无法验证Twilio Authy webhook回调

Question

我正在尝试为Authy OneTouch推送身份验证设置webhooks。我设法成功注册到one_touch_request_responded事件，从订阅调用中保存网络钩子签名密钥，但我仍然无法验证请求：任何攻击者都可以伪造虚假请求并轻松绕过2FA检查。

API文档让我很困惑，因为回调请求与所提到的格式不匹配（尤其是它们没有X-Authy-Signature头），并且只有以下头：

{
  host: 'XXX.ngrok.io',
  'user-agent': 'Authy-api-webhooks/1.0',
  'content-length': '2211',
  'accept-encoding': 'gzip',
  'content-type': 'application/json',
  'x-forwarded-for': '3.89.35.175',
  'x-forwarded-proto': 'http'
}

我还尝试验证JWT令牌的签名，但仍然无效（传入的请求：{“body”：“a\u JWT\u token”}）：我总是得到无效的签名（使用相同的https://jwt.io/).

const jwt = require("jsonwebtoken");
jwt.verify(req.body.body, Buffer.from(MY_SECRET_KEY, "base64"), { algorithm: ["HS256"] });

检查webhook帖子回调真实性的正确方法是什么？

谢谢

Answer 1

Twilio开发者布道者。

在我看来，您似乎已经找到了Authy-webhooks会话，您可以订阅该会话，以便更新用户使用Authy-api的各个部分。

为了获取OneTouch推送通知的网络钩子，您应该在Twilio控制台中Authy应用程序的推送通知设置下设置您的网络钩子URL。

设置网络钩子URL后，您会发现网络钩子事件传入您的应用程序以进行推送身份验证批准和拒绝。这些请求还将附带X-Authy-Signature-Nonce和X-Authy-Signature标头，您将能够使用此处解释的方法重新创建签名。

抱歉弄糊涂了，希望这能帮你弄清楚。