pyca/cryptography 中的双因素认证原理解析-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00152/article/details/148464907

pyca/cryptography 中的双因素认证原理解析

cryptography cryptography is a package designed to expose cryptographic primitives and recipes to Python developers. 项目地址: https://gitcode.com/gh_mirrors/cr/cryptography

双因素认证(2FA)是现代安全体系中重要的组成部分，pyca/cryptography 库提供了基于 HOTP 和 TOTP 算法的实现，本文将深入解析这些安全机制的原理和使用方法。

双因素认证概述

双因素认证要求用户提供两种不同类型的凭证来验证身份，通常结合"你知道什么"(如密码)和"你拥有什么"(如手机生成的动态码)。pyca/cryptography 实现了两种主流的一次性密码(OTP)算法：

HOTP (HMAC-Based One-Time Password) - 基于事件
TOTP (Time-Based One-Time Password) - 基于时间

HOTP 算法详解

HOTP 是基于 HMAC 的一次性密码算法，遵循 RFC 4226 标准。其核心原理是通过一个共享密钥和递增的计数器值生成密码。

核心参数

from cryptography.hazmat.primitives.twofactor.hotp import HOTP
from cryptography.hazmat.primitives.hashes import SHA1

key = b'your_160_bit_secret_key'  # 推荐160位(20字节)
hotp = HOTP(
    key=key,
    length=6,  # 密码长度6-8位
    algorithm=SHA1(),
    enforce_key_length=True
)

参数说明：

key: 必须保密的共享密钥，推荐160位
length: 生成的密码长度(6-8位)
algorithm: 支持的哈希算法(SHA1/SHA256/SHA512)
enforce_key_length: 是否强制密钥长度检查

生成与验证

counter = 0  # 计数器初始值
otp_value = hotp.generate(counter)  # 生成OTP
hotp.verify(otp_value, counter)  # 验证OTP

安全实践

防暴力尝试：由于密码长度有限，必须实现尝试次数限制
计数器同步：客户端和服务器计数器可能不同步，建议实现"前瞻窗口"机制

def verify_with_lookahead(hotp_obj, hotp_value, counter, look_ahead=5):
    for count in range(counter, counter + look_ahead + 1):
        try:
            hotp_obj.verify(hotp_value, count)
            return count  # 返回成功的计数器值
        except InvalidToken:
            continue
    raise InvalidToken

TOTP 算法详解

TOTP 是 HOTP 的时间变种，遵循 RFC 6238 标准，将计数器替换为时间步长。

核心参数

from cryptography.hazmat.primitives.twofactor.totp import TOTP

totp = TOTP(
    key=key,
    length=6,
    algorithm=SHA1(),
    time_step=30  # 时间步长(秒)，推荐30
)

新增参数：

time_step: 时间窗口大小(秒)，通常为30秒

生成与验证

import time
current_time = int(time.time())
otp_value = totp.generate(current_time)
totp.verify(otp_value, current_time)

配置URI生成

HOTP/TOTP 支持生成标准化的配置URI，便于与认证器应用集成：

# HOTP URI
hotp_uri = hotp.get_provisioning_uri(
    account_name="user@example.com",
    counter=0,
    issuer="My Service"
)

# TOTP URI
totp_uri = totp.get_provisioning_uri(
    account_name="user@example.com",
    issuer="My Service"
)

生成的URI通常编码为QR码供用户扫描。