<div dir="ltr"><div>Firstly thanks for all the advise so far it has been very helpful.</div><div><br></div>So Telesign sends an SMS to the user with the 2-factor code that they need to enter on the screen. For that to work, the user must have been authenticated against the LDAP first so we can retrieve their mobile phone number from their LDAP entry. So the JAAS module will not work for me. <div><br></div><div>So creating a new flow is the approach I need to take. What I am not clear about at the moment, is how to integrate the new flow into Shibboleth. In particular should I be using net.shibboleth.idp.authn.* classes as the basis of my flow. Ie should model in on the existing flows or should I create a new flow with my own libraries and somehow inject it all into Shibboleth or something in between.</div><div><br></div><div>My flow will be similar to the password-auth-flow, except after the user/password has been validated, I need to extract the mobile# and send the sms code, then we go to a new view, where the user has to enter this code. Once the code has been validated we are done. If the code fails we stay on that screen.</div><div><br></div><div>Thanks</div><div>Ranil<br><div><br></div><div><div><div class="gmail_extra"><br><div class="gmail_quote">On 27 April 2015 at 03:33, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><span class="">On 4/26/15, 9:26 AM, "Ranil De Silva" <<a href="mailto:ranil.desilva@industrieit.com">ranil.desilva@industrieit.com</a>> wrote:<br>
><br>
>From a custom development approach, I can see two options. The first is to write a JAAS module and drop it in. The second is to modify the existing username/password authentication to support the 2 factor authentication.<br>
<br>
</span>You do not modify existing flows, ever. You create your own.<br>
<span class=""><br>
> The JAAS module would seem to be a more independent approach to adding 2-factor authentication to the IDP.<br>
<br>
</span>You can't use JAAS as easily with single factor mechanisms like Duo that rely on other systems to handle passwords as the second factor. JAAS works with self-contained mechanisms that combine a PIN with OTPs to produce both factors in one password field. You can buid proxy servers that take a combined field and split them to validate them independently in some cases.<br>
<div class=""><div class="h5"><br>
-- Scott<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</div></div></blockquote></div><br><div><br></div>
</div></div></div></div></div>

<br>
<div><font face="Arial, Helvetica, sans-serif" size="2"><br></font></div><font face="Arial, Helvetica, sans-serif" size="2">This email is confidential and intended solely for the person(s) to whom it is addressed.</font>