使用Authy API時，是否可以為用戶續簽OTP機密？

Question

我正在使用Authy API進行TOTP身份驗證。 許多用戶更喜歡使用Google身份驗證器，而不希望下載Authy應用。 因此，我正在使用此處提到的authy API來獲取Google Authenticator的QR碼（ https://www.twilio.com/docs/authy/api/one-time-passwords#other-authenticator-apps ）。

我在這里看到的一個安全問題是用戶可能希望不時更改其身份驗證器機密，而twilio沒有直接的API來更新機密。 有沒有辦法實現這一目標？

我能想到的一種解決方案是刪除使用並創建一個新的解決方案，但我希望找到一個更好的選擇。

Answer 1

Twilio開發人員布道者在這里。

每次您向API請求生成新密碼和QR碼時，舊密碼都會失效。 因此，要更新用戶的機密，只需再次請求相同的API。

不過，這似乎是一種極端情況，我建議您等待用戶請求此功能，而不是構建不必要的功能。

如果您正在尋找自動令牌管理，那么最好使用Authy應用程序和Authy生成的令牌。 由於該應用程序和API可以協同工作，因此Authy可以自動滾動令牌，而無需用戶擔心。

編輯

我們在文檔中添加了以下內容，以在將來進行澄清：

請注意，每個QR碼請求都會生成一個唯一的TOTP種子。 因此，每個受保護站點的每個用戶只能有一個活動的QR碼。 為用戶請求其他QR碼將使先前的秘密無效並生成新的QR碼。