0

Есть мобильное приложение, где логин должен быть осуществлен через passwordless аутентификацию (телефон и код из СМС). Подскажите, как реилизовать данный флоу на бэкенде? Как избежать брутфорса кода? И т.д.?

Есть готовое решение у сервиса auth0, но оно по ряду причин не подходит.

4
  • Ограничивайте время действия и количество попыток ввода кода. Соответственно на бакенде записиваете и проверяете произошедшие попытки ввода кода.
    – Mike
    Commented 22 окт. 2019 в 11:35
  • @Mike кроме ограничения количества попыток, злоумышленник может заново присылать номер телефона и снова отправлять код до истечения количетва попыток
    – user356028
    Commented 22 окт. 2019 в 14:38
  • Не может. таймаут в течение которого должен быть введен код стоит использовать и для проверки того, что смс уже отправлялась и не позволять в течение этого таймаута отправлять код повторно на тот же номер. А еще злоумышленник может заддосить вас запросами со случайными номерами телефона и у вас быстро закончатся деньги на СМС-сервисе. Так что как минимум стоит ограничивать количество запросов в единицу времени с одного ip. Но конечно от ботнета это не защитит
    – Mike
    Commented 22 окт. 2019 в 14:53
  • У нас в мобильное приложение например дополнительно зашит клиентский сертификат, который используется при всех https запросах к API серверу. Так что без серьезного разбора приложения и вытаскивания сертификата подделать запросы к серверу, а следовательно и начать запрашивать СМС на тонны номеров сложно.
    – Mike
    Commented 22 окт. 2019 в 15:13

1 ответ 1

0

Основная идея

Возможно, Вашим решением будет создание в хранилище пары "ключ-значение". В качестве ключа берется id сессии, в качестве значения - сгенерированный код.

  • После отправки запроса на регистрацию/аутентификацию, клиенту для указанного номера генерируется код
  • затем пара ключ-значение (id_сессии-смс_код) сохраняется и идет отправка этого кода по СМС на указанный номер.
  • Пользователь его получает, вводит, далее вы сверяете введенный код со значением, лежащим по ключу сессии, и если оно верно - аутентифицируете его

После этого обязательно удаляйте эту пару, чтобы не было возможности воспользоваться ей второй раз. Вообще необходимо указывать время жизни этой пары, например, одна минута, тогда перебрать такой пароль вряд ли удастся - не хватит времени.

Хранить все это дело лучше не в базе данных, а в более подходящем для этого месте - в оперативной памяти. (можно использовать для этого memcached или тот же redis) Потому что во-первых, быстрые мелкие запросы к хранилищу будут гораздо эффективнее,чем запросы к БД, так как первые заточены именно под это. Во-вторых, время жизни легко указывается штатными средствами этих продуктов.

Возможные проблемы

Создавайте в качестве ключа именно сессию, а не телефон пользователя. В случае указания телефона ключом, идет сокращение необходимых для взлома полей. Например, зная телефон пользователя, остается только подобрать код из четырех цифр. Хоть это и вряд ли получится сделать из-за времени жизни, предположим, взломщику повезло и он подобрал код с первой попытки. Тогда он войдет без проблем.

В случае же с сессией, необходимо:

  • знать номер телефона
  • иметь к нему доступ для получения кода
  • иметь доступ к конкретному устройству, чтобы ввести этот код

Примечания

Возможно, Вам и не придется создавать такую пару ключа-значения вручную. В большинстве фреймворком можно несложно задать какой-нибудь ключ для текущей сессии. делается это как-то типа

request.session.set('key', 'value')

а проверяется

if request.session.get('key') == value:
    do_stuff

Погуглите Ваш случай. Если такая встроенная возможность имеется, то просто в качестве ключа укажите его предназначение - 'auth_code', а в качестве значения - тот самый код

6
  • Если все еще боитесь, то можно, помимо времени жизни, наложить ограничение на количество попыток ввода кода, по исчерпании которого высылается новый код
    – Lorer
    Commented 22 окт. 2019 в 12:22
  • Спасибо за ответ! На ваш взгляд при stateless полходе допустим такой вариант: пользователь отправлят номер телефона -> бэкенд генерирует guid, код, сохраняет в редис, отправляет смс с кодом, в ответ клиенту отправляет guid -> клиент вместе с кодом отправляет также полученный guid?
    – user356028
    Commented 22 окт. 2019 в 13:04
  • Еще как вариант - не хранить код и guid. Код сделать через totp, а клиенту отдавать jwt
    – user356028
    Commented 22 окт. 2019 в 13:23
  • Это более безопасно, но менее человечно =), на мой взгляд. Думаю, люди привыкли получать в качестве кодов подтверждения 4-8 цифр, а не строку символов. Ну и как минимум дешевле. Все-таки за длину сообщения придется платить
    – Lorer
    Commented 22 окт. 2019 в 13:38
  • в смс так и будет 408 цифр, а в ответ http-запроса, когда присылается телефон, отдастся jwt. как вы считаете?
    – user356028
    Commented 22 окт. 2019 в 13:56

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.