Двухфакторная аутентификация в 1С-Битрикс

☑ Включить одноразовые пароли
☑ Обязательное использование для группы: Администраторы [admin]
   Количество дней отсрочки: 3

// /local/php_interface/init.php
use Bitrix\Main\EventManager;

// Требуем 2FA для всех администраторов
EventManager::getInstance()->addEventHandler(
    'main',
    'OnAfterUserAuthorize',
    function ($arParams) {
        global $USER;
        
        if (!$USER->IsAuthorized()) {
            return;
        }
        
        // Проверяем, администратор ли это
        if (!$USER->IsAdmin()) {
            return;
        }
        
        // Проверяем, настроен ли OTP
        $otp = \Bitrix\Security\Mfa\Otp::getByUser($USER->GetID());
        
        if (!$otp || !$otp->isActivated()) {
            // Перенаправляем на настройку OTP
            LocalRedirect('/bitrix/admin/security_otp.php?init=Y');
        }
    }
);

use Bitrix\Security\Mfa\Otp;

function isOtpEnabled(int $userId): bool
{
    $otp = Otp::getByUser($userId);
    return $otp && $otp->isActivated();
}

function requireOtpForAdmins(): void
{
    global $DB;
    
    // Получаем всех администраторов без 2FA
    $admins = $DB->Query("
        SELECT u.ID, u.LOGIN, u.EMAIL
        FROM b_user u
        JOIN b_user_group ug ON u.ID = ug.USER_ID
        WHERE ug.GROUP_ID = 1
          AND u.ACTIVE = 'Y'
          AND u.ID NOT IN (
              SELECT USER_ID FROM b_security_otp WHERE ACTIVE = 'Y'
          )
    ");
    
    $withoutOtp = [];
    while ($admin = $admins->Fetch()) {
        $withoutOtp[] = $admin;
    }
    
    if (!empty($withoutOtp)) {
        // Отправляем уведомление или логируем
        \CEventLog::Add([
            'SEVERITY' => 'WARNING',
            'AUDIT_TYPE_ID' => 'SECURITY_OTP',
            'MODULE_ID' => 'security',
            'DESCRIPTION' => 'Администраторы без 2FA: ' . json_encode($withoutOtp),
        ]);
    }
}

use Bitrix\Security\Mfa\Otp;
use Bitrix\Security\Mfa\OtpAlgorithm;

// Создание нового OTP для пользователя
function setupOtpForUser(int $userId): array
{
    // Генерируем секретный ключ
    $secret = Otp::generateSecret();
    
    // Создаём объект OTP
    $otp = new Otp();
    $otp->setUserId($userId);
    $otp->setSecret($secret);
    $otp->setType(OtpAlgorithm::TOTP); // Time-based OTP
    
    // Сохраняем (но не активируем)
    $otp->save();
    
    // Генерируем QR-код
    $qrCodeUrl = $otp->getProvisioningUri(
        'Битрикс Админка', // Название сервиса
        $userId            // Идентификатор аккаунта
    );
    
    // Генерируем резервные коды
    $backupCodes = [];
    for ($i = 0; $i < 10; $i++) {
        $backupCodes[] = Otp::generateRecoveryCode();
    }
    
    return [
        'secret' => $secret,
        'qr_url' => $qrCodeUrl,
        'backup_codes' => $backupCodes,
    ];
}

// Проверка OTP-кода
function verifyOtpCode(int $userId, string $code): bool
{
    $otp = Otp::getByUser($userId);
    
    if (!$otp) {
        return false;
    }
    
    return $otp->verify($code);
}

// Активация OTP после первой успешной проверки
function activateOtp(int $userId, string $code): bool
{
    $otp = Otp::getByUser($userId);
    
    if (!$otp || $otp->isActivated()) {
        return false;
    }
    
    if ($otp->verify($code)) {
        $otp->activate();
        $otp->save();
        return true;
    }
    
    return false;
}

use Bitrix\Security\Mfa\Otp;

function generateBackupCodes(int $userId, int $count = 10): array
{
    $codes = [];
    
    for ($i = 0; $i < $count; $i++) {
        $codes[] = Otp::generateRecoveryCode();
    }
    
    // Сохраняем хэши кодов в БД
    $otp = Otp::getByUser($userId);
    if ($otp) {
        $otp->setRecoveryCodes($codes);
        $otp->save();
    }
    
    return $codes; // Показываем пользователю один раз
}

// Структура таблицы b_security_otp_recovery
// USER_ID | CODE_HASH | USED | DATE_USED

function useBackupCode(int $userId, string $code): bool
{
    global $DB;
    
    $codeHash = hash('sha256', $code);
    
    $result = $DB->Query("
        UPDATE b_security_otp_recovery
        SET USED = 'Y', DATE_USED = NOW()
        WHERE USER_ID = {$userId}
          AND CODE_HASH = '{$DB->ForSql($codeHash)}'
          AND USED = 'N'
    ");
    
    return $DB->AffectedRowsCount() > 0;
}

// /local/templates/main/components/bitrix/system.auth.form/.default/template.php
<?php if ($arResult['NEED_OTP']): ?>
    <div class="auth-otp-form">
        <h3>Введите код из приложения</h3>
        <p>Откройте Google Authenticator или другое приложение и введите 6-значный код.</p>
        
        <form method="POST" action="<?= POST_FORM_ACTION_URI ?>">
            <?= bitrix_sessid_post() ?>
            <input type="hidden" name="AUTH_FORM" value="Y" />
            <input type="hidden" name="TYPE" value="OTP" />
            
            <div class="form-group">
                <input 
                    type="text" 
                    name="USER_OTP" 
                    placeholder="000 000"
                    maxlength="6"
                    pattern="[0-9]{6}"
                    autocomplete="one-time-code"
                    inputmode="numeric"
                    autofocus
                    required
                />
            </div>
            
            <div class="form-group">
                <label>
                    <input type="checkbox" name="OTP_REMEMBER" value="Y" />
                    Запомнить это устройство на 30 дней
                </label>
            </div>
            
            <button type="submit" class="btn btn-primary">
                Подтвердить
            </button>
            
            <a href="?backup_code=Y" class="link-secondary">
                Использовать резервный код
            </a>
        </form>
    </div>
<?php else: ?>
    <!-- Обычная форма входа -->
<?php endif; ?>

// Настройка в админке
// Проактивная защита → Одноразовые пароли → Доверенные устройства

// Параметры:
// - Срок действия: 30 дней (по умолчанию)
// - Привязка к IP: да/нет
// - Привязка к User-Agent: да/нет

use Bitrix\Security\Mfa\TrustedDevice;

// Добавить текущее устройство как доверенное
function trustCurrentDevice(int $userId, int $days = 30): void
{
    $device = new TrustedDevice();
    $device->setUserId($userId);
    $device->setDeviceHash(TrustedDevice::generateDeviceHash());
    $device->setIp($_SERVER['REMOTE_ADDR']);
    $device->setUserAgent($_SERVER['HTTP_USER_AGENT']);
    $device->setExpiresAt(new \DateTime("+{$days} days"));
    $device->save();
}

// Проверить, доверенное ли устройство
function isDeviceTrusted(int $userId): bool
{
    $deviceHash = TrustedDevice::generateDeviceHash();
    return TrustedDevice::isTrusted($userId, $deviceHash);
}

// Отозвать все доверенные устройства
function revokeAllTrustedDevices(int $userId): void
{
    TrustedDevice::deleteByUser($userId);
}

// /local/php_interface/init.php
use Bitrix\Main\EventManager;

EventManager::getInstance()->addEventHandler(
    'security',
    'OnOtpVerifySuccess',
    function ($userId) {
        \CEventLog::Add([
            'SEVERITY' => 'INFO',
            'AUDIT_TYPE_ID' => 'OTP_SUCCESS',
            'MODULE_ID' => 'security',
            'ITEM_ID' => $userId,
            'DESCRIPTION' => 'Успешная проверка OTP',
        ]);
    }
);

EventManager::getInstance()->addEventHandler(
    'security',
    'OnOtpVerifyFail',
    function ($userId) {
        \CEventLog::Add([
            'SEVERITY' => 'WARNING',
            'AUDIT_TYPE_ID' => 'OTP_FAIL',
            'MODULE_ID' => 'security',
            'ITEM_ID' => $userId,
            'DESCRIPTION' => 'Неудачная проверка OTP',
        ]);
        
        // Алерт при множественных неудачах
        $failCount = getRecentOtpFailures($userId, 10); // за 10 минут
        if ($failCount >= 5) {
            sendSecurityAlert("Множественные неудачные OTP для пользователя {$userId}");
        }
    }
);