PHP后端实现AWS Cognito SMS MFA时设备密钥无效问题排查

问题描述 #

基于PHP后端实现AWS Cognito MFA功能，响应SMS_MFA挑战后调用confirmDevice接口时，返回错误提示：Invalid device key given.

相关代码如下：

$srp = new AwsCognitoIdentitySRP($this->client, $this->appClientId, $this->userPoolId);
$challengeResponses = ["SMS_MFA_CODE" => $code, "USERNAME" => $username];

$response = $this->client->respondToAuthChallenge([
    "ChallengeName"      => "SMS_MFA",
    "ChallengeResponses" => $challengeResponses,
    'Session'            => $session,
    'ClientId'           => $this->appClientId,
    'UserPoolId'         => $this->userPoolId,
]);

$metadata = $response->get('AuthenticationResult');

$accessToken = $metadata['AccessToken'] ?? null;
$deviceGroupKey = $metadata['NewDeviceMetadata']['DeviceGroupKey'] ?? null;
$deviceKey = $metadata['NewDeviceMetadata']['DeviceKey'] ?? null;

$passSalt = $srp->getDeviceSecretVerifierConfig($deviceGroupKey, $deviceKey);
$result = $this->client->confirmDevice([
    'AccessToken' => $accessToken, 
    'DeviceKey' => $deviceKey, 
    'DeviceName' => "My personal location" . " Auto", 
    'DeviceSecretVerifierConfig' => [
         'PasswordVerifier' => $passSalt['PasswordVerifier'], 
         'Salt' => $passSalt['Salt'], 
    ], 
]);

解决思路 #

• 验证DeviceKey的有效性：确认从respondToAuthChallenge响应的NewDeviceMetadata中获取的DeviceKey完整且未被篡改。可直接打印$deviceKey的值，检查其格式是否符合Cognito的规范（通常为固定长度的字符串）。
• 核对AccessToken的关联性：调用confirmDevice时使用的AccessToken必须与生成DeviceKey的用户会话完全匹配。若AccessToken过期或归属其他用户，会直接导致设备密钥验证失败。可通过Cognito的getUser接口验证AccessToken的有效性和所属用户信息。
• 检查getDeviceSecretVerifierConfig实现逻辑：你使用的getDeviceSecretVerifierConfig方法需正确生成符合Cognito要求的设备验证参数。该方法的核心逻辑需结合DeviceGroupKey、DeviceKey、用户名等信息生成盐值和验证器，以下是正确逻辑的示例：

  public function getDeviceSecretVerifierConfig($deviceGroupKey, $deviceKey)
  {
      // 获取当前用户名
      $username = $this->username;
      // 生成16字节随机盐值
      $salt = bin2hex(random_bytes(16));
      // 按指定顺序拼接参数
      $combinedString = $salt . $deviceGroupKey . $username . $deviceKey;
      // 使用SHA-256哈希并转为二进制
      $hashedValue = hash('sha256', $combinedString, true);
      // 生成Base64编码的验证器
      $passwordVerifier = base64_encode($hashedValue);
  
      return [
          'Salt' => base64_encode($salt),
          'PasswordVerifier' => $passwordVerifier,
      ];
  }
  

  确保你的实现中哈希算法为SHA-256、参数拼接顺序正确、编码方式符合要求，避免逻辑错误导致验证参数无效。
• 检查用户池与客户端配置：确认Cognito用户池已启用设备追踪功能，且应用客户端的设备追踪相关设置（如允许记住设备）配置正确。若用户池未开启设备追踪，NewDeviceMetadata可能无法正确生成，进而导致DeviceKey无效。
• 确认会话状态完整性：respondToAuthChallenge返回的会话需完成所有必要的验证步骤。若会话未正常结束，生成的DeviceKey可能处于未激活状态，导致验证失败。

内容的提问来源于stack exchange，提问作者Marco Cotrufo