Kann ASP.NET OWIN so eingestellt werden, dass Benutzer in zufälligen/gelegentlichen Intervallen um einen 2FA-Code gebeten werden?

Question

Ich möchte meine MVC-Anwendung so konfigurieren, dass Benutzer zufällig mit einer 2-Faktor-Authentifizierung bei 1-in-N-Besuchen auf der Website befragt werden.

zu beginnen, ich tat dies nur als Teil des Login:

int challengeFrequency = Convert.ToInt16(ConfigurationManager.AppSettings["ChallengeFrequency"]); 
var result = await SignInManager.PasswordSignInAsync(model.Email, model.Password, model.RememberMe, shouldLockout: true); 
switch (result) 
{ 
    case SignInStatus.Success: 
     Random rnd = new Random(); 
     if(rnd.Next(challengeFrequency) == 1) 
     { 
      if (!await SignInManager.SendTwoFactorCodeAsync("Phone Code")) 
      { 
       return RedirectToAction("Error"); 
      } 
      return RedirectToAction("VerifyCode", new { Provider = "Phone Code", ReturnUrl = returnUrl, RememberMe = model.RememberMe }); 
     } 
     return RedirectToLocal(returnUrl); 
    // other cases 
} 

Aber es durchsickert ich den Prozess falsch verstanden habe, und dass PasswordSignInAsync wird nicht aufgerufen, wenn der Benutzer ein gültiges Cookie hat für der Standort. Ich habe geplant, diese Einstellungen zu ändern, so dass die Benutzer in jeder Zeit in jedem Fall zu unterschreiben hatten, so in Startup.Auth fügte ich hinzu:

app.UseCookieAuthentication(new CookieAuthenticationOptions 
{ 
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie, 
    LoginPath = new PathString("/Account/Login"), 
    SlidingExpiration = true, 
    ExpireTimeSpan = TimeSpan.FromSeconds(5), 
    Provider = new CookieAuthenticationProvider 
    { 
     OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
      validateInterval: TimeSpan.FromSeconds(0), 
      regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager)) 
    } 
}); 

So, jetzt Benutzer jedes Mal herausgefordert. Aber natürlich erhalten wir ohne Cookie kein SignInStatus.Success-Ergebnis, und der Benutzer wird immer sowohl für das Passwort als auch für einen 2FA-Code herausgefordert.

Wie kann ich den Prozess unterbrechen, um sicherzustellen, dass sich der Benutzer immer mit einem Passwort anmelden muss, aber nur gelegentlich nach einem 2FA-Code gefragt wird?

Answer 1

konnte ich diese schließlich durch eine Token on the fly zu erzeugen und es mit dem TwoFactorSignIn Verfahren zu erfüllen, etwa so:

int challengeFrequency = Convert.ToInt16(ConfigurationManager.AppSettings["ChallengeFrequency"]); 
var result = await SignInManager.PasswordSignInAsync(model.Email, model.Password, model.RememberMe, shouldLockout: true); 
switch (result) 
{ 
    case SignInStatus.Success: 
     return RedirectToLocal(returnUrl); 
    case SignInStatus.RequiresVerification: 
     Random rnd = new Random(); 
     if (rnd.Next(1, challengeFrequency) == 1) 
     { 
      if (!await SignInManager.SendTwoFactorCodeAsync("Phone Code")) 
      { 
       return RedirectToAction("Login", "Account"); 
      } 

      return RedirectToAction("VerifyCode", new { Provider = "Phone Code", ReturnUrl = returnUrl, RememberMe = model.RememberMe }); 
     } 
     else 
     { 
      var token = await UserManager.GenerateTwoFactorTokenAsync(user.Id, "Phone Code"); 
      await SignInManager.TwoFactorSignInAsync("Phone Code", token, false, false); 
      return RedirectToLocal(returnUrl); 
     } 
    // other cases 
}