feat: 2FAのバックアップコードの実装 #121
Merged
Conversation
This file contains bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
u1-liquid
force-pushed
the
2fa-backup-code
branch
from
1811c45
to
e8f527a
Compare
riku6460
reviewed
Jul 27, 2023
Ry0taK
reviewed
Jul 28, 2023
There was a problem hiding this comment.
(レビューになってなかったので再投稿)
↓みたいな雰囲気でレースコンディションが発生して、バックアップコードが一度のみ使えるという制約が死にそう
- 異なるバックアップコードを指定したリクエストAとリクエストBを同時に送信
- それぞれのリクエストが↓に到達してプロフィールデータを取得
https://github.com/MisskeyIO/misskey/blob/e8f527a6d01677d992a7039e6ce1aabb3a1ac85e/packages/backend/src/server/api/SigninApiService.ts#L122 - リクエストAが↓に到達、チェックを通過して使用されたバックアップコードを削除
https://github.com/MisskeyIO/misskey/blob/e8f527a6d01677d992a7039e6ce1aabb3a1ac85e/packages/backend/src/server/api/SigninApiService.ts#L158-L161 - リクエストBが↑に到達、チェックを通過して使用されたバックアップコードを削除
- この時、4で参照されるバックアップコード一覧は2で取得したプロフィールデータの情報に基づくため、3で削除されたはずのバックアップコードが含まれており、再度使用可能になる
とはいえこの問題が発生するのはリクエストAとリクエストBにそれぞれ正しいコードが含まれていた場合のみなので、この問題を許容するかどうかはおまかせします
OTPAuth.Secret()は内部的にNode.jsのcryptoパッケージを使っているっぽいので生成方法としては問題なさそう
u1-liquid
force-pushed
the
2fa-backup-code
branch
from
e8f527a
to
960a063
Compare
u1-liquid
force-pushed
the
2fa-backup-code
branch
from
960a063
to
5141a44
Compare
|
Ry0taKさんに指摘いただいたissueについてはいい感じのsqlが思いつかず・・・ |
u1-liquid
force-pushed
the
2fa-backup-code
branch
from
5141a44
to
179572c
Compare
riku6460
approved these changes
Jul 29, 2023
5 tasks
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
Add this suggestion to a batch that can be applied as a single commit.
This suggestion is invalid because no changes were made to the code.
Suggestions cannot be applied while the pull request is closed.
Suggestions cannot be applied while viewing a subset of changes.
Only one suggestion per line can be applied in a batch.
Add this suggestion to a batch that can be applied as a single commit.
Applying suggestions on deleted lines is not supported.
You must change the existing code in this line in order to create a valid suggestion.
Outdated suggestions cannot be applied.
This suggestion has been applied or marked resolved.
Suggestions cannot be applied from pending reviews.
Suggestions cannot be applied on multi-line comments.
Suggestions cannot be applied while the pull request is queued to merge.
Suggestion cannot be applied right now. Please check back later.
What
ioモデレーターチームの要請
2faのセットアップ時にバックアップコードを提供
重要なコードなので言語設定で受け取れないと悲しいのでいったん翻訳にも入れてる
Why
Additional info (optional)
Checklist