go - 使用一个 secret 生成 totp 与多个 secret

Question

我想在我的网站上使用 2fa 的谷歌验证器和 totp 算法。我有 2 个关于生成 QR 密码的问题。

我计划使用保险库来存储 secret 以更加安全，但我的问题是有没有其他方法可以每次生成 secret 而不是将其存储在某些存储设备中？

我在教程中读到我需要为每个用户使用随 secret 码并将该密码存储在数据库中以进行 otp 验证。

我的想法是将一个特定的 secret 存储在某个安全的地方，并使用每个用户的 secret 生成一个散列。例如，使用 mySecret+userId 生成哈希

这是一种安全的方式吗？

Answer 1

使用主 key 并通过 sha256 生成用户 key 是个坏主意。因为生成的 secret 和 QR 总是相同的。如果用户丢失了他的手机并且想要删除二维码并获得一个新的二维码，那是不可能的。最佳做法是生成随机 secret 并将它们存储在保险库中。