Multi-Factor Authentication

1. Page principale

Nous allons créer une page de gestion des modes d’authentification à double facteur. Pour ce faire, nous allons commencer par créer un contrôleur dédié à la gestion du compte utilisateur.

Ajoutez au dossier Controllers un fichier ManageAccountController.cs :

[Authorize]  
[Route("account/manage")]  
public class ManageAccountController : Controller  
{  
  [TempData]  
  public string? StatusMessage { get; set; }  
} 

Dans ce contrôleur, nous allons ajouter une méthode qui gérera la page pour l’authentification multifacteur :

[HttpGet("mfa")]  
public async Task<IActionResult> MultiFactorAuthentication()  
{  
  ApplicationUser? user = await _userManager.GetUserAsync(User); 
  if (user == null)  
    return NotFound();  
  
  MultiFactorAuthenticationViewModel model = new()  
  {  
    HasAuthenticator =  
await _userManager.GetAuthenticatorKeyAsync(user) != null,  
    Is2faEnabled =  
await _userManager.GetTwoFactorEnabledAsync(user),  
    IsMachineRemembered =  
await _signInManager.IsTwoFactorClientRememberedAsync(user),  
    RecoveryCodesLeft = 
await _userManager.CountRecoveryCodesAsync(user)  
  };  
  return View(model);  
} 

Cette méthode va nous permettre de déterminer l’état de l’authentification multifacteur pour l’utilisateur connecté et de lui proposer les options adéquates.

La ViewModel MultiFactorAuthenticationViewModel contient l’ensemble des propriétés à afficher dans la vue :

public class MultiFactorAuthenticationViewModel 
{ 
  public bool IsAuthenticatorActivated { get; set; } 
  public bool HasAuthenticator { get; set; } 
  public bool IsEmailProviderActivated { get; set; } 
  public bool IsPhoneProviderActivated { get; set; } 
  public bool Is2faEnabled { get; set; } ...

1. Connexion avec les codes OTP

Maintenant que notre application OTP est correctement configurée et délivre bien les tokens nécessaires à la double authentification, il faut que celle-ci soit activée à la connexion.

Précédemment, nous avions inclus dans la méthode de login un code temporaire qui permettait de passer outre la double authentification le temps des tests. Il est maintenant temps d’y substituer le vrai code fonctionnel.

Dans la classe AccountController, dans la méthode LoginPost(), remplacez le bloc suivant :

else if (result.RequiresTwoFactor)  
{  
  await _signInManager.SignInAsync(user, false);  
  if (user.LockoutEnabled)  
    await _userManager.ResetAccessFailedCountAsync(user);  
  return Redirect(returnUrl);  
} 

Par celui-ci :

else if (result.RequiresTwoFactor)  
{  
  return RedirectToAction(nameof(TwoFactorAuthenticationLogin), 
new { returnUrl });  
} 

Dans le même contrôleur, à la suite de la méthode POST Login(), ajoutez cette méthode :

[HttpGet("2fa-login")] 
public async Task<IActionResult>  
TwoFactorAuthenticationLogin(string returnUrl)  
{  
  ApplicationUser user =  
await _signInManager.GetTwoFactorAuthenticationUserAsync()  
         ?? throw  
new InvalidOperationException(_localizer["2FAUserNotFound"]);  
  
  return View();  
} 

Et ajoutez au fichier de ressources AccountController.resx :

Puis créez la vue TwoFactorAuthenticationLogin.cshtml :

@inject IViewLocalizer Localizer  
  
@model TwoFactorAuthenticationLoginViewModel  
@{  
    ViewData["Title"] = Localizer["Title"];  
    ViewData["H1"] = Localizer["H1"];  
    string? returnUrl = Context.Request.Query["returnUrl"];  
}  ...

1. Service d’envoi de codes par e-mail

Le point commun entre les e-mails et les SMS est l’envoi au destinataire. Dans la majorité des cas, cette opération est déléguée à un service externe. Dans ce livre, nous n’allons pas réellement nous connecter à un service d’envoi, ce n’est pas l’objet, mais nous allons mettre en place un service...

else if (result.RequiresTwoFactor)  
{  
  IList<string> providers = 
await _userManager.GetValidTwoFactorProvidersAsync(user);  
  string token = await  
_userManager.GenerateTwoFactorTokenAsync(user, "Email");  
  return RedirectToAction(nameof(TwoFactorAuthenticationLogin), 
new { returnUrl });  
} 

1. Limiter à un seul fournisseur disponible à la fois

La première solution va être de limiter le nombre de fournisseurs disponibles à un seul à la fois. La double authentification étant une propriété de l’utilisateur, nous allons ajouter le choix du mode de double authentification à celui-ci.

Dans la classe ApplicationUser, ajoutez la propriété suivante :

[PersonalData]  ...