Aplikacja uwierzytelniająca bez telefonu: jak mieć kody 2FA na komputerze

Do większości serwisów logujesz się w Chrome. Rozszerzenie przeglądarki trzyma kody tam, gdzie je wpisujesz. 2FA Authenticator wstawia kod w pole prawym przyciskiem myszy lub skrótem Ctrl+Shift+Y i skanuje kod QR konfiguracji prosto ze strony; nowa instalacja może mieć limit darmowych kont, który znosi Pro. Authenticator (authenticator.cc) jest darmowy, ma znacznie więcej użytkowników i obsługuje więcej typów kodów, choć ostatnia aktualizacja jego wersji w Chrome Web Store to sierpień 2024.

Chcesz aplikacji poza przeglądarką. Proton Authenticator i Ente Auth są darmowe i mają otwarty kod, działają na Windows, macOS i Linuksie, a także na telefonach, i nie wymagają konta, chyba że chcesz synchronizacji — telefon może więc zostać drugą kopią później albo nigdy. KeePassXC trzyma kody w swoim zaszyfrowanym pliku bazy na komputerze i potrafi wypełniać je w przeglądarce przez swoje rozszerzenie.

Już płacisz za menedżer haseł. Bitwarden (Premium, $19.80/rok) i 1Password generują kody i wypełniają je zaraz po haśle, a oba opisują odczyt kodu QR konfiguracji z ekranu. Haczyk wyjaśniamy niżej, w części o trzymaniu kodów i haseł razem.

Chcesz, żeby sekretów w ogóle nie było na komputerze. YubiKey z aplikacją Yubico Authenticator przechowuje sekret każdego konta w bezpiecznym elemencie klucza, skąd — jak podaje Yubico — nie da się go wydobyć. Aplikacja działa na Windows, macOS i Linuksie, skanuje kod QR konfiguracji z ekranu i pokazuje kody, gdy klucz jest podłączony. YubiKey 5 mieści do 64 kont z oprogramowaniem układowym 5.7 i nowszym, a 32 ze starszym. Klucz trzeba kupić — a ponieważ sekretów nie da się z niego skopiować, Yubico zaleca zarejestrowanie drugiego klucza jako zapasowego.

Komputer może zastąpić aplikację uwierzytelniającą. Nie zastąpi telefonu tam, gdzie to sam serwis uczynił telefon drugim składnikiem:

Kody tylko SMS-em lub e-mailem. Niektóre serwisy w ogóle nie oferują opcji aplikacji uwierzytelniającej: kod przychodzi SMS-em lub e-mailem i aplikacja nie ma czego generować. Dobrze znany przykład to konto Apple — pomoc Apple podaje, że kod jest wyświetlany na zaufanych urządzeniach Apple lub wysyłany na zaufany numer telefonu, i nie opisuje żadnej zewnętrznej aplikacji uwierzytelniającej.

Własna aplikacja serwisu. Niektóre banki potwierdzają logowania we własnej aplikacji zamiast standardowymi kodami; Truist na przykład używa swojej aplikacji mobilnej Truist Authenticator. Jeśli pracodawca wymaga zatwierdzenia w konkretnej aplikacji, to także jego decyzja, a kody z innej aplikacji nie zostaną przyjęte.

Konfiguracja tylko w aplikacji na telefon. Pomoc TikToka opisuje włączanie weryfikacji dwuetapowej z aplikacją uwierzytelniającą wyłącznie w aplikacji mobilnej TikTok i prosi o drugą metodę, np. numer telefonu lub e-mail. Po konfiguracji kody mogą być gdziekolwiek — nasz poradnik do TikToka pokazuje, jak przenieść kod QR z telefonu do rozszerzenia.

Kody, które już są na telefonie. Jeśli twoje konta są dziś w Google Authenticator, telefon będzie potrzebny raz, żeby je wyeksportować — zobacz import z Google Authenticator — albo skonfigurujesz każde konto od nowa z komputera.

Uwierzytelnianie dwuskładnikowe ma wymagać dwóch różnych rzeczy. Jeśli komputer, który pamięta twoje hasła, generuje też kody, ktoś, kto go przejmie — złośliwe oprogramowanie kopiujące dane przeglądarki albo osoba, która siądzie przy twoim odblokowanym komputerze — może zdobyć jedno i drugie. Poradnik KeePassXC mówi to wprost: trzymanie kodów TOTP w tej samej bazie co hasło niweczy zalety uwierzytelniania dwuskładnikowego — i proponuje osobną bazę, odblokowywaną tylko w razie potrzeby.

Kody na komputerze nadal powstrzymują to, czym jest większość przejęć kont: hasło, które wyciekło z innej strony, zostało odgadnięte albo wpisane na stronie phishingowej. Atakujący ma hasło, ale nie ma twojego komputera, więc nie ma kodu. Telefon chroni dodatkowo głównie przed kimś, kto już kontroluje twój komputer.

1. Zablokuj kody. Włącz ochronę hasłem w rozszerzeniu 2FA Authenticator: kody są wtedy zaszyfrowane na twoim urządzeniu, łącznie z kopiami zapasowymi, i nie da się ich odczytać bez hasła. Aplikacje desktopowe i menedżery haseł mają własne blokady — korzystaj z nich.

2. Trzymaj kody osobno od haseł. Kody w osobnej aplikacji lub rozszerzeniu, a nie w sejfie z hasłami, sprawiają, że jedno skradzione hasło główne nie wystarczy.

3. Trzymaj kopię zapasową poza komputerem. Rozszerzenie 2FA Authenticator raz dziennie robi automatyczną kopię i przechowuje ostatnie siedem, ale te kopie są wewnątrz rozszerzenia i znikają razem z nim, jeśli zostanie usunięte. Wyeksportuj plik chroniony hasłem na pendrive’a albo w inne miejsce, które kontrolujesz — jak zrobić kopię zapasową.

4. Zapisz kody odzyskiwania każdej strony. Pozwolą ci wrócić na konto, jeśli komputer zginie lub się zepsuje, zupełnie bez aplikacji uwierzytelniającej. Wydrukuj je albo przechowuj z dala od tego komputera.

5. Dodaj telefon później, jeśli go kupisz. Zeskanowanie tego samego kodu QR aplikacją na telefonie podczas konfiguracji daje drugie urządzenie z tymi samymi kodami — kopię zapasową, a nie wymóg.

1. Zainstaluj aplikację uwierzytelniającą na komputerze — nasze rozszerzenie to 2FA Authenticator.

2. Zaloguj się na stronie i otwórz jej ustawienia bezpieczeństwa. Włącz uwierzytelnianie dwuskładnikowe (czasem nazywane weryfikacją dwuetapową), a jeśli strona najpierw proponuje SMS-y, wybierz aplikację uwierzytelniającą. Nasze poradniki konfiguracji pokazują, gdzie to jest w 108 serwisach.

3. Strona pokaże kod QR. W rozszerzeniu 2FA Authenticator: „Dodaj konto” → „Kod QR” → „Skanuj QR z ekranu”. Jeśli skanowanie nie działa, użyj na stronie linku w rodzaju „Nie możesz zeskanować kodu QR?” albo „Wpisz ręcznie” i wklej klucz tekstowy — gdzie znaleźć tajny klucz.

4. Wpisz sześciocyfrowy kod z rozszerzenia z powrotem na stronie. Dopóki tego nie zrobisz, 2FA nie jest włączone.

5. Zapisz kody odzyskiwania, które strona pokaże potem, a następnie zrób kopię zapasową samej aplikacji uwierzytelniającej.

Jeśli strona odrzuca kod, zwykle po zeskanowaniu pierwszego kodu QR utworzyła nowy — zacznij konfigurację od nowa i zeskanuj kod, który jest teraz na ekranie. Więcej przyczyn w części dlaczego kody nie działają.