摘要：在登錄后臺時也是必須認證才行。使用這種總比粗暴的限制訪問來保護安全要高效的多，一切都是為了自動化，為了提高生產率。總結本文主要學習使用這個神器來做，并學習了如何使用集成進程序中。我司最近需要一名伙伴一起共同航海去，有興趣速來。

說明：本文主要研究利用Duo來實現雙重認證，Two-Factor Authentication就是除了username-password這種登錄認證之外，還使用第二層安全認證，引用官網What is Two-Factor Authentication?的一句話:

A second layer of security to your login, in addition to your password.

這里，就是使用Duo來實現二次安全認證，保護程序防止被惡意者登錄。需要實現二次登錄認證的場景還是很多的，如登錄云服務器AWS或Aliyun時只是賬號密碼登錄是遠遠不夠，安全性較差，如果登錄AWS的private key被別人知道了，那惡意者也會登錄到你的AWS，那就麻煩了，代碼豈不暴露了；還有公司內部的一些后臺網站，如果只是username-password這種基本認證也遠不夠安全，如果被別人知道了賬號密碼登陸進去那就泄露了公司秘密了，限制IP登錄也挺麻煩的，那豈不是除了公司外其他地方不能訪問內部網站了，如果想在家訪問一個業務的后臺就麻煩了。

使用Duo來做多一層保護會更安全，Duo的Web Application Protection工作原理如圖：

上圖描述的主要內容就是除了輸入基本的賬號密碼認證外，還得經過Duo的二次認證。如在我司在登錄AWS云時，除了private key認證外，還得必須經過Duo安全認證才能安全登錄AWS，Duo認證選擇的方式是Mobile Push Notification，這樣當有惡意者知道了個人的private key想要登錄AWS，個人的手機就會收到Duo Push Notification，只有個人在手機上選擇Approve才能登錄，而且也知道了private key被盜取了趕緊換一個key做補救措施。在登錄后臺時也是必須Duo認證才行。實際上，Duo還能集成進Github上，這樣登錄Github時也必須經過Duo認證，就算被知道了賬號密碼也不會被登錄個人的Github賬號。

這里主要學習下如何利用Duo來Protect Web Application，這里假設Web程序是Laravel寫的，看如何集成進Laravel中實現二次認證。假設由于業務需求，有一個后臺Admin，并是username-password這種HTTP Basic Authentication的(很多時候username-password認證在公司內都是SSO{Single Sign On}，多個系統只需要一套username-password，這個可以使用Atlassian Crowd來做，以后再聊這個Crowd)。

開發環境：Laravel5.3 + PHP7

進去Duo官網注冊個賬號先，Duo Pricing對個人使用不超過10個用戶時是免費的，其余套餐的價格也很便宜。然后在手機端下載個Duo應用。最后使用Duo賬號登錄進后臺，后臺登錄使用Push認證，這樣Duo Mobile App就會收到Push Notification，選擇Approve就會自動登錄Duo 后臺：

登錄后臺，創建一個Application獲取keys，不同的Application有不同的keys，這樣可以不同的Admin后臺使用不同Application的keys，方便管理：

選擇Web SDK，因為本文是學習使用Duo的SDK集成進Admin后臺，來保護后臺Admin程序：

這樣就得到了名叫Web SDK的Application了，并得到了對應的Integration key,Secret key,API hostname這三個keys，后續集成SDK時需要這三個keys:

把Duo SDK集成進Laravel中實際上就是多加一個Middleware，這里假設名為auth.duo，先做個中間件：

php artisan make:middleware DuoTwoFactorAuthentication

然后寫上中間件代碼，首先經過username-password第一層認證(這里假設是HTTP Basic Authentication)，然后再是Duo Authentication第二層認證，最后認證通過再$next($request)：

guest()) {
            // Basic authentication is not set.
            return response("Unauthorized.", Response::HTTP_UNAUTHORIZED);
        } elseif ($request->session()->get(TwoFactorAuthenticationController::SESSION_KEY) == Auth::guard($guard)->user()->getAuthIdentifier()) {
            return $next($request);
        } else {
            // Duo Authentication
            // Basic authentication is set, but the duo middleware is not set.
            return redirect()->guest("/2fa");
        }
    }
}

并在AppHttpKernel中加上auth.duo:

    protected $routeMiddleware = [
        "auth"       => IlluminateAuthMiddlewareAuthenticate::class,
        "auth.basic" => IlluminateAuthMiddlewareAuthenticateWithBasicAuth::class,
        "auth.crowd" => MiddlewareCrowdAuthentication::class,
        "auth.duo"   => MiddlewareDuoTwoFactorAuthentication::class,
        "bindings"   => IlluminateRoutingMiddlewareSubstituteBindings::class,
        "can"        => IlluminateAuthMiddlewareAuthorize::class,
        "guest"      => MiddlewareRedirectIfAuthenticated::class,
        "throttle"   => IlluminateRoutingMiddlewareThrottleRequests::class,
    ];

然后寫上路由就行web.php，這里是使用auth.basicLaravel自帶的HTTP Basic Authentication(使用Crowd SSO登錄以后再聊):

//Route::group(["middleware" => "auth.crowd"], function () {
Route::group(["middleware" => "auth.basic"], function () {
    Route::get("/2fa", "TwoFactorAuthenticationController@get");
    Route::post("/2fa", "TwoFactorAuthenticationController@post");

    Route::group(["middleware" => "auth.duo"], function () {
        Route::get("/duo", function () {
            return "Duo Authentication";
        });
    });
    
    Route::get("/duo/users", function () {
        return view("users");
    });
    
    Route::get("/duo/accounts", function () {
        return view("accounts");
    });
    // and so on
});

這樣Admin程序后臺路由是http://sentry.app:8888/duo(假設本地配置的host是sentry.app:8888)，但需要經過HTTP Basic Authentication這個第一層認證，HTTP Basic Authentication就是根據輸入的username-password來查詢users表中有沒有對應的user，這里先在users表中造一個，使用Laravel自帶的Auth Scaffold，然后使用Register功能往users表中插入一個user，這樣也方便：

php artisan make:auth

然后輸入http://sentry.app:8888/register往users表插入一個username: user@example.com,password: lx1036：

根據官方文檔Duo Web中說明，需要安裝一個package:

composer require duosecurity/duo_php

然后加上控制器TwoFactorAuthenticationController，這里需要向session中寫入$user_id，這里使用redis作為session驅動，記得修改.env中SESSION_DRIVER=redis:

php artisan make:controller TwoFactorAuthenticationController


 config("services.duo.host"),
            "sig_request" => Web::signRequest(
                config("services.duo.integration_key"),
                config("services.duo.secret_key"),
                config("services.duo.application_key"),
                Auth::user()->getAuthIdentifier()
            ),
            "post_action" => url("2fa"),
        ]);
    }

    public function post(Request $request)
    {
        $user_id = Web::verifyResponse(
            config("services.duo.integration_key"),
            config("services.duo.secret_key"),
            config("services.duo.application_key"),
            $request->input("sig_response")
        );

        if ($user_id == Auth::user()->getAuthIdentifier()) {
            $request->session()->put(self::SESSION_KEY, $user_id);

            return redirect()->intended("/duo");
        } else {
            abort(Response::HTTP_UNAUTHORIZED);
        }
    }
}


// config/services.php
    "duo" => [
        "host"            => env("DUO_HOST"),
        "integration_key" => env("DUO_IKEY"),
        "secret_key"      => env("DUO_SKEY"),
        "application_key" => env("DUO_AKEY"),
    ],

記得在.env文件中寫入DUO_HOST,DUO_IKEY,DUO_SKEY這三個從Web SDK 這個Application中得到的keys，DUO_AKEY根據官方文檔是個人生成的，這里選擇Laravel的APP_KEY。

最后按照官方文檔的格式，把view頁面寫上：

// resources/views/duo/2fa.blade.php
@extends("layouts.duo")

@section("content")
    

        
Two Factor Authentication
        
        

            {{csrf_field()}}
        
    
@stop


@section("js")
    
    
    
@endsection

// resources/views/layouts/duo.blade.php


  
    
    
    
    

    
    
  
  
    

        

            @yield("content")
        
    

    @yield("js")
    
    
    
    
  


// public/css/duo/duo.css
#duo_iframe {
    width: 100%;
    min-width: 304px;
    max-width: 620px;
    height: 330px;
}

#duo {
    align-content: center;
    margin: auto;
}

其中，Duo-Web-v2.min.js是duosecurity/duo_php這個package里就有的，拷貝過來就行。

然后輸入路由http://sentry.app:8888/duo會彈出Basic Authentication Form，輸入剛剛注冊的user@example.com,lx1036實現第一層認證后，再根據中間件DuoTwoFactorAuthentication的return redirect()->guest("/2fa");邏輯就會跳轉到/2fa頁面實現第二層認證：

選擇Send me a Push后，手機端Duo APP就會就會收到Push Notification了，當然前提是手機端Duo已經登錄了。選擇Approve后桌面端程序就自動跳轉到路由http://sentry.app:8888/duo，這次走的中間件DuoTwoFactorAuthentication中邏輯是$request->session()->get(TwoFactorAuthenticationController::SESSION_KEY) == Auth::guard($guard)->user()->getAuthIdentifier()，這樣程序就經過二次認證了，程序就進入登陸后的頁面，這里只是簡單顯示Duo Authentication：

It is working.

有了Duo這個神器，就很安全的實現二次認證了，這里是展示了如何使用Web SDK來保護Web Application，需要編碼，還可以在Duo后臺配置實現服務器登錄的二次認證，這些就是配置下就行，不需要編碼，當然Duo還有很多其他集成來實現二次保護。使用這種Modern Security Protection總比粗暴的限制IP訪問來保護安全要高效的多，一切都是為了自動化，為了提高生產率。Duo已經在我司RightCapital長時間使用了，用起來還很順手，值得推薦下。

總結：本文主要學習使用Duo這個神器來做Two Factor Authentication，并學習了如何使用Web SDK集成進Laravel程序中。以后遇到好的技術再分享下，到時見。

我司最近需要一名伙伴一起共同航海去，有興趣速來Profile。

歡迎關注Laravel-China。

RightCapital招聘Laravel DevOps