Аутентификатор без телефона: как получать коды 2FA на компьютере

Вы входите почти везде через Chrome. Расширение для браузера держит коды там, где вы их вводите. Аутентификатор 2FA вставляет код в поле по правому клику или Ctrl+Shift+Y и сканирует QR-код настройки прямо со страницы; в новой установке может быть лимит бесплатных аккаунтов, который снимает Pro. Authenticator (authenticator.cc) бесплатен, у него намного больше пользователей и больше типов кодов, хотя последнее обновление его сборки в Chrome Web Store — август 2024 г.

Нужно приложение вне браузера. Proton Authenticator и Ente Auth бесплатны, с открытым кодом, работают на Windows, macOS и Linux, а также на телефонах и не требуют аккаунта, если не нужна синхронизация, — так что телефон может стать второй копией позже, а может и не понадобиться никогда. KeePassXC хранит коды в своём зашифрованном файле базы данных на компьютере и умеет подставлять их в браузере через своё расширение.

Вы уже платите за менеджер паролей. Bitwarden (Premium, $19.80 в год) и 1Password генерируют коды и подставляют их сразу после пароля, и оба описывают считывание QR-кода настройки с экрана. Подвох — в разделе о хранении кодов вместе с паролями, ниже.

Хотите, чтобы секретов на компьютере не было вовсе. YubiKey с приложением Yubico Authenticator хранит секрет каждого аккаунта в защищённом элементе ключа, откуда, по словам Yubico, его нельзя извлечь. Приложение работает на Windows, macOS и Linux, сканирует QR-код настройки с экрана и показывает коды, пока ключ подключён. YubiKey 5 вмещает до 64 аккаунтов на прошивке 5.7 и новее и до 32 на более старой. Ключ нужно купить — а поскольку секреты с него не скопировать, Yubico советует зарегистрировать второй ключ как резервный.

Компьютер может заменить приложение-аутентификатор. Но он не заменит телефон там, где вторым фактором телефон сделал сам сервис:

Коды только по SMS или почте. Некоторые сервисы вообще не предлагают вариант с приложением-аутентификатором: код приходит в SMS или на почту, и аутентификатору нечего генерировать. Известный пример — Apple Account: в справке Apple сказано, что код показывается на ваших доверенных устройствах Apple или отправляется на доверенный номер телефона, а сторонние приложения-аутентификаторы там не упоминаются.

Собственное приложение сервиса. Некоторые банки подтверждают вход в своём приложении, а не стандартными кодами; Truist, например, использует мобильное приложение Truist Authenticator. Если работодатель требует подтверждения в определённом приложении, это тоже его выбор, и коды другого приложения не примут.

Настройка только в мобильном приложении. В справке TikTok включение двухэтапной проверки через приложение-аутентификатор описано только в мобильном приложении TikTok, и он просит второй способ, например номер телефона или почту. После настройки коды могут жить где угодно — в нашей инструкции для TikTok показано, как перенести QR-код с телефона в расширение.

Коды уже на телефоне. Если ваши аккаунты сейчас в Google Authenticator, телефон понадобится один раз, чтобы их экспортировать, — см. импорт из Google Authenticator, — или придётся настроить каждый аккаунт заново с компьютера.

Двухфакторная аутентификация задумана так, чтобы требовать две разные вещи. Если компьютер, который помнит ваши пароли, ещё и генерирует коды, то тот, кто получит контроль над этим компьютером, — вредоносная программа, копирующая данные браузера, или человек за вашим незаблокированным компьютером, — может получить и то и другое. Руководство KeePassXC говорит об этом прямо: хранение TOTP-кодов в той же базе, что и пароль, сводит на нет преимущества двухфакторной аутентификации, — и советует завести отдельную базу, которую вы открываете только при необходимости.

Но коды на компьютере по-прежнему останавливают то, с чего начинается большинство взломов аккаунтов: пароль, утёкший с другого сайта, подобранный или введённый на фишинговой странице. У злоумышленника есть пароль, но нет вашего компьютера — а значит, нет и кода. Телефон добавляет защиту в основном от того, кто уже контролирует ваш компьютер.

1. Закройте коды паролем. Включите защиту паролем в расширении Аутентификатор 2FA: коды будут зашифрованы на вашем устройстве вместе с резервными копиями, и без пароля их не прочитать. У десктопных приложений и менеджеров паролей есть свои блокировки — пользуйтесь ими.

2. Храните коды отдельно от паролей. Если коды лежат в отдельном приложении или расширении, а не в хранилище с паролями, одного украденного мастер-пароля мало.

3. Держите резервную копию вне компьютера. Аутентификатор 2FA раз в день делает автоматическую копию и хранит последние семь, но эти копии живут внутри расширения и исчезнут вместе с ним, если его удалить. Экспортируйте файл, защищённый паролем, на флешку или в другое место под вашим контролем — как сделать резервную копию.

4. Сохраните коды восстановления каждого сайта. Они вернут доступ, если компьютер потеряется или сломается, — вообще без аутентификатора. Распечатайте их или храните подальше от этого компьютера.

5. Появится телефон — добавьте и его. Если при настройке отсканировать тот же QR-код ещё и приложением на телефоне, второе устройство будет показывать те же коды — это резервная копия, а не обязательное условие.

1. Установите аутентификатор на компьютер — наш называется Аутентификатор 2FA.

2. Войдите на сайт и откройте настройки безопасности. Включите двухфакторную аутентификацию (иногда её называют двухэтапной проверкой), а если сайт сначала предлагает SMS, выберите приложение-аутентификатор. В наших инструкциях по настройке показано, где это находится, для 108 сервисов.

3. Сайт покажет QR-код. В расширении Аутентификатор 2FA: «Добавить аккаунт» → «QR-код» → «Сканировать QR с экрана». Если код не сканируется, воспользуйтесь ссылкой сайта вроде «Не удаётся отсканировать QR-код?» или «Ввести вручную» и вставьте текстовый ключ — где найти секретный ключ.

4. Введите шестизначный код из расширения на сайте. Пока вы этого не сделали, 2FA не включена.

5. Сохраните коды восстановления, которые сайт покажет следом, а затем сделайте резервную копию самого аутентификатора.

Если сайт отклоняет код, обычно дело в том, что он создал новый QR-код после того, как вы отсканировали первый, — начните настройку заново и отсканируйте тот код, что на экране сейчас. Другие причины — в разделе почему коды не работают.