PyOTP - Python一次性密码库

PyOTP是一个用于生成和验证一次性密码的Python库。它可用于在网络应用程序和其他需要用户登录的系统中实现双因素（2FA）或多因素（MFA）认证方法。

开放MFA标准在RFC 4226（HOTP：基于HMAC的一次性密码算法）和RFC 6238（TOTP：基于时间的一次性密码算法）中定义。PyOTP实现了这两种标准的服务器端支持。客户端支持可以通过SMS或电子邮件向用户发送认证码（HOTP）实现，或者对于TOTP，指导用户使用Google Authenticator、Authy或其他兼容应用程序。用户可以通过使用手机摄像头扫描PyOTP提供的otpauth://格式的二维码，轻松在其应用程序中设置认证令牌。

实施者应阅读并遵循相关RFC中的HOTP安全要求和TOTP安全考虑部分。至少，应用程序实施者应遵循以下清单：

• 通过使用HTTPS确保传输保密性
• 通过在受控访问数据库中存储密钥确保HOTP/TOTP密钥保密性
• 通过拒绝客户端已使用的一次性密码来防止重放攻击（这需要在数据库中存储最近验证的时间戳、OTP或OTP的哈希值，并在看到匹配时拒绝OTP）
• 对应用程序登录功能的暴力攻击进行限制（频率限制）（参见RFC 4226第7.3节）
• 在实施"全新"应用程序时，考虑除HOTP/TOTP之外或替代HOTP/TOTP支持FIDO U2F/WebAuthn。U2F使用非对称加密来避免使用共享密钥设计，这加强了您的MFA解决方案对服务器端攻击的防御。硬件U2F还将客户端密钥隔离在专用单一用途设备中，这加强了客户端对客户端攻击的防御。通过自动化凭据范围到依赖方ID（应用程序源/域名），U2F增加了对网络钓鱼攻击的保护。FIDO U2F/WebAuthn的一个实现是PyOTP的姐妹项目PyWARP。

我们还建议实施者阅读OWASP身份验证备忘单和NIST SP 800-63-3：数字身份验证指南，以获取身份验证最佳实践的高级概述。

在手机上使用一次性密码的快速概述

• OTP涉及一个共享密钥，存储在手机和服务器上
• OTP可以在没有互联网连接的情况下在手机上生成
• OTP应始终作为第二因素身份验证使用（如果您的手机丢失，您的账户仍然通过密码保护）
• Google Authenticator和其他OTP客户端应用程序允许您存储多个OTP密钥，并使用二维码进行配置

安装

::

pip install pyotp

使用方法

基于时间的OTP

::

    import pyotp
    import time

    totp = pyotp.TOTP('base32secret3232')
    totp.now() # => '492039'

    # 验证当前时间的OTP
    totp.verify('492039') # => True
    time.sleep(30)
    totp.verify('492039') # => False

基于计数器的OTP

::

import pyotp

hotp = pyotp.HOTP('base32secret3232')
hotp.at(0) # => '260182'
hotp.at(1) # => '055283'
hotp.at(1401) # => '316439'

# 使用计数器验证OTP
hotp.verify('316439', 1401) # => True
hotp.verify('316439', 1402) # => False

生成密钥

提供了一个辅助函数来生成32字符的base32密钥，兼容Google Authenticator和其他OTP应用程序::

    pyotp.random_base32()

某些应用程序希望密钥格式化为十六进制编码的字符串::

    pyotp.random_hex()  # 返回40字符的十六进制编码密钥

兼容Google Authenticator

PyOTP可与Google Authenticator iPhone和Android应用程序以及其他OTP应用程序（如Authy）配合使用。PyOTP包括生成配置URI的功能，用于这些MFA客户端应用程序内置的二维码扫描器::

pyotp.totp.TOTP('JBSWY3DPEHPK3PXP').provisioning_uri(name='alice@google.com', issuer_name='Secure App')

>>> 'otpauth://totp/Secure%20App:alice%40google.com?secret=JBSWY3DPEHPK3PXP&issuer=Secure%20App'

pyotp.hotp.HOTP('JBSWY3DPEHPK3PXP').provisioning_uri(name="alice@google.com", issuer_name="Secure App", initial_count=0)

'otpauth://hotp/Secure%20App:alice%40google.com?secret=JBSWY3DPEHPK3PXP&issuer=Secure%20App&counter=0'

这个URL随后可以被渲染成二维码（例如，使用https://github.com/soldair/node-qrcode），然后可以被扫描并添加到用户的OTP凭证列表中。

解析这些URL也是支持的：

pyotp.parse_uri('otpauth://totp/Secure%20App:alice%40google.com?secret=JBSWY3DPEHPK3PXP&issuer=Secure%20App')

>>> <pyotp.totp.TOTP object at 0xFFFFFFFF>

pyotp.parse_uri('otpauth://hotp/Secure%20App:alice%40google.com?secret=JBSWY3DPEHPK3PXP&issuer=Secure%20App&counter=0'

>>> <pyotp.totp.HOTP object at 0xFFFFFFFF>

工作示例

用你手机的OTP应用（如Google Authenticator）扫描以下条形码：

[图片]

现在运行以下代码并比较输出：

import pyotp
totp = pyotp.TOTP("JBSWY3DPEHPK3PXP")
print("当前OTP:", totp.now())

第三方贡献

以下第三方贡献不由标准描述，不受官方支持，仅供参考：

• pyotp.contrib.Steam()：Steam TOTP的实现。使用与pyotp.TOTP()相同的API。

链接

• 项目主页（GitHub）
• 文档
• 包分发（PyPI）
• 更新日志
• RFC 4226：HOTP：基于HMAC的一次性密码
• RFC 6238：TOTP：基于时间的一次性密码算法
• ROTP - Mark Percival的原始Ruby OTP库
• OTPHP - Le Lag的ROTP的PHP移植版
• OWASP认证备忘单
• NIST SP 800-63-3：数字认证指南

对于新应用：

• WebAuthn
• PyWARP

版本控制

本包遵循语义版本控制2.0.0标准。为控制变更，建议应用程序开发者固定包版本并使用pip-tools或类似工具进行管理。对于库开发者，建议固定主版本号。

[徽章图片]