Apache Tomcat – Authentification à deux facteurs

J’essaie d’intégrer une solution d’authentification à deux facteurs avec un serveur de messagerie hébergé sur Apache Tomcat. À l’heure actuelle, l’application utilise une authentification basée sur un formulaire et l’utilisateur entre son nom d’utilisateur et son mot de passe et est authentifié contre openLDAP en tant que back-end.

Ce que nous voulons est le suivant –

1). L’utilisateur entre son Un et son PWD
2). La requête est “interceptée” et mise en attente
3). Un pwd unique (OTP) est généré et envoyé sous forme de SMS à l’utilisateur.
4). L’utilisateur voit une nouvelle page avec une boîte pour entrer dans ce OTP.
5). L’utilisateur entre son OTP envoyé par SMS
6). L’OTP est vérifié et si vrai, la demande “en attente” à l’étape “2” est transmise pour une authentification supplémentaire

Le problème est que je n’ai pas access au code source de l’application de serveur de messagerie.

Je peux réaliser quelque chose de très similaire dans IIS (Microsoft) en utilisant un filtre ISAPI, mais j’ai besoin de savoir comment y parvenir dans Apache?

Je regarde les lignes de Valve / Filter et SAML, mais je ne sais pas comment et où progresser.

J’ai contacté les responsables de logintc pour obtenir leurs informations d’identification à 2 facteurs et j’ai résolu mon problème à 2 facteurs en utilisant leurs applications. Vérifie-les.

https://cloud.logintc.com

Les services de la plateforme LoginTC sont gratuits pour moins de 1 000 utilisateurs. Donc c’est génial.

J’ai suivi les instructions de cette URL: https://cloud.logintc.com/help/developers

Fondamentalement, j’ai créé un compte administrateur pour mon domaine dans le panneau de configuration cloud de logintc. Ensuite, j’ai utilisé les instructions d’authentification côté serveur pour activer mon site Web Apache avec le bouton logintc et ajouté l’extrait de code dans ma page d’authentification.

Mes utilisateurs téléchargent l’application logintc sur les marchés Appstore, Android ou Blackberry, je leur envoie un code de confirmation et ils créent leur jeton d’informations d’identification dans l’application avec un code PIN (identique aux cartes ATM).

Le tout prend moins d’une heure à configurer. Mes utilisateurs reçoivent une notification hors bande pour déverrouiller leur identifiant avec le code PIN et le bingo, ils atteignent le niveau 2FA.

Vous devez les vérifier

Je suggère d’utiliser OpenAM ancien OpenSSO de Sun

Il a un filtre / agent qui peut être déployé sur Apache Et il a un très bon support pour l’authentification multi-facteurs, y compris le module d’authentification SMS.