Cognito php密码SRP验证器挑战返回不正确的用户名和密码

Question

我有一个PHP网页，其中我配置了aws sdk并实例化了cognito客户机。客户机也配置了一个客户机密码，并且启用了auth flows USER\u PASSWORD\u auth、USER\u SRP\u auth。具有基本身份验证流类型USER\u PASSWORD\u auth的initiateAuth对我来说很好。下面是我尝试过的示例用法-

$result = $cognito->initiateAuth([
'AuthFlow' => 'USER_PASSWORD_AUTH',
'ClientId' => '<client_id>',
'UserPoolId' => '<pool_id>',
'AuthParameters' => [
'USERNAME' => '<username>',
'PASSWORD' => "<password>",
'SECRET_HASH' => base64_encode(hash_hmac('sha256', '<username>' . '<client_id>', '<client_secret>', true))
]
]);

通过这种方式，我们获得了一个带有access和id令牌的成功响应，但是当我们尝试使用USER_SRP_AUTH方法使用相同的参数时，就像这样-

$srp = new srp();
$a = $srp->getRandomSeed();
$A = $srp->generateA($a);
$result = $cognito->initiateAuth([
'AuthFlow' => 'USER_SRP_AUTH',
'ClientId' => '<client_id>',
'UserPoolId' => '<pool_id>',
'AuthParameters' => [
'USERNAME' => '<username>',
'SRP_A' => $A,
'SECRET_HASH' => base64_encode(hash_hmac('sha256', '<username>' . '<client_id>', '<client_secret>', true))
]
]);
$date = date('D M d H:i:s')." UTC 2021";
$challengeParameters = $result->get("ChallengeParameters");
$s = $srp->getRandomSeed();
$x = $srp->generateX($s, $challengeParameters['USER_ID_FOR_SRP'], '<password>');
$S = $srp->generateS_Client($A, $challengeParameters['SRP_B'], $a, $x);
$K = $srp->generateK($S);
$response = $cognito->respondToAuthChallenge([
"ChallengeName" => "PASSWORD_VERIFIER",
"ClientId" => '<client_id>',
"ChallengeResponses" => [
"TIMESTAMP" => $date,
"USERNAME" => $challengeParameters['USER_ID_FOR_SRP'],
"PASSWORD_CLAIM_SECRET_BLOCK" => $challengeParameters['SECRET_BLOCK'],
"PASSWORD_CLAIM_SIGNATURE" => hash_hmac('sha256', $K, $challengeParameters['SALT']),
'SECRET_HASH' => base64_encode(hash_hmac('sha256', $challengeParameters['USER_ID_FOR_SRP'] . '<client_id>', '<client_secret>', true))
]
]);

但是用这种方法我总是会犯这样的错误-

NotAuthorizedException Error executing "RespondToAuthChallenge" on "https://cognito-idp.us-east-1.amazonaws.com"; AWS HTTP error: Client error: `POST https://cognito-idp.us-east-1.amazonaws.com` resulted in a `400 Bad Request` response: {"__type":"NotAuthorizedException","message":"Incorrect username or password."} NotAuthorizedException (client): Incorrect username or password. - {"__type":"NotAuthorizedException","message":"Incorrect username or password."}

现在我也尝试用

那么，这里有人能帮我弄清楚问题是什么，并且可能也试着帮助解决它吗？




Answer 1

Cognito中SRP的问题在于，根据RFC5054，它不是SRP。

如果您使用任何标准库来处理用于Cognito目的的SRP，那么它将不起作用。此外，PHP的SDK不支持SRP。

以下是SRP根据RFC5054的工作原理（非常简化）：

客户：

• 计算SRP A

服务器：

• 计算SRP_B
• 送SRP_B和盐给客户

客户：

• 计算会话密钥
• 将会话密钥的证明发送到服务器

服务器：

• 计算会话密钥

客户：

• 验证服务器的会话密钥证明

当双方都能够确认他们拥有的会话密钥是有效的时，假定用户已通过身份验证。

下面是它在Cognito中的样子：

客户：

• 计算SRP_A
• 发送用户名和SRP_A到服务器

服务器：

• 计算SRP_B
• 向客户发送SRP_B、salt和SECRET_块

在这一点上，我们已经可以看到这与RFC不同。这个秘密块是Cognito特有的，而不是RFC特有的。因此，接下来的任何计算都需要以不同的方式进行。

实现相当长，所以我将粘贴一个指向Gist的链接。这是Lynh从Python开发的一个端口，它基于AWS SDK Java示例：

https://gist.github.com/jenky/a4465f73adf90206b3e98c3d36a3be4f