我一直在开发一个应用程序，它使用Duo作为我的MFA来攻击OneLogin的api / 1 / saml_assertion，https://developers.onelogin.com/api-docs/1/saml-assertions/generate-saml-assertion端点。有一些设备元素被返回，我不确定该怎么做，似乎无法找到任何文档。这些元素是duo_sig_request和duo_api_hostname。
duo_sig_request看起来像这样：
'duo_sig_request': 'TX|<base64 encoded elements>|<what looks like a sha1 hash>:APP|<base64 encoded elements>|<what looks like a sha1 hash>'
duo_api_hostname只是Duo的API网址。
base64编码的元素是用户的电子邮件，我假设的是用户的Duo ID，以及我不确定的数字，因为它随着每个请求而变化。
我假设此信息旨在用于https://duo.com/docs/authapi#/auth以实际触发Duo推送，文本或调用，并且sha1是Duo身份验证的hmac签名。
有没有人成功完成了我正在尝试的事情并且可以肯定我所假设的是正确的？也有人可以告诉我第三个元素是什么（每个请求可能更改的设备ID？）以及TX vs APP是什么？
提前感谢您的帮助!!
答案 0 :(得分：0)
联系OneLogin对此的支持，看起来还不支持。
Duo双因素作为我们当前的界面有一个限制 我们与Duo不允许API一直使用它 需要Web GUI交互。所有其他MFA设备都应该可以使用。
答案 1 :(得分：0)
现在通过OneLogin API支持Duo。您需要通过Duo管理控制台创建API应用。然后在通过OneLogin管理门户设置的OneLogin Duo配置中使用该应用程序的密钥和机密。