બ્લોકચેન પર 2FA સુરક્ષિત કરવા માટે આગળ વધો

એસએમએસ સંદેશાઓ એ ટુ-ફેક્ટર ઓથેન્ટિકેશન (2FA)ની સૌથી લોકપ્રિય પદ્ધતિ છે. તેનો ઉપયોગ બેંકો, ઇલેક્ટ્રોનિક અને ક્રિપ્ટો વોલેટ્સ, મેઇલબોક્સ અને તમામ પ્રકારની સેવાઓ દ્વારા થાય છે; પદ્ધતિ વપરાશકર્તાઓની સંખ્યા 100% નજીક આવી રહી છે.

હું આ દૃશ્ય પર નારાજ છું, કારણ કે આ પદ્ધતિ અસુરક્ષિત છે. મોબાઇલ યુગની શરૂઆતમાં એક સિમ કાર્ડમાંથી બીજા નંબરને ફરીથી સોંપવાનું શરૂ થયું - જ્યારે સિમ કાર્ડ ખોવાઈ જાય ત્યારે આ રીતે નંબર પુનઃસ્થાપિત થાય છે. "ડિજિટલ મની ચોરીના નિષ્ણાતો" ને સમજાયું કે "રીરાઇટ સિમ કાર્ડ" વિકલ્પનો ઉપયોગ કપટપૂર્ણ યોજનાઓમાં થઈ શકે છે. છેવટે, જે સિમ કાર્ડને નિયંત્રિત કરે છે તે અન્ય લોકોની ઑનલાઇન બેંકિંગ, ઇલેક્ટ્રોનિક વૉલેટ્સ અને ક્રિપ્ટોકરન્સીને પણ નિયંત્રિત કરી શકે છે. અને તમે ટેલિકોમ કર્મચારીને લાંચ આપીને, છેતરપિંડી અથવા બનાવટી દસ્તાવેજોનો ઉપયોગ કરીને અન્ય વ્યક્તિનો નંબર કબજે કરી શકો છો.

આ છેતરપિંડી યોજના તરીકે ઓળખાતા સિમ સ્વેપિંગના હજારો એપિસોડનો પર્દાફાશ થયો છે. આપત્તિનું પ્રમાણ સૂચવે છે કે વિશ્વ ટૂંક સમયમાં SMS દ્વારા 2FAને છોડી દેશે. પરંતુ આવું થતું નથી - માં સંશોધન તેઓ કહે છે કે તે વપરાશકર્તાઓ નથી કે જેઓ 2FA પદ્ધતિ પસંદ કરે છે, પરંતુ સેવા માલિકો છે.

અમે બ્લોકચેન દ્વારા વન-ટાઇમ કોડની ડિલિવરી સાથે સુરક્ષિત 2FA પદ્ધતિનો ઉપયોગ કરવાનો પ્રસ્તાવ આપીએ છીએ, અને અમે તમને કહીશું કે સેવાના માલિક તેને કેવી રીતે કનેક્ટ કરી શકે છે.

આંકડો લાખોમાં જાય છે

2019 માં, લંડન પોલીસ અનુસાર સિમ સ્વેપ છેતરપિંડી 63% વધી, અને હુમલાખોરનું "સરેરાશ બિલ" 4,000 GBP હતું. મને રશિયામાં કોઈ આંકડા મળ્યા નથી, પરંતુ હું માનું છું કે તે વધુ ખરાબ છે.

સિમ સ્વેપિંગનો ઉપયોગ લોકપ્રિય Twitter, Instagram, Facebook, VK એકાઉન્ટ્સ, બેંક એકાઉન્ટ્સ અને તાજેતરમાં ક્રિપ્ટોકરન્સીની ચોરી કરવા માટે થાય છે - ધ ટાઇમ્સ અખબાર અહેવાલ આપે છે Bitcoin ઉદ્યોગસાહસિક જોબી વીક્સ અનુસાર. સિમ સ્વેપિંગનો ઉપયોગ કરીને ક્રિપ્ટોકરન્સીની ચોરીના હાઈ-પ્રોફાઈલ કેસ 2016 થી પ્રેસમાં પોપ અપ થઈ રહ્યા છે; 2019 એ વાસ્તવિક શિખર જોયું.

મે મહિનામાં, મિશિગનના પૂર્વીય જિલ્લા માટે યુ.એસ. એટર્ની ઓફિસ આરોપો લાવ્યા 19 થી 26 વર્ષની વય વચ્ચેના નવ યુવાનો: તેઓ “ધ કોમ્યુનિટી” નામની હેકર ગેંગનો ભાગ હોવાનું માનવામાં આવે છે. આ ગેંગ પર સાત સ્વેપ હુમલાનો આરોપ છે, જેના પરિણામે હેકર્સે $2,4 મિલિયનથી વધુની કિંમતની ક્રિપ્ટોકરન્સીની ચોરી કરી હતી. અને એપ્રિલમાં, કેલિફોર્નિયાના વિદ્યાર્થી જોએલ ઓર્ટિઝને સિમ સ્વેપિંગ માટે 10 વર્ષની જેલની સજા મળી; તેનું ઉત્પાદન $7.5 મિલિયન ક્રિપ્ટોકરન્સીમાં હતું.

યુનિવર્સિટીની પ્રેસ કોન્ફરન્સમાં જોએલ ઓર્ટીઝનો ફોટો. બે વર્ષ પછી તેને સાયબર ફ્રોડ માટે અટકાયતમાં લેવામાં આવશે.

સિમ સ્વેપ કેવી રીતે કામ કરે છે

"સ્વેપિંગ" એટલે વિનિમય. આવી તમામ યોજનાઓમાં, ગુનેગારો પીડિતનો ફોન નંબર લઈ લે છે, સામાન્ય રીતે સિમ કાર્ડ ફરીથી જારી કરીને, અને પાસવર્ડ રીસેટ કરવા માટે તેનો ઉપયોગ કરે છે. સિદ્ધાંતમાં એક લાક્ષણિક સિમ સ્વેપ આના જેવો દેખાય છે:

1. ગુપ્તચર સેવા. છેતરપિંડી કરનારાઓ પીડિતાની વ્યક્તિગત માહિતી શોધી કાઢે છે: નામ અને ફોન નંબર. તેઓ ખુલ્લા સ્રોતો (સામાજિક નેટવર્ક્સ, મિત્રો) માં શોધી શકાય છે અથવા કોઈ સાથી - મોબાઇલ ઓપરેટરના કર્મચારી પાસેથી પ્રાપ્ત થઈ શકે છે.
2. બ્લોકીંગ. પીડિતનું સિમ કાર્ડ નિષ્ક્રિય કરવામાં આવ્યું છે; આ કરવા માટે, ફક્ત પ્રદાતાના તકનીકી સપોર્ટને કૉલ કરો, નંબર પ્રદાન કરો અને કહો કે ફોન ખોવાઈ ગયો છે.
3. કેપ્ચર કરો, તમારા સિમ કાર્ડમાં નંબર ટ્રાન્સફર કરો. સામાન્ય રીતે આ ટેલિકોમ કંપનીના સાથી દ્વારા અથવા દસ્તાવેજોની બનાવટી દ્વારા પણ કરવામાં આવે છે.

વાસ્તવિક જીવનમાં વસ્તુઓ વધુ ગંભીર છે. હુમલાખોરો પીડિતને પસંદ કરે છે અને પછી દરરોજ ફોનનું સ્થાન ટ્રૅક કરે છે - સબ્સ્ક્રાઇબરે રોમિંગ પર સ્વિચ કર્યું છે તે માહિતી મેળવવા માટે એક વિનંતીનો ખર્ચ 1-2 સેન્ટનો થાય છે. જલદી સિમ કાર્ડના માલિક વિદેશ ગયા છે, તેઓ નવું સિમ કાર્ડ આપવા માટે કોમ્યુનિકેશન સ્ટોરના મેનેજર સાથે વાટાઘાટો કરે છે. તેની કિંમત લગભગ $50 છે (મને માહિતી મળી - વિવિધ દેશોમાં અને $20 થી $100 સુધીના વિવિધ ઓપરેટરો સાથે), અને સૌથી ખરાબ કિસ્સામાં મેનેજરને બરતરફ કરવામાં આવશે - આ માટે કોઈ જવાબદારી નથી.

હવે બધા એસએમએસ હુમલાખોરો દ્વારા પ્રાપ્ત થશે, અને ફોનના માલિક તેના વિશે કંઈપણ કરી શકશે નહીં - તે વિદેશમાં છે. અને પછી વિલન પીડિતાના તમામ એકાઉન્ટ્સ સુધી પહોંચે છે અને ઈચ્છે તો પાસવર્ડ બદલી નાખે છે.

ચોરાયેલી સંપત્તિ પરત મળવાની શક્યતા

બેંકો ક્યારેક પીડિતોને અડધા રસ્તે સમાવી લે છે અને તેમના ખાતામાંથી ટ્રાન્સફર પાછી ખેંચી લે છે. તેથી, ગુનેગાર ન મળે તો પણ ફિયાટ મની પરત કરવાનું શક્ય છે. પરંતુ ક્રિપ્ટોકરન્સી વોલેટ્સ સાથે બધું વધુ જટિલ છે - અને તકનીકી રીતે, અને કાયદાકીય રીતે. અત્યાર સુધી, એક પણ એક્સચેન્જ/વોલેટે સ્વેપિંગનો ભોગ બનેલા લોકોને વળતર ચૂકવ્યું નથી.

જો પીડિતો કોર્ટમાં તેમના પૈસાનો બચાવ કરવા માંગે છે, તો તેઓ ઓપરેટરને દોષ આપે છે: તેણે ખાતામાંથી પૈસાની ચોરી માટે શરતો બનાવી. તે બરાબર છે જે મેં કર્યું માઈકલ ટર્પિન, જેમણે સ્વેપિંગને કારણે $224 મિલિયન ગુમાવ્યા. તે હવે ટેલિકોમ્યુનિકેશન કંપની AT&T સામે દાવો કરી રહ્યો છે.

અત્યાર સુધી, કોઈપણ રાજ્યમાં ક્રિપ્ટોકરન્સીના માલિકોને કાયદેસર રીતે સુરક્ષિત કરવા માટે કાર્યકારી યોજનાઓ નથી. તમારી મૂડીનો વીમો લેવો અથવા તેના નુકસાન માટે વળતર મેળવવું અશક્ય છે. તેથી, સ્વેપ હુમલાને અટકાવવું તેના પરિણામો સાથે વ્યવહાર કરતાં વધુ સરળ છે. સૌથી સ્પષ્ટ રીત 2FA માટે વધુ વિશ્વસનીય "બીજા પરિબળ" નો ઉપયોગ કરવાનો છે.

એસએમએસ દ્વારા 2FA સાથે સિમ સ્વેપ એ એકમાત્ર સમસ્યા નથી

એસએમએસમાં પુષ્ટિકરણ કોડ તકનીકી દૃષ્ટિકોણથી પણ અસુરક્ષિત છે. સિગ્નલિંગ સિસ્ટમ 7 (SS7) માં અનપેચ્ડ નબળાઈઓને કારણે સંદેશાઓ અટકાવી શકાય છે. એસએમએસ પર 2એફએ સત્તાવાર રીતે અસુરક્ષિત તરીકે ઓળખાય છે (યુએસ નેશનલ ઇન્સ્ટિટ્યૂટ ઓફ સ્ટાન્ડર્ડ્સ એન્ડ ટેક્નોલોજી તેના ડિજિટલ પ્રમાણીકરણ માર્ગદર્શિકા).

તે જ સમયે, 2FA ની હાજરી ઘણીવાર વપરાશકર્તાને ખોટી સુરક્ષાનો અહેસાસ આપે છે, અને તે એક સરળ પાસવર્ડ પસંદ કરે છે. તેથી, આવી પ્રમાણીકરણ તેને મુશ્કેલ બનાવતું નથી, પરંતુ હુમલાખોર માટે એકાઉન્ટની ઍક્સેસ મેળવવાનું સરળ બનાવે છે.

અને ઘણીવાર SMS લાંબા વિલંબ સાથે આવે છે અથવા બિલકુલ આવતા નથી.

અન્ય 2FA પદ્ધતિઓ

અલબત્ત, લાઇટ સ્માર્ટફોન અને એસએમએસ પર કન્વર્જ થતી નથી. 2FA ની અન્ય પદ્ધતિઓ છે. ઉદાહરણ તરીકે, વન-ટાઇમ TAN કોડ્સ: એક આદિમ પદ્ધતિ, પરંતુ તે કાર્ય કરે છે - તે હજી પણ કેટલીક બેંકોમાં વપરાય છે. બાયોમેટ્રિક ડેટાનો ઉપયોગ કરતી સિસ્ટમ્સ છે: ફિંગરપ્રિન્ટ્સ, રેટિના સ્કેન. સગવડ, વિશ્વસનીયતા અને કિંમતની દ્રષ્ટિએ વાજબી સમાધાન જેવો બીજો વિકલ્પ 2FA: RSA Token, Google Authenticator માટે ખાસ એપ્લિકેશન છે. ભૌતિક કીઓ અને અન્ય પદ્ધતિઓ પણ છે.

સિદ્ધાંતમાં, બધું તાર્કિક અને વિશ્વસનીય લાગે છે. પરંતુ વ્યવહારમાં, આધુનિક 2FA સોલ્યુશન્સમાં સમસ્યાઓ છે, અને તેના કારણે, વાસ્તવિકતા અપેક્ષાઓથી અલગ છે.

અનુસાર સંશોધન, 2FA નો ઉપયોગ એ સૈદ્ધાંતિક રીતે અસુવિધા છે, અને SMS દ્વારા 2FA ની લોકપ્રિયતા "અન્ય પદ્ધતિઓની તુલનામાં ઓછી અસુવિધા" દ્વારા સમજાવવામાં આવી છે - એક-વખતના કોડ્સ પ્રાપ્ત કરવા એ વપરાશકર્તા માટે સમજી શકાય તેવું છે.

વપરાશ ખોવાઈ જવાના ડર સાથે વપરાશકર્તાઓ ઘણી 2FA પદ્ધતિઓને સાંકળે છે. ભૌતિક કી અથવા TAN પાસવર્ડ્સની સૂચિ ખોવાઈ અથવા ચોરાઈ શકે છે. Google Authenticator સાથે મને અંગત રીતે ખરાબ અનુભવો થયા છે. આ એપ્લિકેશન સાથેનો મારો પ્રથમ સ્માર્ટફોન તૂટી ગયો - મારા એકાઉન્ટ્સની ઍક્સેસ પુનઃસ્થાપિત કરવાના મારા પ્રયત્નોની પ્રશંસા કરો. બીજી સમસ્યા નવા ઉપકરણ પર સ્વિચ કરવાની છે. સુરક્ષા કારણોને લીધે Google પ્રમાણકર્તા પાસે નિકાસ વિકલ્પ નથી (જો કી નિકાસ કરી શકાય છે, તો ત્યાં શું સુરક્ષા છે?). એકવાર મેં જાતે જ ચાવીઓ લઈ લીધી, અને પછી મેં નક્કી કર્યું કે જૂના સ્માર્ટફોનને શેલ્ફ પરના બૉક્સમાં રાખવું વધુ સરળ હતું.

2FA પદ્ધતિ આ હોવી જોઈએ:

• સુરક્ષિત - ફક્ત તમે જ નહીં કે હુમલાખોરોએ તમારા એકાઉન્ટની ઍક્સેસ મેળવવી જોઈએ
• વિશ્વસનીય - જ્યારે પણ તમને જરૂર હોય ત્યારે તમને તમારા એકાઉન્ટની ઍક્સેસ મળે છે
• અનુકૂળ અને સુલભ - 2FA નો ઉપયોગ સ્પષ્ટ છે અને ન્યૂનતમ સમય લે છે
• સસ્તુ

અમે માનીએ છીએ કે બ્લોકચેન એ સાચો ઉકેલ છે.

બ્લોકચેન પર 2FA નો ઉપયોગ કરો

વપરાશકર્તા માટે, બ્લોકચેન પર 2FA એ SMS દ્વારા વન-ટાઇમ કોડ્સ પ્રાપ્ત કરવા જેવું જ લાગે છે. તફાવત માત્ર ડિલિવરી ચેનલ છે. 2FA કોડ મેળવવા માટેની પદ્ધતિ બ્લોકચેન શું ઓફર કરે છે તેના પર આધાર રાખે છે. અમારા પ્રોજેક્ટમાં (માહિતી મારી પ્રોફાઇલમાં છે) આ એક વેબ એપ્લિકેશન છે, Tor, iOS, Android, Linux, Windows, MacOS.

સેવા વન-ટાઇમ કોડ જનરેટ કરે છે અને તેને બ્લોકચેન પરના મેસેન્જરને મોકલે છે. પછી ક્લાસિકને અનુસરો: વપરાશકર્તા સેવા ઇન્ટરફેસમાં પ્રાપ્ત કોડ દાખલ કરે છે અને લૉગ ઇન કરે છે.

લેખમાં બ્લોકચેન પર વિકેન્દ્રિત મેસેન્જર કેવી રીતે કાર્ય કરે છે? મેં લખ્યું છે કે બ્લોકચેન મેસેજ ટ્રાન્સમિશનની સુરક્ષા અને ગોપનીયતાને સુનિશ્ચિત કરે છે. 2FA કોડ્સ મોકલવાના મુદ્દા પર, હું હાઇલાઇટ કરીશ:

• એકાઉન્ટ બનાવવા માટે એક ક્લિક - કોઈ ફોન અથવા ઇમેઇલ નહીં.
• 2FA કોડ ધરાવતા તમામ સંદેશાઓ Encrypted End-to-End curve25519xsalsa20poly1305 છે.
• MITM હુમલાને બાકાત રાખવામાં આવ્યો છે - 2FA કોડ સાથેનો દરેક સંદેશ બ્લોકચેન પરનો વ્યવહાર છે અને તે Ed25519 EdDSA દ્વારા સહી થયેલ છે.
• 2FA કોડ સાથેનો સંદેશ તેના પોતાના બ્લોકમાં સમાપ્ત થાય છે. બ્લોકનો ક્રમ અને ટાઇમસ્ટેમ્પ સુધારી શકાતો નથી, અને તેથી સંદેશાઓનો ક્રમ.
• ત્યાં કોઈ કેન્દ્રીય માળખું નથી કે જે સંદેશની "પ્રમાણિકતા" તપાસે. આ સર્વસંમતિ પર આધારિત નોડ્સની વિતરિત સિસ્ટમ દ્વારા કરવામાં આવે છે, અને તે વપરાશકર્તાઓની માલિકીની છે.
• અક્ષમ કરી શકાતું નથી - એકાઉન્ટ્સ અવરોધિત કરી શકાતા નથી અને સંદેશા કાઢી શકાતા નથી.
• કોઈપણ ઉપકરણમાંથી કોઈપણ સમયે 2FA કોડ્સ ઍક્સેસ કરો.
• 2FA કોડ સાથે સંદેશ વિતરણની પુષ્ટિ. સેવા કે જે વન-ટાઇમ પાસવર્ડ મોકલે છે તે ખાતરીપૂર્વક જાણે છે કે તે વિતરિત કરવામાં આવ્યો છે. "ફરીથી મોકલો" બટન નથી.

કેટલીક અન્ય 2FA પદ્ધતિઓ સાથે સરખામણી કરવા માટે, મેં એક ટેબલ બનાવ્યું છે:

વપરાશકર્તા એક સેકન્ડમાં કોડ્સ પ્રાપ્ત કરવા માટે બ્લોકચેન મેસેન્જરમાં એકાઉન્ટ મેળવે છે - લોગ ઇન કરવા માટે માત્ર પાસફ્રેઝનો ઉપયોગ કરવામાં આવે છે. તેથી, એપ્લિકેશનની પદ્ધતિઓ અલગ હોઈ શકે છે: તમે બધી સેવાઓ માટે કોડ પ્રાપ્ત કરવા માટે એક એકાઉન્ટનો ઉપયોગ કરી શકો છો, અથવા તમે દરેક સેવા માટે એક અલગ એકાઉન્ટ બનાવી શકો છો.

એક અસુવિધા પણ છે - ખાતામાં ઓછામાં ઓછો એક વ્યવહાર હોવો આવશ્યક છે. વપરાશકર્તાને કોડ સાથે એન્ક્રિપ્ટેડ સંદેશ પ્રાપ્ત કરવા માટે, તમારે તેની સાર્વજનિક કી જાણવાની જરૂર છે, અને તે પ્રથમ વ્યવહાર સાથે જ બ્લોકચેનમાં દેખાય છે. આ રીતે અમે તેમાંથી બહાર નીકળવામાં વ્યવસ્થાપિત થયા: અમે તેમને તેમના વૉલેટમાં મફત ટોકન્સ પ્રાપ્ત કરવાની તક આપી. જો કે, એકાઉન્ટને સાર્વજનિક કી નામ આપવું એ વધુ સારો ઉપાય છે. (સરખામણી માટે, અમારી પાસે એકાઉન્ટ નંબર છે U1467838112172792705 જાહેર કીનું વ્યુત્પન્ન છે cc1ca549413b942029c4742a6e6ed69767c325f8d989f7e4b71ad82a164c2ada. મેસેન્જર માટે આ વધુ અનુકૂળ અને વાંચી શકાય તેવું છે, પરંતુ 2FA કોડ્સ મોકલવા માટેની સિસ્ટમ માટે તે મર્યાદા છે). મને લાગે છે કે ભવિષ્યમાં કોઈ આવો નિર્ણય લેશે અને “સુવિધા અને સુલભતા” ને ગ્રીન ઝોનમાં ખસેડશે.

2FA કોડ મોકલવાની કિંમત ખરેખર ઓછી છે - 0.001 ADM, હવે તે 0.00001 USD છે. ફરીથી, તમે તમારા બ્લોકચેનને વધારી શકો છો અને કિંમત શૂન્ય કરી શકો છો.

બ્લોકચેન પર 2FA ને તમારી સેવા સાથે કેવી રીતે કનેક્ટ કરવું

હું આશા રાખું છું કે હું થોડા વાચકોને તેમની સેવાઓમાં બ્લોકચેન અધિકૃતતા ઉમેરવા માટે રસ આપવા સક્ષમ હતો.

હું તમને અમારા મેસેન્જરનો ઉપયોગ કરીને આ કેવી રીતે કરવું તે એક ઉદાહરણ તરીકે કહીશ, અને સમાનતા દ્વારા તમે અન્ય બ્લોકચેનનો ઉપયોગ કરી શકો છો. 2FA ડેમો એપ્લિકેશનમાં અમે એકાઉન્ટ માહિતી સ્ટોર કરવા માટે postgresql10 નો ઉપયોગ કરીએ છીએ.

કનેક્શન સ્ટેજ:

1. બ્લોકચેન પર એક એકાઉન્ટ બનાવો જેમાંથી તમે 2FA કોડ મોકલશો. તમને એક પાસફ્રેઝ પ્રાપ્ત થશે, જેનો ઉપયોગ કોડ્સ સાથેના સંદેશાઓને એન્ક્રિપ્ટ કરવા અને વ્યવહારો પર હસ્તાક્ષર કરવા માટે ખાનગી કી તરીકે થાય છે.
2. 2FA કોડ જનરેટ કરવા માટે તમારા સર્વરમાં સ્ક્રિપ્ટ ઉમેરો. જો તમે પહેલેથી જ વન-ટાઇમ પાસવર્ડ ડિલિવરી સાથે કોઈપણ અન્ય 2FA પદ્ધતિનો ઉપયોગ કરી રહ્યાં છો, તો તમે આ પગલું પહેલેથી જ પૂર્ણ કરી લીધું છે.
3. બ્લોકચેન મેસેન્જરમાં વપરાશકર્તાને કોડ મોકલવા માટે તમારા સર્વર પર એક સ્ક્રિપ્ટ ઉમેરો.
4. 2FA કોડ મોકલવા અને દાખલ કરવા માટે વપરાશકર્તા ઇન્ટરફેસ બનાવો. જો તમે પહેલેથી જ વન-ટાઇમ પાસવર્ડ ડિલિવરી સાથે કોઈપણ અન્ય 2FA પદ્ધતિનો ઉપયોગ કરી રહ્યાં છો, તો તમે આ પગલું પહેલેથી જ પૂર્ણ કરી લીધું છે.

1 એકાઉન્ટ બનાવો

બ્લોકચેનમાં ખાતું બનાવવું એટલે ખાનગી કી, સાર્વજનિક કી અને મેળવેલ એકાઉન્ટ સરનામું જનરેટ કરવું.

પ્રથમ, BIP39 પાસફ્રેઝ જનરેટ થાય છે, અને તેમાંથી SHA-256 હેશની ગણતરી કરવામાં આવે છે. હેશનો ઉપયોગ ખાનગી કી ks અને જાહેર કી kp જનરેટ કરવા માટે થાય છે. સાર્વજનિક કીમાંથી, વ્યુત્ક્રમ સાથે સમાન SHA-256 નો ઉપયોગ કરીને, અમે બ્લોકચેનમાં સરનામું મેળવીએ છીએ.

જો તમે નવા ખાતામાંથી દર વખતે 2FA કોડ મોકલવા માંગતા હો, તો એકાઉન્ટ બનાવવાનો કોડ સર્વરમાં ઉમેરવાની જરૂર પડશે:

import Mnemonic from 'bitcore-mnemonic'
this.passphrase = new Mnemonic(Mnemonic.Words.ENGLISH).toString()

…

import * as bip39 from 'bip39'
import crypto from 'crypto'

adamant.createPassphraseHash = function (passphrase) {
  const seedHex = bip39.mnemonicToSeedSync(passphrase).toString('hex')
  return crypto.createHash('sha256').update(seedHex, 'hex').digest()
}

…

import sodium from 'sodium-browserify-tweetnacl'

adamant.makeKeypair = function (hash) {
  var keypair = sodium.crypto_sign_seed_keypair(hash)
  return {
    publicKey: keypair.publicKey,
    privateKey: keypair.secretKey
  }
}

…

import crypto from 'crypto'

adamant.getAddressFromPublicKey = function (publicKey) {
  const publicKeyHash = crypto.createHash('sha256').update(publicKey, 'hex').digest()
  const temp = Buffer.alloc(8)
  for (var i = 0; i < 8; i++) {
    temp[i] = publicKeyHash[7 - i]
  }
  return 'U' + bignum.fromBuffer(temp).toString()
}

ડેમો એપ્લિકેશનમાં, અમે તેને સરળ બનાવ્યું - અમે વેબ એપ્લિકેશનમાં એક એકાઉન્ટ બનાવ્યું, અને તેમાંથી કોડ્સ મોકલ્યા. મોટાભાગના કિસ્સાઓમાં, આ વપરાશકર્તા માટે પણ વધુ અનુકૂળ છે: તે જાણે છે કે સેવા ચોક્કસ એકાઉન્ટમાંથી 2FA કોડ મોકલે છે અને તેનું નામ આપી શકે છે.

2 જનરેટ કરી રહ્યા છીએ 2FA કોડ

દરેક વપરાશકર્તા લોગિન માટે 2FA કોડ જનરેટ કરવો આવશ્યક છે. અમે પુસ્તકાલયનો ઉપયોગ કરીએ છીએ speakeasy, પરંતુ તમે કોઈપણ અન્ય પસંદ કરી શકો છો.

const hotp = speakeasy.hotp({
  counter,
  secret: account.seSecretAscii,
});

વપરાશકર્તા દ્વારા દાખલ કરેલ 2FA કોડની માન્યતા તપાસી રહ્યું છે:

se2faVerified = speakeasy.hotp.verify({
  counter: this.seCounter,
  secret: this.seSecretAscii,
  token: hotp,
});

3 2FA કોડ મોકલી રહ્યું છે

2FA કોડ સબમિટ કરવા માટે, તમે બ્લોકચેન નોડ API, JS API લાઇબ્રેરી અથવા કન્સોલનો ઉપયોગ કરી શકો છો. આ ઉદાહરણમાં, અમે કન્સોલનો ઉપયોગ કરીએ છીએ - આ કમાન્ડ લાઇન ઇન્ટરફેસ છે, એક ઉપયોગિતા જે બ્લોકચેન સાથે ક્રિયાપ્રતિક્રિયાને સરળ બનાવે છે. 2FA કોડ સાથે સંદેશ મોકલવા માટે, તમારે આદેશનો ઉપયોગ કરવાની જરૂર છે send message કન્સોલ

const util = require('util');
const exec = util.promisify(require('child_process').exec);

…

const command = `adm send message ${adamantAddress} "2FA code: ${hotp}"`;
let { error, stdout, stderr } = await exec(command);

સંદેશા મોકલવાની વૈકલ્પિક રીત પદ્ધતિનો ઉપયોગ કરવો send JS API લાઇબ્રેરીમાં.

4 વપરાશકર્તા ઈન્ટરફેસ

વપરાશકર્તાને 2FA કોડ દાખલ કરવાનો વિકલ્પ આપવાની જરૂર છે, આ તમારા એપ્લિકેશન પ્લેટફોર્મના આધારે અલગ અલગ રીતે કરી શકાય છે. અમારા ઉદાહરણમાં આ Vue છે.

બ્લોકચેન ટુ-ફેક્ટર ઓથેન્ટિકેશન ડેમો એપ્લિકેશન માટેનો સ્ત્રોત કોડ જોઈ શકાય છે GitHub. તેને અજમાવવા માટે Readme to a Live ડેમોમાં એક લિંક છે.

સોર્સ: www.habr.com