golang 通过(Google Authenticator)实现动态口令

Google Authenticator，是谷歌推出的一款动态口令工具，解决大家的google账户遭到恶意攻击的问题；许多安全性比较高的网站都会采用这种工具来验证登录或者交易；这个动态口令就是Google身份验证器每隔30s会动态生成一个6位数的数字。它的作用是：对你的账号进行“二步验证”保护，或者说做一个双重身份验证，来达到提升安全级别的目的。

通过 一致算法保持手机端和服务端相同，并每30秒改变认证码。

方法说明

• GetSecret() ：获取秘钥（32位字符串）
• GetCode() ：获取动态码
• GetQrcode() ：获取动态码二维码内容
• GetQrcodeUrl() ：获取动态码二维码图片地址
• VerifyCode() ：验证动态码

otp是什么知道么？ 是一次性密码，简单的说，totp是基于时间的，htop是基于次数的。

秘钥生成原理（基于时间）

1、时间戳，精确到微秒，除以1000，除以30（动态6位数字每30秒变化一次）

2、对时间戳余数 hmac_sha1 编码

3、然后 base32 encode 标准编码

4、输出大写字符串，即秘钥

动态6位数字验证：

Google Authenticator会基于密钥和时间计算一个HMAC-SHA1的hash值，这个hash是160 bit的，然后将这个hash值随机取连续的4个字节生成32位整数，最后将整数取31位，再取模得到一个的整数。

这个就是Google Authenticator显示的数字。

在服务器端验证的时候，同样的方法来计算出数字，然后比较计算出来的结果和用户输入的是否一致。

操作过程

1、下载 google 身份验证器

其实这个也是不错的,个人比较喜欢 FreeOTP

2、添加账号、秘钥（秘钥需要通过以下程序生成：NewGoogleAuth().GetSecret()）

3、登录app、网站时，填写”google身份验证器“显示的6位数字

4、服务端验证6位数字是否正确：NewGoogleAuth().VerifyCode(secret, code)

实现代码

package main

import (
    "bytes"
    "crypto/hmac"
    "crypto/sha1"
    "encoding/base32"
    "encoding/binary"
    "fmt"
    "net/url"
    "strings"
    "time"
)

type GoogleAuth struct {
}

func NewGoogleAuth() *GoogleAuth {
    return &GoogleAuth{}
}

func (this *GoogleAuth) un() int64 {
    return time.Now().UnixNano() / 1000 / 30
}

func (this *GoogleAuth) hmacSha1(key, data []byte) []byte {
    h := hmac.New(sha1.New, key)
    if total := len(data); total > 0 {
        h.Write(data)
    }
    return h.Sum(nil)
}

func (this *GoogleAuth) base32encode(src []byte) string {
    return base32.StdEncoding.EncodeToString(src)
}

func (this *GoogleAuth) base32decode(s string) ([]byte, error) {
    return base32.StdEncoding.DecodeString(s)
}

func (this *GoogleAuth) toBytes(value int64) []byte {
    var result []byte
    mask := int64(0xFF)
    shifts := [8]uint16{56, 48, 40, 32, 24, 16, 8, 0}
    for _, shift := range shifts {
        result = append(result, byte((value>>shift)&mask))
    }
    return result
}

func (this *GoogleAuth) toUint32(bts []byte) uint32 {
    return (uint32(bts[0]) << 24) + (uint32(bts[1]) << 16) +
        (uint32(bts[2]) << 8) + uint32(bts[3])
}

func (this *GoogleAuth) oneTimePassword(key []byte, data []byte) uint32 {
    hash := this.hmacSha1(key, data)
    offset := hash[len(hash)-1] & 0x0F
    hashParts := hash[offset : offset+4]
    hashParts[0] = hashParts[0] & 0x7F
    number := this.toUint32(hashParts)
    return number % 1000000
}

// 获取秘钥
func (this *GoogleAuth) GetSecret() string {
    var buf bytes.Buffer
    binary.Write(&buf, binary.BigEndian, this.un())
    return strings.ToUpper(this.base32encode(this.hmacSha1(buf.Bytes(), nil)))
}

// 获取动态码
func (this *GoogleAuth) GetCode(secret string) (string, error) {
    secretUpper := strings.ToUpper(secret)
    secretKey, err := this.base32decode(secretUpper)
    if err != nil {
        return "", err
    }
    number := this.oneTimePassword(secretKey, this.toBytes(time.Now().Unix()/30))
    return fmt.Sprintf("%06d", number), nil
}

// 获取动态码二维码内容
func (this *GoogleAuth) GetQrcode(user, secret string) string {
    return fmt.Sprintf("otpauth://totp/%s?secret=%s", user, secret)
}

// 获取动态码二维码图片地址,这里是第三方二维码api
func (this *GoogleAuth) GetQrcodeUrl(user, secret string) string {
    qrcode := this.GetQrcode(user, secret)
    width := "200"
    height := "200"
    data := url.Values{}
    data.Set("data", qrcode)
    return "https://api.qrserver.com/v1/create-qr-code/?" + data.Encode() + "&size=" + width + "x" + height + "&ecc=M";
}

// 验证动态码
func (this *GoogleAuth) VerifyCode(secret, code string) (bool, error) {
    _code, err := this.GetCode(secret)
    fmt.Println(_code, code, err)
    if err != nil {
        return false, err
    }
    return _code == code, nil
}

var err error

func main() {

    fmt.Println("-----------------开启二次认证----------------------")
    user := "testxxx@qq.com"
    secret, code := initAuth(user)
    fmt.Println(secret, code)

    fmt.Println("-----------------信息校验----------------------")

    // secret最好持久化保存在
    // 验证,动态码(从谷歌验证器获取或者freeotp获取)
    bool, err := NewGoogleAuth().VerifyCode(secret, code)
    if bool {
        fmt.Println("√")
    } else {
        fmt.Println("X", err)
    }
}

// 开启二次认证
func initAuth(user string) (secret, code string) {
    // 秘钥
    secret = NewGoogleAuth().GetSecret()
    fmt.Println("Secret:", secret)

    // 动态码(每隔30s会动态生成一个6位数的数字)
    code, err := NewGoogleAuth().GetCode(secret)
    fmt.Println("Code:", code, err)

    // 用户名
    qrCode := NewGoogleAuth().GetQrcode(user, code)
    fmt.Println("Qrcode", qrCode)

    // 打印二维码地址
    qrCodeUrl := NewGoogleAuth().GetQrcodeUrl(user, secret)
    fmt.Println("QrcodeUrl", qrCodeUrl)

    return
}

执行代码

➜  googleAuth git:(master) ✗ go run mian.go
-----------------开启二次认证----------------------
Secret: 6TX3ZR67VATFNZXEKLTC4LEY6CWJGGVR
Code: 953279 <nil>
Qrcode otpauth://totp/testxxx@qq.com?secret=953279
QrcodeUrl https://api.qrserver.com/v1/create-qr-code/?data=otpauth%3A%2F%2Ftotp%2Ftestxxx%40qq.com%3Fsecret%3D6TX3ZR67VATFNZXEKLTC4LEY6CWJGGVR&size=200x200&ecc=M
6TX3ZR67VATFNZXEKLTC4LEY6CWJGGVR 953279
-----------------信息校验----------------------
953279 953279 <nil>
√

此时会看到生成的信息和校验信息

绑定谷歌验证器

上面生成的二维码地址,我们可以用浏览器打开

https://api.qrserver.com/v1/create-qr-code/?data=otpauth%3A%2F%2Ftotp%2Ftestxxx%40qq.com%3Fsecret%3D6TX3ZR67VATFNZXEKLTC4LEY6CWJGGVR&size=200x200&ecc=M

image.png

此时用谷歌验证器扫描二维码,绑定.

image.png

image.png

这次就使用这个动态二维码和秘钥认证就行了.

例如,我当前动态验证码为431947:

 // 验证
    bool, err := NewGoogleAuth().VerifyCode("6TX3ZR67VATFNZXEKLTC4LEY6CWJGGVR", "431947")
    if bool {
        fmt.Println("√")
    } else {
        fmt.Println("X", err)
    }

本文参考:https://my.oschina.net/qiongtaoli/blog/3049118

有疑问加站长微信联系（非本文作者）