешно вошли в систему с помощью многофакторной аутентификации.

Что дальше