Το Laravel Fortify είναι ένα πακέτο ελέγχου ταυτότητας backend για το Laravel που υποστηρίζει τον έλεγχο ταυτότητας δύο παραγόντων (2FA) μέσω των κωδικών πρόσβασης που βασίζονται σε χρόνο (TOTP). Είναι ευέλικτο και αγνωστικό στους χρήστες εφαρμογών πελάτη TOTP που χρησιμοποιούν, πράγμα που σημαίνει ότι δεν σας συνδέει ειδικά με τον Authenticator Google και μπορεί να συνεργαστεί με οποιαδήποτε εφαρμογή ελέγχου ταυτότητας που βασίζεται στο TOTP, συμπεριλαμβανομένης της Authy.
Τι κάνει το Laravel Fortify για το 2FA
Το Laravel Fortify παρέχει τη λογική backend για να δημιουργήσει τα μυστικά κλειδιά 2FA, να τα αποθηκεύσει με ασφάλεια, να δημιουργήσει κωδικούς ανάκτησης και να επικυρώσει τις μάρκες TOTP κατά τη διάρκεια της σύνδεσης. Χρησιμοποιεί το μυστικό κλειδί δύο παραγόντων του χρήστη για να επαληθεύσει τον κωδικό πρόσβασης που παράγεται από οποιαδήποτε εφαρμογή Authenticator που υποστηρίζει τον τυπικό αλγόριθμο TOTP (RFC 6238). Το FORTIFY δεν επιβάλλει ή περιορίζει την εφαρμογή για κινητά ή επιτραπέζιους υπολογιστές που πρέπει να χρησιμοποιήσει ο χρήστης.
Χρήση authy αντί για τον έλεγχο ταυτότητας Google
Το Authy και το Google Authenticator είναι και οι δύο εφαρμογές ελέγχου ταυτότητας που βασίζονται σε TOTP. Και οι δύο δημιουργούν 6 ψηφία κωδικούς κάθε 30 δευτερόλεπτα με βάση ένα μυστικό κλειδί που μοιράζεται κατά τη διάρκεια της εγκατάστασης (συνήθως με σάρωση ενός κώδικα QR). Το Laravel Fortify εργάζεται άψογα με οποιαδήποτε εφαρμογή πελάτη που υποστηρίζει αυτό το πρότυπο. Ως εκ τούτου, μπορείτε να χρησιμοποιήσετε απολύτως το Authy αντί του Google Authenticator με Laravel Fortify.
Βασικά σημεία σχετικά με το Authy και το Google Authenticator στο πλαίσιο αυτό:
- Συμβατότητα: Η Authy χρησιμοποιεί το ίδιο πρότυπο TOTP με τον Authenticator Google, οπότε οποιαδήποτε ρύθμιση 2FA στο Laravel Fortify θα συνεργαστεί με την εφαρμογή χωρίς καμία αλλαγή στο backend Laravel.
-Εμπειρία χρήστη: Το Authy προσφέρει ορισμένα πλεονεκτήματα έναντι του Authenticator Google, όπως οι μάρκες συγχρονισμού σε συσκευές (υποστήριξη πολλαπλών συσκευών), κρυπτογραφημένα αντίγραφα ασφαλείας σύννεφων και εφαρμογές επιφάνειας εργασίας (ιστορικά, επί του παρόντος κινητά-κεντρικά), τα οποία μπορούν να δημιουργήσουν μια καλύτερη εμπειρία χρήστη.
- Ασφάλεια: Η Authy διαθέτει επιλογές για την προστασία των PIN και τη βιομετρική ασφάλεια στην εφαρμογή και κρυπτογραφημένα αντίγραφα ασφαλείας, ενώ ο έλεγχος του Google Authenticator στερείται κρυπτογραφημένων αντιγράφων ασφαλείας σύννεφων και συγχρονισμού πολλαπλών συσκευών. Αυτά τα χαρακτηριστικά μπορεί να κάνουν το Authy πιο φιλικό προς το χρήστη και ανθεκτική κατά της απώλειας συσκευών από την οπτική γωνία του χρήστη.
- Ρύθμιση στο Laravel Fortify: Η μόνη αλλαγή στην υλοποίηση Laravel Fortify θα ήταν να παράσχετε τον κώδικα QR ή το μυστικό κλειδί του χρήστη για σάρωση στο Authy αντί του Google Authenticator. Δεδομένου ότι και οι δύο εφαρμογές διαβάζουν την ίδια μορφή, ο κωδικός QR Fortify δημιουργεί λειτουργεί από το κουτί με οποιαδήποτε εφαρμογή.
Εφαρμογές
1. Οθόνη κωδικού QR Frontend: Όταν ενεργοποιείτε το 2FA, το Fortify δημιουργεί συνήθως έναν κωδικό QR με βάση το μυστικό κλειδί. Αυτός ο κωδικός QR μπορεί να σαρωθεί από εφαρμογές Authy ή Google Authenticator. Το frontend σας πρέπει απλώς να καταστήσει αυτόν τον κώδικα QR και ο χρήστης μπορεί να επιλέξει την προτιμώμενη εφαρμογή του. Δεν απαιτούνται αλλαγές κώδικα backend.
2. Βήμα επιβεβαίωσης: Ένα ζήτημα που αντιμετωπίζει μερικές φορές με το Laravel Fortify είναι ότι το 2FA χωρίς να επιβεβαιώσει τον εισαγόμενο κωδικό μπορεί να κλειδώσει τους χρήστες αν δεν ολοκληρώσουν σωστά τη ρύθμιση. Η εφαρμογή ενός βήματος επιβεβαίωσης όπου ο χρήστης εισέρχεται σε έναν κωδικό που παράγεται από το Authy (ή τον έλεγχο ταυτότητας Google) μετά τη σάρωση του κώδικα QR είναι μια βέλτιστη πρακτική. Αυτό ισχύει ανεξάρτητα από την χρησιμοποιούμενη εφαρμογή ελέγχου ταυτότητας.
3. Κωδικοί ανάκτησης: Το FORTIFY παρέχει κωδικούς αποκατάστασης για παράκαμψη 2FA εάν ο χρήστης χάσει την πρόσβαση στην εφαρμογή Authenticator. Αυτοί οι κωδικοί λειτουργούν ανεξάρτητα από την επιλογή της εφαρμογής (Authy ή Google Authenticator).
Περίληψη των διαφορών από την άποψη του χρήστη
- Authy Πλεονεκτήματα: **
- Υποστήριξη πολλαπλών συσκευών και αυτόματος συγχρονισμός των Tokens 2FA.
- κρυπτογραφημένα αντίγραφα ασφαλείας σύννεφων για να αποφευχθεί η απώλεια μαρκών στην απώλεια συσκευών.
- Προαιρετική ασφάλεια και βιομετρική ασφάλεια για την εφαρμογή.
- Υποστήριξη εφαρμογών επιφάνειας εργασίας και προγράμματος περιήγησης (αν και ορισμένες εφαρμογές επιφάνειας εργασίας διακόπηκαν από τις αρχές του 2024).
- Ο έλεγχος ταυτότητας βάσει ώθησης (αν και δεν είναι το Standard TOTP, πιο σημαντικό για άλλες υλοποιήσεις).
- Πλεονεκτήματα Authenticator Google: **
- ευρύτερα γνωστή και υποστηριζόμενη από πολλές υπηρεσίες.
- απλούστερη εφαρμογή, λιγότερο σύνθετη υποδομή υποστήριξης (χωρίς λογαριασμούς, χωρίς αντίγραφα ασφαλείας).
- εντελώς εκτός σύνδεσης μετά την αρχική ρύθμιση (χωρίς αντίγραφα ασφαλείας σύννεφων).
Από την άποψη της ενσωμάτωσης Laravel Fortify, αυτές οι διαφορές δεν έχουν καμία συνέπεια, αφού οι κωδικοί TOTP από οποιαδήποτε εφαρμογή επικυρώνονται με τον ίδιο τρόπο με το Fortify.
Πρόσθετες σημειώσεις σχετικά με τη χρήση Fortify
Το Laravel Fortify δεν παρέχει προβολές frontend ή UI. Παρέχει υπηρεσίες backend για έλεγχο ταυτότητας. Πολλοί προγραμματιστές χρησιμοποιούν το Fortify με το Laravel Jetstream ή άλλα κιτ UI. Ανεξάρτητα από το UI, το κλειδί είναι ότι το Fortify δημιουργεί τους κωδικούς 2FA Secret και επικυρώνει, αφήνοντας την επιλογή της εφαρμογής Authenticator στον χρήστη.
Εάν η προσαρμογή απαιτείται για τη βελτίωση της ανάκτησης UX ή της χειρισμού του λογαριασμού (προσθέτοντας μια σημαία "Two_Factor_Confirmed", προσαρμογή προβολών κ.λπ.), μπορεί να εφαρμοστεί στο στρώμα Fortify, αλλά είναι ανεξάρτητη από την επιλογή μεταξύ Authy και Google Authenticator.
Συμπέρασμα
Ναι, μπορείτε να χρησιμοποιήσετε το Authy αντί του Google Authenticator στο Laravel Fortify χωρίς καμία αλλαγή που απαιτείται για την υλοποίηση του backend 2FA. Και οι δύο εφαρμογές χρησιμοποιούν το ίδιο πρότυπο TOTP που υποστηρίζεται πλήρως από το Fortify. Η επιλογή της Authy μπορεί να προσφέρει βελτιωμένες λειτουργίες χρηστικότητας και δημιουργίας αντιγράφων ασφαλείας για τους χρήστες σας, ειδικά σε σενάρια απώλειας συσκευών ή πρόσβασης πολλαπλών συσκευών, αλλά από την άποψη του προγραμματιστή Laravel, η ολοκλήρωση παραμένει η ίδια. Οι χρήστες απλά σαρώνουν τον κώδικα QR που παρέχεται από την Fortify με την προτιμώμενη εφαρμογή τους για τη ρύθμιση 2FA.
Αυτή η ευελιξία είναι από το σχεδιασμό, επιτρέποντας στο Laravel να ορίσει να συνεργαστεί με οποιαδήποτε εφαρμογή που δημιουργεί τυπικούς κωδικούς TOTP, συμπεριλαμβανομένων, ενδεικτικά, του Authenticator Google, του Authy, του Microsoft Authenticator και άλλων.