اعمل مصادقة ثنائية (2FA) بأكواد TOTP في Node.js من الصفر

const crypto = require('crypto');

function base32Encode(buf) {
  const alphabet = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ234567';
  let bits = '', out = '';
  for (const b of buf) bits += b.toString(2).padStart(8, '0');
  for (let i = 0; i + 5 <= bits.length; i += 5)
    out += alphabet[parseInt(bits.slice(i, i + 5), 2)];
  return out;
}

// سر 160-bit جديد لكل مستخدم، يُخزَّن في DB
const secret = base32Encode(crypto.randomBytes(20));

// رابط قياسي يقرأه أي تطبيق authenticator
const uri = `otpauth://totp/Haies:ali@mail.com`
          + `?secret=${secret}&issuer=Haies&period=30&digits=6`;

// اعرضه كصورة QR (npm i qrcode)
const QRCode = require('qrcode');
const qrDataUrl = await QRCode.toDataURL(uri); // <img src="...">

الخطوة الرابعة — التحقق من الكود. ده قلب النظام، ومكتوب من الصفر بـ crypto بدون أي مكتبة:

لاحظ إن verifyTOTP بترجّع رقم العدّاد اللي نجح، مش مجرد true. ده مهم: خزّن آخر عدّاد اتقبل، وارفض أي كود بنفس العدّاد أو أقل. من غير الخطوة دي، مهاجم شايف الكود على كتف المستخدم يقدر يعيد استخدامه خلال نفس الـ 30 ثانية.

التحقق من أنه يعمل

شغّل السيرفر، امسح الـ QR بتطبيق Google Authenticator، وناد verifyTOTP('123456', secret) بالكود الظاهر على شاشتك. المفروض ترجع رقم العدّاد. غيّر رقم واحد في الكود — لازم ترجع null. لو الاتنين اشتغلوا صح، النظام سليم. لو الكود الصحيح بيترفض، غالبًا ساعة السيرفر مش مضبوطة؛ فعّل NTP وتأكد إن التوقيت متزامن.

المقايضات وما يجب الانتباه له

TOTP بيوقف تخمين الحسابات لكن مش سحر. الأرقام: 6 خانات تعني مليون احتمال. مع نافذة ±30 ثانية وحد أقصى 5 محاولات في الدقيقة (rate limit إجباري)، احتمال تخمين المهاجم للكود أقل من 0.001% خلال عمر الكود. المكسب ده مقابل تكلفتين واضحتين:

• سر مشترك على السيرفر: لو تسرّبت قاعدة بياناتك، الأسرار كلها تتسرّب. شفّر عمود السر في الـ DB (مثلاً بـ AES-256) واحتفظ بمفتاح التشفير خارج القاعدة.
• مش مقاوم للتصيّد: لو المستخدم اتخدع وكتب الكود في موقع مزيّف، المهاجم يقدر يعيد استخدامه فورًا. الافتراض هنا إن ده مقبول لموقع متوسط المخاطر؛ للحسابات عالية القيمة، Passkeys/WebAuthn بتحل ده لأنها مربوطة بالنطاق.

متى لا تستخدم هذه الطريقة

متستخدمش TOTP لو تقدر تستخدم Passkeys/WebAuthn — دي مقاومة للتصيّد ومفيهاش سر مشترك تخزّنه. وبلاش تمامًا 2FA عبر SMS كبديل؛ هجمات تبديل الشريحة (SIM swap) بتكسرها. وكمان لو تطبيقك داخلي منخفض المخاطر ومستخدميه قليلين وموثوقين، طبقة تانية ممكن تكون تعقيدًا زايدًا بلا عائد حقيقي.

الخطوة التالية

انسخ دالتَي hotp وverifyTOTP فوق في ملف totp.js، وولّد سرًّا واحدًا لنفسك، وامسحه بتطبيق authenticator على تليفونك. جرّب تتحقق من الكود الظاهر. أول ما ترجع الدالة رقم العدّاد بدل null، تكون فهمت النظام كله عمليًا — وبعدها اربطه بجدول المستخدمين عندك.

المصادر

• RFC 6238 — TOTP: Time-Based One-Time Password Algorithm: datatracker.ietf.org/doc/html/rfc6238
• RFC 4226 — HOTP: HMAC-Based One-Time Password Algorithm: datatracker.ietf.org/doc/html/rfc4226
• RFC 4648 — Base32 Encoding: datatracker.ietf.org/doc/html/rfc4648
• Node.js crypto (createHmac, randomBytes): nodejs.org/api/crypto.html
• Microsoft — إحصائية إيقاف MFA لأكثر من 99.2% من هجمات الحسابات: Microsoft Security Blog
• OWASP Authentication Cheat Sheet: cheatsheetseries.owasp.org