前回のTOTP認証に続き、ついでにIVR認証をこの機会に実装してみた。

IVR認証とは、本人の電話番号に直接架電することで、認証ユーザーとしての正当性を担保する認証機能である。
今回は、二段階認証で用いられる一時的な認証コードを自動音声により通知し、その場で電話番号による認証コード入力による認証機能を実装した。

今回使用したTwilioは、自動音声機能はもちろん、SMS通知、チャット、等様々なコミュニケーション用APIを兼ね備えているサービスである。
また、WebhookURLで指定するURLには、当然Twilioからアクセス可能なサーバの宛先が必要なため、ngrokを使用することでAPIを外部公開させた。

※ ngrokについては、以下を参照。
https://qiita.com/hirokisoccer/items/7033c1bb9c85bf6789bd
簡単にいうと、ローカルサーバーを外部公開することが可能なツールである。

①Twilioアカウント発行
https://www.twilio.com/ja/

②アカウント発行すると、「ACCOUNT SID」/「AUTH TOKEN」が自動で発行される。追加でTwilioから電話番号を購入(※今回は無料トライアル枠を使用)

③WebhookURLに電話応答後のリダイレクト先URLを指定

④自動音声通知/認証コード認証API


package com.example.demo.ivr;

import static spark.Spark.get;
import static spark.Spark.post;

import java.net.URI;
import java.security.SecureRandom;

import com.twilio.http.HttpMethod;
import com.twilio.http.TwilioRestClient;
import com.twilio.rest.api.v2010.account.Call;
import com.twilio.rest.api.v2010.account.CallCreator;
import com.twilio.twiml.VoiceResponse;
import com.twilio.twiml.voice.Gather;
import com.twilio.twiml.voice.Say;
import com.twilio.twiml.voice.Say.Language;
import com.twilio.type.PhoneNumber;

public class TwilioOtpAuth {
    
    private static final String ACCOUNT_SID = "AC8xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";
    
    private static final String AUTH_TOKEN = "c24xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";
    
    private static final String TWILIO_NUMBER = "+19xxxxxxxx";
    
    private static final String NGROK_BASE_URL = "http://xxxxxxxxx.ngrok.io";
    
    private static final int OTP_LENGTH = 6;
    
    private static TwilioRestClient client = new TwilioRestClient.Builder(ACCOUNT_SID, AUTH_TOKEN).build();
    
    public static void main(String[] args) {
        
        /**
         * ワンタイムパスコード認証
         */
        post("/otp/check", (req, res) -> {
            
            String digits = req.queryParams("Digits");
            
            IvrOtpDAO ivrOtpDAO = new IvrOtpDAO();
            String otp = ivrOtpDAO.getOtp("1a2b3c");
            
            if (otp != null) {
                if (digits.equals(otp)) {
                    Say success = new Say.Builder("認証に成功しました。").language(Language.JA_JP).build();
                    VoiceResponse successRes = new VoiceResponse.Builder().say(success).build();
                    
                    return successRes.toXml();
                }
            }
            
            Say fail = new Say.Builder("認証に失敗しました。").language(Language.JA_JP).build();
            VoiceResponse failRes = new VoiceResponse.Builder().say(fail).build();
            
            return failRes.toXml();
            
        });
        
        /**
         * ワンタイムパスコード連絡
         */
        post("/otp/announce", (request, response) -> {
            
            byte[] bytes = new byte[OTP_LENGTH];
            SecureRandom secRandom = SecureRandom.getInstance("SHA1PRNG");
            secRandom.nextBytes(bytes);
            
            StringBuilder otp = new StringBuilder();
            for (int i = 0; i < bytes.length; i++) {
                otp.append(secRandom.nextInt(10));
            }
            
            IvrOtpDAO ivrOtpDAO = new IvrOtpDAO();
            ivrOtpDAO.setOtp("1a2b3c", otp.toString());
            
            Say otpMsg = new Say.Builder(
                    "認証コードは" + otp.toString().substring(0, 1) + "、" + otp.toString().substring(1, 2) + "、"
                            + otp.toString().substring(2, 3) + "、" + otp.toString().substring(3, 4) + "、"
                            + otp.toString().substring(4, 5) + "、" + otp.toString().substring(5, 6))
                                    .language(Language.JA_JP).build();
            
            VoiceResponse voiceResponse = new VoiceResponse.Builder().say(otpMsg).build();
            
            Gather gather = new Gather.Builder().action("/otp/check").method(HttpMethod.POST).say(otpMsg).timeout(20)
                    .build();
            
            Say timeoutSay = new Say.Builder("入力が確認できなかったため、通話を終了します。").language(Language.JA_JP).build();
            VoiceResponse timeoutRes = new VoiceResponse.Builder().gather(gather).say(timeoutSay).build();
            
            return timeoutRes.toXml();
        });
        
        /**
         * 架電処理
         */
        get("/call/:number", (request, response) -> {
            
            String phoneNumber = request.params(":number");
            PhoneNumber to = new PhoneNumber(phoneNumber);
            PhoneNumber from = new PhoneNumber(TWILIO_NUMBER);
            URI uri = URI.create(NGROK_BASE_URL + "/otp/announce");
            
            Call call = new CallCreator(to, from, uri).create(client);
            return "calling authentication code...";
        });
    }
    
}

➄認証コード取得/保管DAO


package com.example.demo;

import redis.clients.jedis.Jedis;
import redis.clients.jedis.JedisPool;
import redis.clients.jedis.JedisPoolConfig;
import redis.clients.jedis.exceptions.JedisConnectionException;

public class IvrOtpDAO {
    
    private JedisPool pool;
    
    private Jedis jedis = getResource();
    
    /** 認証コード有効期限 */
    private static int RETENTION = 300;
    
    public IvrOtpDAO() {
    }
    
    private Jedis getResource() throws JedisConnectionException {
        synchronized (this) {
            if (pool == null || pool.isClosed()) {
                pool = new JedisPool(new JedisPoolConfig(), "localhost");
            }
        }
        
        return pool.getResource();
    }
    
    /**
     * 認証コード設定
     * 
     * @param deviceId 端末ID
     * @param otp 認証コード
     */
    public void setOtp(String deviceId, String otp) {
        
        String result = jedis.setex(deviceId, RETENTION, otp);
        System.err.println(result);
        
    }
    
    /**
     * 認証コード取得
     * 
     * @param deviceId 端末ID
     * @return 認証コード
     */
    public String getOtp(String deviceId) {
        
        String otp = jedis.get(deviceId);
        
        return otp;
        
    }
}

⑥検証

6-1. GET /call/<電話番号>へリクエスト発行

6-2. 以下のように電話が掛かってくる。電話に出ると、「認証コードは、841086」とアナウンスが流れる。

6-3.電話番号に「841086」を入力する。

6-4. 自動音声で**「認証に成功しました。」**とアナウンスが流れる。

6-5. nagrokのコンソール見ると、①の架電リクエスト(/call/<電話番号>)、②でのWebhookリクエスト(/otp/announce)、③での認証リクエストが正常に実行されていることが確認できる。

6-6. Twilioコンソールから認証リクエスト(/otp/check)へのリクエスト内容を見ると、Degitsパラメータとして、入力した認証コードがPOSTされていることが確認できる。