Potresti voler controllare PrivacyIDEA e il loro prodotto e codice - hanno un'implementazione funzionante in python, e penso che potresti usare la loro API per uno o entrambi i round di autenticazione.

link

Non è privo di pochi spigoli qua e là (di certo non vuoi lasciarlo libero sul tuo DB utente senza qualche test), ma potresti fornirti un servizio che puoi usare mentre fai delle ricerche, o un implementazione concreta da cui puoi basare

Che ne dici di non avere una pagina separata per il codice a due fattori?

Sulla tua pagina di accesso standard, disponi di un campo nascosto e facoltativo per il codice 2FA - quando esegui il login fallo in Javascript in modo che possa controllare se l'account ha attivato 2FA e, in tal caso, rendere visibile il campo e lasciare che il l'utente riprova?

Questo evita di dover ricordare se l'utente ha effettuato il login con la password, dal momento che al secondo tentativo la tua richiesta di accesso conterrà sia la password che il codice 2FA, a quel punto potrai verificarli e concedere / negare l'accesso.

Gandi.net implementa qualcosa come questo. Quando si effettua l'accesso con 2FA abilitato, si restituisce la stessa pagina di accesso con il proprio nome utente / password già presente e un campo aggiuntivo per il codice 2FA. Possiamo dire che rimandare la password non è perfetta (anche se la superficie di attacco è IMO molto piccola), ecco perché ho proposto di farlo in Javascript, in questo modo il server non deve restituire la password, poiché semplicemente non aggiornare la pagina e conservare quella esistente.

Penso che qui ci sia qualcosa di sbagliato nell'autenticazione a due fattori con OTP!

Comportamento predefinito

Immagina un'applicazione web che autentica l'utente con nome utente e password. L'immagine è implementata per le tue esigenze e tu stai bene con quello. Ci sono degli standard per farlo.

Ora: OTP non cambia nulla con questo. Non cambierai cookie, sessione, JWTs. Con OTP hai solo aggiungi il secondo fattore alla password.

Fino a quando l'utente ha inserito

• nome utente
• Password

Questo viene inviato all'applicazione, l'applicazione lo verifica e restituisce una sessione all'utente.

Aggiungi 2 ° fattore

Quando aggiungi un secondo fattore l'utente inserisce:

• nome utente
• password + OTP

questo viene inviato all'applicazione e l'applicazione verifica password + OTP e, se tutto è a posto, restituisce una sessione nello stesso modo di prima. Nessun voodo coinvolto qui.

Per quanto riguarda i tuoi obiettivi, potresti prendere in considerazione il flusso di processo per Multi-Factor come descritto da PCI-DSS (anche se potrebbe non essere direttamente applicabile alla tua situazione ora, potrebbe eventualmente un giorno) nel seguente documento :

Verifica il capitolo: Multi-step vs. Multi-Factor a pagina 5

SUPPLEMENTO DELL'INFORMAZIONE Autenticazione a più fattori Versione: 1.0 Data: febbraio 2017 Autore: PCI Security Standards Council

link