程序博客网 > 爱奇艺会员 淘宝没卖了

Google Authenticator 原理及Java实现

来源：互联网 发布：爱奇艺会员 淘宝没卖了 编辑：程序博客网 时间：2024/05/21 22:26
作者：徐小花
链接：https://www.zhihu.com/question/20462696/answer/18731073
来源：知乎
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

开启Google的登陆二步验证（即Google Authenticator服务）后用户登陆时需要输入额外由手机客户端生成的一次性密码。

实现Google Authenticator功能需要服务器端和客户端的支持。服务器端负责密钥的生成、验证一次性密码是否正确。客户端记录密钥后生成一次性密码。

目前客户端有：
android版： Google 身份验证器
iOS版：itunes.apple.com/cn/app

实现原理：

一、用户需要开启Google Authenticator服务时，
1.服务器随机生成一个类似于『DPI45HKISEXU6HG7』的密钥，并且把这个密钥保存在数据库中。
2.在页面上显示一个二维码，内容是一个URI地址（otpauth://totp/账号?secret=密钥），如『otpauth://totp/kisexu@gmail.com?secret=DPI45HCEBCJK6HG7』，下图：

otpauth://totp/kisexu@gmail.com?secret=DPI45HCEBCJK6HG7 (二维码自动识别)


3.客户端扫描二维码，把密钥『DPI45HKISEXU6HG7』保存在客户端。

二、用户需要登陆时
1.客户端每30秒使用密钥『DPI45HKISEXU6HG7』和时间戳通过一种『算法』生成一个6位数字的一次性密码，如『684060』。如下图android版界面：
<img src="https://pic1.zhimg.com/c2056261a0b106af19517697887c0b38_b.jpg" data-rawwidth="281" data-rawheight="398" class="content_image" width="281">
2.用户登陆时输入一次性密码『684060』。
3.服务器端使用保存在数据库中的密钥『DPI45HKISEXU6HG7』和时间戳通过同一种『算法』生成一个6位数字的一次性密码。大家都懂控制变量法，如果算法相同、密钥相同，又是同一个时间（时间戳相同），那么客户端和服务器计算出的一次性密码是一样的。服务器验证时如果一样，就登录成功了。

Tips：
1.这种『算法』是公开的，所以服务器端也有很多开源的实现，比如php版的：github.com/PHPGangsta/G 。上github搜索『Google Authenticator』可以找到更多语言版的Google Authenticator。
2.所以，你在自己的项目可以轻松加入对Google Authenticator的支持，在一个客户端上显示多个账户的效果可以看上面android版界面的截图。目前dropbox、lastpass、wordpress，甚至vps等第三方应用都支持Google Authenticator登陆，请自行搜索。
3.现实生活中，网银、网络游戏的实体动态口令牌其实原理也差不多，大家可以自行脑补下，谢谢。

示例url：
https://www.google.com/chart?chs=200x200&chld=M%7C0&cht=qr&chl=otpauth://totp/testuser@testhost%3Fsecret%3DIV5H5FGFJS6K4N2Y
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
链接：http://blog.csdn.net/a623397674a/article/details/38336461
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。


[java] view plain copy
print?
  1. //Google  Authenticator  
  2.   
  3. // 只从google出了双重身份验证后，就方便了大家，等同于有了google一个级别的安全，但是我们该怎么使用google authenticator (双重身份验证)，  
  4.   
  5. //下面是java的算法，这样大家都可以得到根据key得到公共的秘钥了,直接复制，记得导入JAR包：  
  6. //  
  7. //commons-codec-1.8.jar  
  8. //  
  9. //junit-4.10.jar  
  10.   
  11.   
  12. //测试方法：  
  13. //  
  14. //1、执行测试代码中的“genSecret”方法，将生成一个KEY（用户为testuser），URL打开是一张二维码图片。  
  15. //  
  16. //2、在手机中下载“GOOGLE身份验证器”。  
  17. //  
  18. //3、在身份验证器中配置账户，输入账户名（第一步中的用户testuser）、密钥（第一步生成的KEY），选择基于时间。  
  19. //  
  20. //4、运行authcode方法将key和要测试的验证码带进去（codes，key），就可以知道是不是正确的秘钥了！返回值布尔  
  21.   
  22. //main我就不写了大家~~因为这个可以当做util工具直接调用就行了  
  23. //  
  24.   
  25. package coin.util;  
  26.   
  27. import java.security.InvalidKeyException;  
  28. import java.security.NoSuchAlgorithmException;  
  29. import java.security.SecureRandom;  
  30.   
  31. import javax.crypto.Mac;  
  32. import javax.crypto.spec.SecretKeySpec;  
  33.   
  34. import org.apache.commons.codec.binary.Base32;  
  35. import org.apache.commons.codec.binary.Base64;  
  36.   
  37.   
  38.   
  39. public class GoogleAuthenticator {  
  40.       
  41.     // taken from Google pam docs - we probably don't need to mess with these  
  42.     public static final int SECRET_SIZE = 10;  
  43.       
  44.     public static final String SEED = "g8GjEvTbW5oVSV7avLBdwIHqGlUYNzKFI7izOF8GwLDVKs2m0QN7vxRs2im5MDaNCWGmcD2rvcZx";  
  45.       
  46.     public static final String RANDOM_NUMBER_ALGORITHM = "SHA1PRNG";  
  47.       
  48.     int window_size = 3; // default 3 - max 17 (from google docs)最多可偏移的时间  
  49.     
  50.     public void setWindowSize(int s) {  
  51.         if (s >= 1 && s <= 17)  
  52.             window_size = s;  
  53.     }  
  54.       
  55.    
  56.       
  57.     public static Boolean authcode(String codes, String savedSecret) {  
  58.         // enter the code shown on device. Edit this and run it fast before the  
  59.         // code expires!  
  60.         long code = Long.parseLong(codes);  
  61.         long t = System.currentTimeMillis();  
  62.         GoogleAuthenticator ga = new GoogleAuthenticator();  
  63.         ga.setWindowSize(15); // should give 5 * 30 seconds of grace...  
  64.         boolean r = ga.check_code(savedSecret, code, t);  
  65.         return r;  
  66.     }  
  67.     public static String genSecret() {  
  68.         String secret = GoogleAuthenticator.generateSecretKey();  
  69.         GoogleAuthenticator.getQRBarcodeURL("testuser",  
  70.                 "testhost", secret);  
  71.         return secret;  
  72.     }  
  73.     public static String generateSecretKey() {  
  74.         SecureRandom sr = null;  
  75.         try {  
  76.             sr = SecureRandom.getInstance(RANDOM_NUMBER_ALGORITHM);  
  77.             sr.setSeed(Base64.decodeBase64(SEED));  
  78.             byte[] buffer = sr.generateSeed(SECRET_SIZE);  
  79.             Base32 codec = new Base32();  
  80.             byte[] bEncodedKey = codec.encode(buffer);  
  81.             String encodedKey = new String(bEncodedKey);  
  82.             return encodedKey;  
  83.         }catch (NoSuchAlgorithmException e) {  
  84.             // should never occur... configuration error  
  85.         }  
  86.         return null;  
  87.     }  
  88.       
  89.    
  90.     public static String getQRBarcodeURL(String user, String host, String secret) {  
  91.         String format = "https://www.google.com/chart?chs=200x200&chld=M%%7C0&cht=qr&chl=otpauth://totp/%s@%s%%3Fsecret%%3D%s";  
  92.         return String.format(format, user, host, secret);  
  93.     }  
  94.       
  95.   
  96.     public boolean check_code(String secret, long code, long timeMsec) {  
  97.         Base32 codec = new Base32();  
  98.         byte[] decodedKey = codec.decode(secret);  
  99.         // convert unix msec time into a 30 second "window"  
  100.         // this is per the TOTP spec (see the RFC for details)  
  101.         long t = (timeMsec / 1000L) / 30L;  
  102.         // Window is used to check codes generated in the near past.  
  103.         // You can use this value to tune how far you're willing to go.  
  104.         for (int i = -window_size; i <= window_size; ++i) {  
  105.             long hash;  
  106.             try {  
  107.                 hash = verify_code(decodedKey, t + i);  
  108.             }catch (Exception e) {  
  109.                 // Yes, this is bad form - but  
  110.                 // the exceptions thrown would be rare and a static configuration problem  
  111.                 e.printStackTrace();  
  112.                 throw new RuntimeException(e.getMessage());  
  113.                 //return false;  
  114.             }  
  115.             if (hash == code) {  
  116.                 return true;  
  117.             }  
  118.         }  
  119.         // The validation code is invalid.  
  120.         return false;  
  121.     }  
  122.       
  123.     private static int verify_code(byte[] key, long t) throws NoSuchAlgorithmException, InvalidKeyException {  
  124.         byte[] data = new byte[8];  
  125.         long value = t;  
  126.         for (int i = 8; i-- > 0; value >>>= 8) {  
  127.             data[i] = (byte) value;  
  128.         }  
  129.         SecretKeySpec signKey = new SecretKeySpec(key, "HmacSHA1");  
  130.         Mac mac = Mac.getInstance("HmacSHA1");  
  131.         mac.init(signKey);  
  132.         byte[] hash = mac.doFinal(data);  
  133.         int offset = hash[20 - 1] & 0xF;  
  134.         // We're using a long because Java hasn't got unsigned int.  
  135.         long truncatedHash = 0;  
  136.         for (int i = 0; i < 4; ++i) {  
  137.             truncatedHash <<= 8;  
  138.             // We are dealing with signed bytes:  
  139.             // we just keep the first byte.  
  140.             truncatedHash |= (hash[offset + i] & 0xFF);  
  141.         }  
  142.         truncatedHash &= 0x7FFFFFFF;  
  143.         truncatedHash %= 1000000;  
  144.         return (int) truncatedHash;  
  145.     }  
  146. }  


工程源码分享：
链接: http://pan.baidu.com/s/1eRUelqi 密码: xz25

阅读全文
0 0
爱奇艺会员 淘宝没卖了 爱奇艺会员 淘宝没卖了
原创粉丝点击
热门IT博客
餐饮管理系统数据库表餐饮管理系统数据库表
淘宝上百度云盘被禁淘宝上百度云盘被禁
来源淘宝客是什么
网络北京时间校准器
电视电脑软件
传智播客java源码
mac os 10.12 下载
阿里云业务发展渠道
阿里云学生机怎么用
mac自带五笔输入法
社会和学校的区别知乎
南京市软件谷网站
java入门书籍pdf
java 线程同步卖票
环路补偿网络
苹果电脑强制卸载软件
windows phone安装apk
ubuntu grub-efi
php彩票源码
深圳市网络预约出租车
热门问题 老师的惩罚 人脸识别 我在镇武司摸鱼那些年 重生之率土为王 我在大康的咸鱼生活 盘龙之生命进化 天生仙种 凡人之先天五行 春回大明朝 姑娘不必设防，我是瞎子 刺猬吃什么食物 一只刺猬判刑多久 刺猬拼音怎么写 刺猬保护动物 非洲迷你刺猬 刺猬吃什么东西 小刺猬简笔画 养刺猬为什么不吉利 刺猬药用价值 刺猬简笔画图片 刺猬拼音怎么拼 刺猬多久会认主人 刺猬猫作者平台 捡到刺猬预示什么 刺猬乐队石璐 刺猬紫檀家具优缺点 刺猬可以吃吗 养刺猬有什么不吉利 2018刺猬收购价格多少钱一只 刺猬怎么洗澡 刺猬英语怎么读 刺猬是哺乳动物吗 刺猬生活在什么地方 为什么都说刺猬有灵性 刺猬有什么药用价值 刺猬进宅的征兆和说法 刺猬养殖基地 刺猬紫檀家具价格 刺猬养殖的市场价格 刺猬图片卡通 野生刺猬能养活吗 宠物刺猬图片 小刺猬怎么养 养殖刺猬的价格与利润 刺猬吃什么怎么养 刺猬怎么做好吃 刺猬能洗澡吗 活刺猬的收购价格 刺猬有灵性吗 刺猬做法大全 刺猬是什么仙

程序博客网，程序员的互联网技术博客家园。csdn论坛精品 msdn技术资料都在这里