Android中新引進(jìn)的Google Authenticator驗(yàn)證系統(tǒng)工作原理淺析
為了改進(jìn)Android的安全問(wèn)題，Google在Android系統(tǒng)中引入了谷歌驗(yàn)證應(yīng)用（Google Authenticator）來(lái)保證賬號(hào)的安全。谷歌驗(yàn)證應(yīng)用的使用方法是：用戶(hù)安裝手機(jī)客戶(hù)端，生成臨時(shí)身份驗(yàn)證碼，提交到服務(wù)器驗(yàn)證身份，類(lèi)似的驗(yàn)證系統(tǒng)還有Authy。Robbie在其GitHub頁(yè)面發(fā)布了自己用Go語(yǔ)言實(shí)現(xiàn)的版本，并撰寫(xiě)了一篇博文來(lái)解釋其工作原理。
通常來(lái)講，身份驗(yàn)證系統(tǒng)都實(shí)現(xiàn)了基于時(shí)間的一次性密碼算法，即著名的TOTP(Time-Based One-Time Password)。該算法由三部分組成：
1.一個(gè)共享密鑰（一系列二進(jìn)制數(shù)據(jù)）
2.一個(gè)基于當(dāng)前時(shí)間的輸入
3.一個(gè)簽名函數(shù)
1、 共享密鑰
用戶(hù)在創(chuàng)建手機(jī)端身份驗(yàn)證系統(tǒng)時(shí)需要獲取共享密鑰。獲取的方式包括用識(shí)別程序掃描給定二維碼或者直接手動(dòng)輸入。密鑰是三十二位加密，至于為什么不是六十四位，可以參考維基百科給出的解釋。
對(duì)于那些手動(dòng)輸入的用戶(hù)，谷歌身份驗(yàn)證系統(tǒng)給出的共享密鑰有如下的格式：
xxxx xxxx xxxx xxxx xxxx xxxx xxxx xxxx
256位數(shù)據(jù)，當(dāng)然別的驗(yàn)證系統(tǒng)可能會(huì)更短。
而對(duì)于掃描的用戶(hù)，QR識(shí)別以后是類(lèi)似下面的URL鏈接：
otpauth://totp/Google%3Ayourname@gmail.com?secret=xxxx&issuer=Google
2、 基于當(dāng)前時(shí)間的輸入
這個(gè)輸入是基于用戶(hù)手機(jī)時(shí)間產(chǎn)生的，一旦用戶(hù)完成第一步的密鑰共享，就和身份驗(yàn)證服務(wù)器沒(méi)有關(guān)系了。但是這里比較重要的是用戶(hù)手機(jī)時(shí)間要準(zhǔn)確，因?yàn)閺乃惴ㄔ韥?lái)講，身份驗(yàn)證服務(wù)器會(huì)基于同樣的時(shí)間來(lái)重復(fù)進(jìn)行用戶(hù)手機(jī)的運(yùn)算。進(jìn)一步來(lái)說(shuō)，服務(wù)器會(huì)計(jì)算當(dāng)前時(shí)間前后幾分鐘內(nèi)的令牌，跟用戶(hù)提交的令牌比較。所以如果時(shí)間上相差太多，身份驗(yàn)證過(guò)程就會(huì)失敗。
3、 簽名函數(shù)
谷歌的簽名函數(shù)使用了HMAC-SHA1。HMAC即基于哈希的消息驗(yàn)證碼，提供了一種算法，可以用比較安全的單向哈希函數(shù)（如SHA1）來(lái)產(chǎn)生簽名。這就是驗(yàn)證算法的原理所在：只有共享密鑰擁有者和服務(wù)器才能夠根據(jù)同樣的輸入（基于時(shí)間的）得到同樣的輸出簽名。偽代碼如下：
hmac = SHA1(secret + SHA1(secret + input))
本文開(kāi)頭提到的TOTP和HMAC原理類(lèi)似，只是TOTP強(qiáng)調(diào)輸入一定是當(dāng)前時(shí)間相關(guān)。類(lèi)似的還有HOTP，采用增量式計(jì)數(shù)器的方式，需要不斷和服務(wù)器同步。
算法流程簡(jiǎn)介
首先需要用base32解碼密鑰，為了更方便用戶(hù)輸入，谷歌采用了空格和小寫(xiě)的方式表示密鑰。但是base32不能有空格而且必須大寫(xiě)，處理偽代碼如下：
original_secret = xxxx xxxx xxxx xxxx xxxx xxxx xxxx xxxx
secret = BASE32_DECODE(TO_UPPERCASE(REMOVE_SPACES(original_secret)))
接下來(lái)要從當(dāng)前時(shí)間獲得輸入，通常采用Unix時(shí)間，即當(dāng)前周期開(kāi)始到現(xiàn)在的秒數(shù)
input = CURRENT_UNIX_TIME()
這里有一點(diǎn)需要說(shuō)明，驗(yàn)證碼有一個(gè)時(shí)效，大概是30秒。這種設(shè)計(jì)是出于方便用戶(hù)輸入的考慮，每秒鐘變化的驗(yàn)證碼很難讓用戶(hù)迅速準(zhǔn)確輸入。為了實(shí)現(xiàn)這種時(shí)效性，可以通過(guò)整除30的方式來(lái)實(shí)現(xiàn)，即：
input = CURRENT_UNIX_TIME() / 30
最后一步是簽名函數(shù)，HMAC-SHA1，全部偽代碼如下：
original_secret = xxxx xxxx xxxx xxxx xxxx xxxx xxxx xxxx
secret = BASE32_DECODE(TO_UPPERCASE(REMOVE_SPACES(original_secret)))
input = CURRENT_UNIX_TIME() / 30
hmac = SHA1(secret + SHA1(secret + input))
完成這些代碼，基本就已經(jīng)實(shí)現(xiàn)了兩次驗(yàn)證的功能。由于HMAC是個(gè)標(biāo)準(zhǔn)長(zhǎng)度的SHA1數(shù)值，有四十個(gè)字符的長(zhǎng)度，用戶(hù)很難一次性正確輸入，因此還需要做一些格式上的處理。可參考下面的偽代碼：
four_bytes = hmac[LAST_BYTE(hmac):LAST_BYTE(hmac) + 4]
large_integer = INT(four_bytes)
small_integer = large_integer % 1,000,000
相關(guān)文章
設(shè)置Android系統(tǒng)永不鎖屏永不休眠的方法
在進(jìn)行Android系統(tǒng)開(kāi)發(fā)的時(shí)候，有些特定的情況需要設(shè)置系統(tǒng)永不鎖屏，永不休眠。本篇文章給大家介紹Android 永不鎖屏，開(kāi)機(jī)不鎖屏，刪除設(shè)置中休眠時(shí)間選項(xiàng)，需要的朋友一起學(xué)習(xí)吧2016-03-03
android 獲取視頻,圖片縮略圖的具體實(shí)現(xiàn)
android 獲取視頻,圖片縮略圖的具體實(shí)現(xiàn)，需要的朋友可以參考一下2013-06-06
本篇文章將用一個(gè)實(shí)例，詳細(xì)的為大家講解怎么注冊(cè)并激活一個(gè)新的Activity，以及多個(gè)Activity之間如何傳值2013-11-11
Kotlin線(xiàn)程同步的幾種實(shí)現(xiàn)方法
面試的時(shí)候經(jīng)常會(huì)被問(wèn)及多線(xiàn)程同步的問(wèn)題，在 Kotlin 中我們有多種實(shí)現(xiàn)方式，本文將所有這些方式做了整理，感興趣的小伙伴們可以參考一下2021-07-07
這篇文章主要為大家詳細(xì)介紹了Android數(shù)據(jù)加密之Des加密,具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2016-09-09
Android webview轉(zhuǎn)PDF的方法示例
本篇文章主要介紹了Android webview轉(zhuǎn)PDF的方法示例，小編覺(jué)得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧2018-01-01
Android ListView實(shí)現(xiàn)ImageLoader圖片加載的方法
這篇文章主要介紹了Android ListView實(shí)現(xiàn)ImageLoader圖片加載的方法,結(jié)合實(shí)例形式簡(jiǎn)單分析了開(kāi)源框架Imageloader的功能、使用方法與相關(guān)注意事項(xiàng),需要的朋友可以參考下2017-07-07
這篇文章主要介紹了Android中l(wèi)ayout屬性含義及用法,較為詳細(xì)的總結(jié)分析了layout屬性相關(guān)用法,需要的朋友可以參考下2015-05-05
Android子線(xiàn)程與更新UI問(wèn)題的深入講解
首先和其他許多的GUI庫(kù)一樣，Android的UI線(xiàn)程是不安全的。所以下面這篇文章主要給大家介紹了關(guān)于Android子線(xiàn)程與更新UI問(wèn)題的相關(guān)資料，需要的朋友可以參考借鑒，下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2019-03-03
Android this與Activity.this的區(qū)別
這篇文章主要介紹了 Android this與Activity.this的區(qū)別的相關(guān)資料,需要的朋友可以參考下2016-09-09