<img style="width: 723px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/29f457ce-40b9-460b-ab38-d66058ccfb6d" alt="xac-thu-2-buoc-2-15946879304271649712097" height="454" />
Two Factor Authentication - 2FA (X&aacute;c thực hai yếu tố) l&agrave; bước bảo mật v&ocirc; c&ugrave;ng cần thiết trong thời điểm hiện n&agrave;y khi c&aacute;c ứng dụng, hacker đều muốn thu thập dữ liệu c&aacute; nh&acirc;n của ch&uacute;ng ta. Vậy n&ecirc;n trong b&agrave;i viết n&agrave;y, Tek4 sẽ hướng dẫn c&aacute;c bạn 3 bước đơn giản để triển khai 2FA.
X&aacute;c thực hai yếu tố (2FA) l&agrave; lớp bảo vệ t&agrave;i khoản thứ hai, tăng t&iacute;nh bảo mật m&agrave; Tek4 khuy&ecirc;n c&aacute;c bạn đều n&ecirc;n triển khai. Kh&ocirc;ng chỉ cần biết t&ecirc;n username/password như th&ocirc;ng thường, 2FA y&ecirc;u cầu người d&ugrave;ng nhập một phần th&ocirc;ng tin bổ sung li&ecirc;n quan đến c&aacute; nh&acirc;n. V&iacute; dụ: dạng 2FA nổi tiếng nhất y&ecirc;u cầu người d&ugrave;ng trả lời c&acirc;u hỏi bảo mật. Nếu người d&ugrave;ng l&agrave; người thiết lập c&acirc;u hỏi bảo mật, họ sẽ kh&ocirc;ng gặp vấn đề g&igrave; khi trả lời c&acirc;u hỏi. C&acirc;u hỏi bảo mật c&oacute; thể l&agrave;: T&ecirc;n gọi l&uacute;c trẻ của mẹ bạn l&agrave; g&igrave;? T&ecirc;n con th&uacute; nu&ocirc;i đầu ti&ecirc;n của bạn l&agrave; g&igrave;? Qu&ecirc; của bạn ở đ&acirc;u?
C&aacute;c h&igrave;nh thức 2FA gần đ&acirc;y nhất l&agrave; nhận token qua email hoặc SMS hoặc nhận token qua ứng dụng Authenticator, chẳng hạn như Google Authenticator. server tạo một secret key chống lại t&agrave;i khoản người d&ugrave;ng. V&agrave; secret key sẽ tạo ra c&aacute;c token tiếp theo m&agrave; người d&ugrave;ng sử dụng để x&aacute;c minh danh t&iacute;nh của họ. Nếu đăng nhập l&agrave; chủ t&agrave;i khoản, th&igrave; họ phải biết nơi t&igrave;m token(SMS, email hoặc ứng dụng Authenticator) v&agrave; token phải được x&aacute;c minh dựa tr&ecirc;n secret.
C&oacute; rất nhiều c&aacute;ch để triển khai 2FA, tuy nhi&ecirc;n, trong b&agrave;i viết n&agrave;y, ta sẽ xem x&eacute;t việc triển khai 2FA bằng c&aacute;ch sử dụng g&oacute;i npm, speakeasy.
Điều đầu ti&ecirc;n, h&atilde;y c&ugrave;ng t&igrave;m hiểu về OTP.
<h1 style="text-align: justify;">OTP - One Time Password (Mật khẩu d&ugrave;ng một lần)</h1>
OTP ch&iacute;nh x&aacute;c như t&ecirc;n gọi, đ&oacute; l&agrave; mật khẩu m&agrave; người d&ugrave;ng cuối sử dụng một lần hay c&ograve;n gọi l&agrave; token. Kh&ocirc;ng giống như mật khẩu truyền thống do người d&ugrave;ng cuối tạo v&agrave; biết, server hoặc ứng dụng Authenticator tạo OTP. Mật khẩu một lần dựa tr&ecirc;n hai yếu tố: chuỗi secret v&agrave; moving factor (yếu tố di chuyển).
OTP c&oacute; t&ecirc;n gọi gốc l&agrave; HOTP (Mật khẩu d&ugrave;ng một lần dựa tr&ecirc;n HMAC hoặc Mật khẩu d&ugrave;ng một lần dựa tr&ecirc;n h&agrave;m băm). HOTP l&agrave; một thuật to&aacute;n được ra mắt dưới t&ecirc;n <a href="https://datatracker.ietf.org/doc/html/rfc4226">RFC4226</a> bởi <a href="https://en.wikipedia.org/wiki/Internet_Engineering_Task_Force">Lực lượng Đặc nhiệm Kỹ thuật Internet (</a><a class="au kz" href="https://en.wikipedia.org/wiki/Internet_Engineering_Task_Force" target="_blank" rel="noopener ugc nofollow">Internet Engineering Task Force</a><a href="https://en.wikipedia.org/wiki/Internet_Engineering_Task_Force"> - IETF)</a>. Moving factor đối với loại OTP n&agrave;y l&agrave; bộ đếm (counter).
<img style="width: 723px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/a15a467c-1913-44a2-887e-2dfa273292dc" alt="ma-otp-la-gi-4" height="377" />
Token sẽ được tạo ra l&agrave; một h&agrave;m băm HMAC sử dụng secret key (c&ograve;n được gọi l&agrave; hạt giống) v&agrave; bộ đếm. Đầu ra của h&agrave;m băm kh&aacute; d&agrave;i, v&igrave; vậy n&oacute; được r&uacute;t ngắn để ph&ugrave; hợp hơn với vai tr&ograve; l&agrave; token. Mỗi token c&oacute; một bộ đếm v&agrave; bất cứ khi n&agrave;o người d&ugrave;ng cuối tạo token, bộ đếm đối với token sẽ tăng l&ecirc;n. server cũng c&oacute; bộ đếm, nhưng bộ đếm của n&oacute; tăng l&ecirc;n khi token được x&aacute;c thực.
Key của loại x&aacute;c thực n&agrave;y l&agrave; look-ahead window tr&ecirc;n server. Bộ đếm server v&agrave; bộ đếm token rất dễ kh&ocirc;ng đồng bộ h&oacute;a. V&igrave; vậy, để đồng bộ h&oacute;a lại hai bộ đếm, server sử dụng look-ahead window c&oacute; k&iacute;ch thước n. Nếu bộ đếm token nằm trong cửa sổ, th&igrave; n&oacute; c&oacute; thể được x&aacute;c thực. Tuy nhi&ecirc;n, c&oacute; một vấn đề với thuật to&aacute;n n&agrave;y. Nếu số lượng token được tạo vượt qu&aacute; look-ahead window, hệ thống sẽ bị kh&oacute;a. N&oacute;i c&aacute;ch kh&aacute;c, ta sẽ kh&ocirc;ng thể đăng nhập.
TOTP l&agrave; mật khẩu d&ugrave;ng một lần dựa tr&ecirc;n thời gian, dựa tr&ecirc;n HOTP, được <a href="https://en.wikipedia.org/wiki/Internet_Engineering_Task_Force">IETF</a> ra mắt với số hiệu <a href="https://datatracker.ietf.org/doc/html/rfc6238">RFC6238</a>. Kh&ocirc;ng giống như HOTP với moving factor l&agrave; bộ đếm, TOTP l&agrave; thuật to&aacute;n với moving factor&nbsp; l&agrave; thời gian. Token được tạo c&oacute; gi&aacute; trị trong một khoảng thời gian, c&ograve;n được gọi l&agrave; bước thời gian.&nbsp;
V&iacute; dụ: Nếu mở ứng dụng Google Authenticator, ta sẽ nhận thấy bộ đếm thời gian chạy dựa tr&ecirc;n một số token. Sau khi bộ đếm thời gian hết hạn, tr&igrave;nh x&aacute;c thực sẽ tạo token mới.
G&oacute;i <code>speakeasy</code> đều hỗ trợ cả hai thuật to&aacute;n, nhưng trong b&agrave;i viết n&agrave;y,ta sẽ chỉ tập trung v&agrave;o TOTP.
Như đ&atilde; n&oacute;i ph&iacute;a tr&ecirc;n, ta c&oacute; thể gửi token qua SMS hoặc email hoặc sử dụng ứng dụng Authenticator để t&igrave;m nạp token. Nếu chọn ứng dụng Authenticator, h&atilde;y tạo M&atilde; QR để người d&ugrave;ng cuối qu&eacute;t tr&ecirc;n thiết lập 2FA ban đầu. Sau đ&oacute;, x&aacute;c minh chuỗi secret bằng c&aacute;ch sử dụng token được tạo bởi Tr&igrave;nh x&aacute;c thực. Nếu chọn SMS / Email, h&atilde;y tạo token để gửi v&agrave; x&aacute;c minh dựa tr&ecirc;n token đ&oacute;.
V&igrave; tất cả những điều n&agrave;y sẽ xảy ra tr&ecirc;n server, n&ecirc;n tuyệt đối kh&ocirc;ng tiết lộ chuỗi secret cho client. Ph&iacute;a client sẽ hiển thị m&atilde; QRCode, chỉ một lần, để người d&ugrave;ng cuối qu&eacute;t.
<h1 style="text-align: justify;">Ba bước triển khai 2FA</h1>
<h3 style="text-align: justify;">Tạo chuỗi secret</h3>
H&agrave;m<code> speakeasy</code> <code>createSecret</code> trả về một đối tượng c&oacute; một v&agrave;i encoding (k&iacute; tự được m&atilde; h&oacute;a), chẳng hạn như ASCII, hexadecimal, base32, otpauth_url, v.v.
<pre class="language-java"><code>import { generateSecret } from 'speakeasy'
interface TwoFactorEntity {
 userId: number
 secret: string
 enabled: boolean // default value is false
}
const generateUserSecret = 
(userRepo: Respository, twoFactor: TwoFactorEntity) =&gt; {
const secret = generateSecret()
 twoFactor.secret = secret.base32
 userRepo.save(twoFactor)
 return secret
}</code></pre>
Sau khi tạo chuỗi secret, h&atilde;y lưu trữ một trong c&aacute;c encoding trong cơ sở dữ liệu. Bộ nhớ n&agrave;y phải l&agrave; một tr&igrave;nh lưu trữ tạm thời hoặc c&oacute; một số dấu hiệu cho thấy t&agrave;i khoản chưa k&iacute;ch hoạt 2FA.
Người d&ugrave;ng cuối phải ho&agrave;n th&agrave;nh thiết lập (tạo chuỗi secret, x&aacute;c minh token) để k&iacute;ch hoạt 2FA. Nếu họ kh&ocirc;ng x&aacute;c minh th&agrave;nh c&ocirc;ng chuỗi secret khi thiết lập, chuỗi secret sẽ v&ocirc; hiệu v&agrave; kh&ocirc;ng n&ecirc;n tạo token v&igrave; người d&ugrave;ng cuối sẽ kh&ocirc;ng bao giờ c&oacute; thể đăng nhập.
Trong qu&aacute; tr&igrave;nh triển khai, cần tạo một cột hoạt động li&ecirc;n quan tới người d&ugrave;ng, gọi l&agrave; <code>TwoFactorEntity</code>. Cờ n&agrave;y sẽ trả về True nếu người d&ugrave;ng cuối x&aacute;c minh th&agrave;nh c&ocirc;ng chuỗi <code>secret</code> trong qu&aacute; tr&igrave;nh thiết lập. Cờ n&agrave;y sẽ kh&ocirc;ng bao giờ được đặt lại trong c&aacute;c lần x&aacute;c minh tiếp theo. Khi c&oacute; cột n&agrave;y, ta c&oacute; thể lưu trữ secret chỉ một lần trong cơ sở dữ liệu (kh&ocirc;ng cần tạo cột tạm thời v&agrave; cột vĩnh viễn).
<h3 style="text-align: justify;">Hiển thị m&atilde; QR</h3>
QR code sẽ d&agrave;nh cho những ai d&ugrave;ng tuyến ứng dụng Authenticator.
C&ograve;n kh&ocirc;ng, mọi người c&oacute; thể sang bước tiếp theo.
Install <code>qrcode</code>
Sử dụng đối tượng secret, chuyển m&atilde; h&oacute;a <code>otpauth_url</code> sang phương thức <code>toDataURL</code> v&agrave; n&oacute; sẽ trả về URL dữ liệu PNG. Hiển thị URL n&agrave;y trong thẻ IMG để người d&ugrave;ng cuối qu&eacute;t. H&atilde;y nhớ tạo URL dữ liệu n&agrave;y tr&ecirc;n server v&agrave; chuyển URL trở lại client. Đừng điền chuỗi secret!
<pre class="language-java"><code>import { toDataURL } from 'qrcode'
interface SecretData {
 otpauth_url: string
}
const generateQRCode = async (secret: SecretData) =&gt; {
 return await toDataURL(secret.otpauth_url)
}</code></pre>
<h3 style="text-align: justify;">Tạo token</h3>
Nếu người d&ugrave;ng chọn tuyến SMS / Email, sẽ phải tạo token thay v&igrave; QR code.
&nbsp;Việc tạo token TOTP rất đơn giản, nhưng c&oacute; một số t&ugrave;y chỉnh c&oacute; cần thực hiện. Ta c&oacute; thể thay đổi thuật to&aacute;n để tạo token, bước thời gian, số chữ số token của bạn phải l&agrave;, v.v.. H&atilde;y đảm bảo rằng bạn đ&atilde; đọc t&agrave;i liệu về <code>speakeasy</code> để c&oacute; những t&ugrave;y chỉnh ph&ugrave; hợp.
Để tạo token, h&atilde;y sử dụng m&atilde; h&oacute;a được lưu trong cơ sở dữ liệu. Sử dụng <code>totp constructor </code>để chuyển m&atilde; secret, m&atilde; h&oacute;a v&agrave; bất kỳ t&ugrave;y chọn n&agrave;o kh&aacute;c.
<pre class="language-java"><code>import { totp } from 'speakeasy'
interface SecretData {
 base32: string
}
const generateToken = (secret: SecretData) =&gt; {
 const token = totp({ secret: secret.base32, encoding: 'base32'})
 return token
}</code></pre>
Tiếp theo, sử dụng ứng dụng thư hoặc SMS để gửi token đến người d&ugrave;ng cuối. Sau khi người d&ugrave;ng cuối nhận được token, h&atilde;y x&aacute;c minh n&oacute;. Bước tiếp theo sẽ hướng dẫn bạn c&aacute;ch viết h&agrave;m x&aacute;c minh.
<h3 style="text-align: justify;">X&aacute;c minh token</h3>
Bước cuối c&ugrave;ng, ta n&ecirc;n c&oacute; một phương ph&aacute;p tạo chuỗi secret v&agrave; một số c&aacute;ch sẽ tạo token cho người d&ugrave;ng cuối.
Bước n&agrave;y dựa v&agrave;o việc người d&ugrave;ng cuối cung cấp token cho server. token được gửi qua SMS hoặc Email hoặc được tạo trong ứng dụng Authenticator. Sử dụng token được chuyển đến server v&agrave; secret được lưu trong cơ sở dữ liệu của bạn, x&aacute;c minh người d&ugrave;ng cuối.
Tương tự như việc tạo token, <code>speakeasy</code> cung cấp c&aacute;c t&ugrave;y chọn kh&aacute;c nhau để chuyển v&agrave;o phương thức <code>verify</code>.
<pre class="language-java"><code>import { totp } from 'speakeasy'
const verifyToken = (userToken: string, serverSecret: string) =&gt; {
 const verified = totp.verify({ 
 secret: serverSecret, 
 encoding: 'base32',
 token: userToken
 })
return verified
}
const enableTwoFactor = (
 verified: boolean,
 repo: Respository, 
 twoFactor: TwoFactorEntity) =&gt; {
if (!twoFactor.enabled) {
 twoFactor.enabled = verified
 }
repo.save(twoFactor)
}</code></pre>
Trong qu&aacute; tr&igrave;nh triển khai, c&oacute; thể sử dụng một phương ph&aacute;p kh&aacute;c để t&igrave;m nạp thực thể token của m&igrave;nh. Phương thức <code>verify</code> sẽ trả về <code>true</code>, nếu token người d&ugrave;ng x&aacute;c minh ngược lại với phương thức secret hoặc trả về <code>false </code>nếu trong trường hợp ngược lại. Kết quả của qu&aacute; tr&igrave;nh x&aacute;c minh sẽ gi&uacute;p k&iacute;ch hoạt 2FA chống lại người d&ugrave;ng.
H&agrave;m <code>enableTwoFactor</code> sử dụng thực thể cơ sở dữ liệu để bật 2FA, nếu v&agrave; chỉ khi, hai yếu tố chưa được bật trước đ&oacute;, điều n&agrave;y chỉ xảy ra một lần.
Vậy nếu người d&ugrave;ng chưa được x&aacute;c minh v&agrave; cờ được bật l&agrave; sai, điều g&igrave; sẽ xảy ra? L&iacute; do v&igrave; sao điều đ&oacute; xuất hiện trong qu&aacute; tr&igrave;nh người d&ugrave;ng sử dụng? Loại phản hồi n&agrave;o m&agrave; server n&ecirc;n trả về? Tất cả những điều đ&oacute; phụ thuộc v&agrave;o ứng dụng bạn d&ugrave;ng.
<h1 style="text-align: justify;">Tổng kết</h1>
Vậy l&agrave; ta ho&agrave;n to&agrave;n c&oacute; thể triển khai th&agrave;nh c&ocirc;ng 2FA trong 3 bước đơn giản. Phần kh&oacute; nhất của việc t&iacute;ch hợp 2FA l&agrave; tất cả c&aacute;c bước nhỏ ở giữa, phụ thuộc v&agrave;o ứng dụng của bạn (tức l&agrave; thiết lập điểm cuối, t&iacute;ch hợp dịch vụ email hoặc SMS của bạn, t&igrave;m ra phần giao diện người d&ugrave;ng, v.v.).
&nbsp;Sau khi người d&ugrave;ng cuối bật 2FA, đối với mỗi lần đăng nhập tiếp theo, server của bạn sẽ tạo token hoặc người d&ugrave;ng cuối sẽ nh&igrave;n v&agrave;o ứng dụng tr&igrave;nh x&aacute;c thực v&agrave; sau đ&oacute; nhập token đ&oacute; v&agrave;o ứng dụng của bạn.
Ch&uacute;c bạn th&agrave;nh c&ocirc;ng!

Admin

3 bước đơn giản để thực hiện xác thực hai yếu tố trong Node.JS

Cùng tác giả

Admin

Có liên quan