TOTP authentication demo 開發工具與佈署環境(Heroku)

延續前篇 使用 TOTP 與 Google Authenticator 實作 Two-Factor authentication ，此篇說明使用到的工具與相關心得

Application
Back-end

• Java
• slf4j
• Apache commons-codec
• Spring framework 3.1

嘗試了些新版的功能
1. Java-based configuration 覺得一般使用沒比 XML schema-based 好用，做框架設計的時候會比較實用，動態組裝、設定樣版、模組化，不知道還能怎麼運用
2. Environment API 在啟動時依系統參數來區分"開發"或"佈署環境"的Profile，用於載入不同的 bean definition，若沒指定啟動參數則為 default 的 profile

e.g. JAVA_OPTS => -Dspring.profiles.active=heroku

• Zxing

Google 的 QRCode library，在這用來產生 QRCode image 傳遞 secret key

• Jedis

Redis Client 端的 Java Library

• AspectJ

在這用來做 redis 的連線控制，避免階層操作下佔用多組連線

• TOTP Algorithm

基於 RFC6238：TOTP: Time-Based One-Time Password Algorithm 附錄程式並做了些簡化

Front-end

• Spring MVC

試用 Servlet 3.0 免宣告 web.xml 的功能，但從 Tomcat 搬到 Jetty 遇到些問題，在 Jetty 的根目錄(/) 會被 DefaultServlet 覆蓋， 導不到 spring mvc的DispatcherServlet，不想多加 Filter 只好換回 web.xml

• Jackson Json
• JQuery
• Bootstap

Twitter 開發的前端工具庫

使用 TOTP 與 Google Authenticator 實作 Two-Factor authentication

在食衣住行育樂都需要的網路的時候，現代人擁有許多網路帳號，但能記憶的帳號密碼通常只有少數組合，當遇到密碼外洩(e.g.資料庫外洩、病毒側錄密碼)，相對的也影響了使用共同帳密的網路服務，對今日資安事件逐漸從惡作劇變往金融犯罪的趨勢，帳號有操作功能，個資，身份(實名化)，對盜竊者來說帳號密碼可以產生許多價值。

帳號盜用除了個人影響外，間接牽連的還有親友與網路服務提供者，對網路服務提供者而言，帳號盜用是會提高營運成本與降低使用者信賴度的麻煩事，因此面對使用者規模與服務品質，強化帳號安全逐漸成為不可忽視的事情，Google 於去年底開始提供 2-step verification 做多層次的帳號驗證，別於以往硬體 OTP 的方式，透過 Smartphone 使用軟體(i.e Google Authenticator) 來規模化佈署。

目前得知使用類似軟體驗證機制的服務提供者有

• Google Account
• Amazon AWS Account 
• Battle.net  
• Dropbox

在 Server 端的實作驗證流程不難，未來可能會變成一種常見的帳號驗證方法。

以下參考國外部落格文章與 Google Authenticator Android原始碼 實作 Two-Factor authentication 驗證流程，並釋出伺服器端原始碼。

Memcached vs Redis vs MongoDB vs MySQL 效能比較

"記憶體是新一代的硬碟"在高流量網站內已是稀鬆平常的事情，像是採用 Memcached 做分散式快取服務即是典型的應用模式，Memcached 使用概念簡單且相關應用情境、文件、工具、演算法都已相當成熟，許多知名網站都運用 Memcached 提升scalability，像是GAE、Heroku 等PaaS 環境也有提供 Memcached 的收費服務，這些市場訊息已說明大規模的使用記憶體是可以合乎成本效益的。

Redis 是近年隨著 NoSQL 熱潮出現的 Key-Value store，其功能涵蓋了 Memcached 並且提供許多高階功能，在許多應用情境下相較 Memcached，能降低開發與營運複雜度，比如：

• 豐富的資料結構(strings, hashes, lists, sets and sorted sets) 更易於設計適當的資料粒度增進資料重用的機會，且可依不同的資料結構特性在redis server上做組合與計算，降低開發上的複雜度與資料傳輸
• 永續保存功能可充當簡易的資料庫降低重覆資料的一致性問題或一些特殊應用，像是當系統當機後能快速回復快取資料，避免大量重建的衝擊
• 資料覆寫功能 提升讀取效能，提升 availability
• 2.6版本可以寫script (lua)
• 3.0版本預期還會加上Cluster做HA與Balancing有些data grid的樣子

但效能是否能與 Memcached 匹敵呢？以下透過大量的 get/set 操作做簡單的比較，並且加入MySQL與MonogoDB 做為參考