Two Factor Authentication (2FA)

[internet]

Hallo,

ich befasse mich gerade mit der 2FA und möchte das gerne in meine App integrieren:

Mir ist noch nicht ganz klar, was ich selbst als App - Betreiber hier speichern muss.
1) Lese ich das richtig, dass ich in der Datenbank meiner App den "secret key" speichern muss.
2) Wann muss ich diesen gespeicherten Code wiederum aufrufen in der App?

Hier findet man ein gutes Beispiel:

Two-Factor Authentication with Java and Google Authenticator

I am more than sure that each of you have at least one account with enabled Two-Factor Authentication (2FA). But if you are still…

medium.com

oder auch:

GitHub - j256/two-factor-auth: Two Factor Authentication Java code implementing the Time-based One-time Password Algorithm

Two Factor Authentication Java code implementing the Time-based One-time Password Algorithm - j256/two-factor-auth

github.com

Der Workflow wäre dann so:
- User gibt über Login Maske sein Username / Password ein
- Prüfung, ob 2FA aktiv ist
- Wenn ja: Weiterleitung auf weitere Seite mit der Eingabe eines Codes
- User geht in seine mobile App (zB Google Authenticator) und Code wird erstellt
- Code wird abgescannt (QR Code) mittels der App
- Diesen Code gibt er wiederum auf meiner App Seite ein
- Anschließend wird eine Methode bei mir aufgerufen, der dies validiert.
-> Diesen Part verstehe ich noch nicht. Liegt dahinter ein entsprechendes Algorythmus oder wie wird dies validiert?
- Wenn Code richtig ist, dann Weiterleitung und Login auf App Seite Hauptseite

Danke für eine kurze Erklärung und Beantwortung der oben genannten Fragen.

 

[EinNickname9]

Den Secret Key verwaltest DU! D.h. DU erstelltst und speicherst ihn, nicht deine App. Das wäre total doof wenn es anders wäre. So sollte der Ablauf sein: Benutzer gibt Code ein, dieser wird an den Server gesendet, wo der Abgleich stattfindet. Der Server gestattet daraufhin den Login. Grüße