android - 谷歌身份验证器作为单一登录方法-6ren

android - 谷歌身份验证器作为单一登录方法

转载作者：行者123 更新时间：2023-11-29 01:04:51

26

4

大多数开发者似乎都提供 Google Authenticator 作为身份验证的第二个因素。

是否出于技术或安全原因不使用 Google 身份验证器作为唯一的身份验证来源？

换句话说:我可以放弃传统的用户 ID/密码条目并将其替换为 Google 身份验证器 token 条目吗？

Google Authenticator is an application, which generates one (short) time passwords (tokens) locally on a smartphone.

The verification of passwords can be done by your own web-server or application.

Google is by no means involved: Neither generates tokes using their servers nor verifies tokens using their servers.

如何使用应用设置 Google 身份验证器:

使用二维码初始化

然后每次您打开 Google 身份验证器时，它都会生成一个新 token

最后，用户在您的网站上输入代码，然后您在您的服务器上本地验证它 [不涉及 Google 服务器]

引用文献:

最佳答案

删除用户名是不可行的，因为您需要查找和验证特定用户的一次性密码。如果不请求用户名，您将面临许多问题:

Google 身份验证器会为每位用户生成一个六位数号码，该号码每 30 秒更改一次。如果您不首先确认哪个用户正在登录，攻击者可以一次猜测任何 6 位数字，如果它与您的任何用户匹配，他们将获得访问权限。用户数量越少，越难猜到，但攻击者总有可能猜出一个有效密码的数字(如果您有一百万或更多用户，则有可能在某个时间点他们都有不同的 OTP，攻击者的任何猜测都是有效的)。
通过要求首先通过用户名和密码识别特定用户，您可以确保在任何时候将正确猜测的风险限制在一个数字内(百万分之一的机会)，并且这种猜测只有在有效时才有可能首先获得详细信息。
在某些时间点，多个用户可能分配了相同的一次性密码，这意味着您将无法确定哪个用户正在尝试进行身份验证。您也无法将授权用户与只是猜出正确数字的攻击者区分开来。

如果您只使用 Google 身份验证器，您也会失去两个双因素身份验证的好处。

将密码与一次性密码结合使用时，您正在验证用户拥有她应该知道的东西(密码)和她应该知道的东西(她的电话)，这构成了两个因素。由于一次性密码不断变化，攻击者破坏这两个因素的可能性非常低。

当您同时使用密码和 OTP 时，如果她的手机被盗或密码被泄露(网络钓鱼或其他方式)，您也会受到保护，因为攻击者将无法访问进行身份验证所需的其他因素。

关于android - 谷歌身份验证器作为单一登录方法，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/36527941/

26

4

0

文章推荐： ios - 使用尺寸类别在不同手机上调整图像尺寸

文章推荐： ios - 水平居中元素上的附加偏移 X

文章推荐： android - 在 Android build.gradle 中使用 `git describe --match`

Ruby 方法() 方法
我想了解 Ruby 方法 methods() 是如何工作的。我尝试使用“ruby 方法”在 Google 上搜索，但这不是我需要的。我也看过 ruby-doc.org，但我没有找到这种方法。
VBS教程：方法-Test 方法
Test 方法对指定的字符串执行一个正则表达式搜索，并返回一个 Boolean 值指示是否找到匹配的模式。 object.Test(string) 参数 object 必选项。总是一个
VBS教程：方法-Replace 方法
Replace 方法替换在正则表达式查找中找到的文本。 object.Replace(string1, string2) 参数 object 必选项。总是一个 RegExp 对象的名称。
VBS教程：方法-Raise 方法
Raise 方法生成运行时错误 object.Raise(number, source, description, helpfile, helpcontext) 参数 object 应为
VBS教程：方法-Execute 方法
Execute 方法对指定的字符串执行正则表达式搜索。 object.Execute(string) 参数 object 必选项。总是一个 RegExp 对象的名称。 string
VBS教程：方法-Clear 方法
Clear 方法清除 Err 对象的所有属性设置。 object.Clear object 应为 Err 对象的名称。说明在错误处理后，使用 Clear 显式地清除 Err 对象。此
VBS教程：方法-CopyFile 方法
CopyFile 方法将一个或多个文件从某位置复制到另一位置。 object.CopyFile source, destination[, overwrite] 参数 object 必选
VBS教程：方法-Copy 方法
Copy 方法将指定的文件或文件夹从某位置复制到另一位置。 object.Copy destination[, overwrite] 参数 object 必选项。应为 File 或 F
VBS教程：方法-Close 方法
Close 方法关闭打开的 TextStream 文件。 object.Close object 应为 TextStream 对象的名称。说明下面例子举例说明如何使用 Close 方
VBS教程：方法-BuildPath 方法
BuildPath 方法向现有路径后添加名称。 object.BuildPath(path, name) 参数 object 必选项。应为 FileSystemObject 对象的名称
VBS教程：方法-GetFolder 方法
GetFolder 方法返回与指定的路径中某文件夹相应的 Folder 对象。 object.GetFolder(folderspec) 参数 object 必选项。应为 FileSy
VBS教程：方法-GetFileName 方法
GetFileName 方法返回指定路径（不是指定驱动器路径部分）的最后一个文件或文件夹。 object.GetFileName(pathspec) 参数 object 必选项。应为
VBS教程：方法-GetFile 方法
GetFile 方法返回与指定路径中某文件相应的 File 对象。 object.GetFile(filespec) 参数 object 必选项。应为 FileSystemObject
VBS教程：方法-GetExtensionName 方法
GetExtensionName 方法返回字符串，该字符串包含路径最后一个组成部分的扩展名。 object.GetExtensionName(path) 参数 object 必选项。应
VBS教程：方法-GetDriveName 方法
GetDriveName 方法返回包含指定路径中驱动器名的字符串。 object.GetDriveName(path) 参数 object 必选项。应为 FileSystemObjec
VBS教程：方法-GetDrive 方法
GetDrive 方法返回与指定的路径中驱动器相对应的 Drive 对象。 object.GetDrive drivespec 参数 object 必选项。应为 FileSystemO
VBS教程：方法-GetBaseName 方法
GetBaseName 方法返回字符串，其中包含文件的基本名 (不带扩展名), 或者提供的路径说明中的文件夹。 object.GetBaseName(path) 参数 object 必
VBS教程：方法-GetAbsolutePathName 方法
GetAbsolutePathName 方法从提供的指定路径中返回完整且含义明确的路径。 object.GetAbsolutePathName(pathspec) 参数 object
VBS教程：方法-FolderExists 方法
FolderExists 方法如果指定的文件夹存在，则返回 True；否则返回 False。 object.FolderExists(folderspec) 参数 object 必选项
VBS教程：方法-FileExists 方法
FileExists 方法如果指定的文件存在返回 True；否则返回 False。 object.FileExists(filespec) 参数 object 必选项。应为 FileS

首页

博学

6Ren·AI

商城

android - 谷歌身份验证器作为单一登录方法