Автентифікатор без телефона: як отримувати коди 2FA на комп’ютері

Ви входите майже всюди в Chrome. Розширення для браузера тримає коди там, де ви їх вводите. 2FA Authenticator – Автентифікатор вставляє код у поле правим кліком або Ctrl+Shift+Y і сканує QR-код налаштування просто зі сторінки; у новій установці може діяти ліміт на кількість безкоштовних акаунтів, а Pro знімає це обмеження. Authenticator (authenticator.cc) безкоштовний, має значно більше користувачів і підтримує більше типів кодів, хоча останнє оновлення його збірки в Chrome Web Store — серпень 2024 р.

Потрібен застосунок поза браузером. Proton Authenticator і Ente Auth безкоштовні й з відкритим кодом, працюють на Windows, macOS і Linux, а також на телефонах, і не потребують акаунта, якщо вам не потрібна синхронізація, — тож телефон може стати другою копією згодом або ніколи. KeePassXC зберігає коди у своєму зашифрованому файлі бази на комп’ютері й уміє підставляти їх у браузері через своє розширення.

Ви вже платите за менеджер паролів. Bitwarden (Premium, $19.80 на рік) і 1Password генерують коди й підставляють їх одразу після пароля, і обидва описують зчитування QR-коду налаштування з екрана. Підводний камінь — у розділі нижче про зберігання кодів разом із паролями.

Хочете, щоб секретів на комп’ютері не було взагалі. YubiKey із застосунком Yubico Authenticator зберігає секрет кожного акаунта в захищеному елементі ключа, звідки, за словами Yubico, його неможливо витягти. Застосунок працює на Windows, macOS і Linux, сканує QR-код налаштування з екрана й показує коди, поки ключ під’єднано. YubiKey 5 вміщує до 64 акаунтів на прошивці 5.7 і новіших, 32 — на старіших. Ключ доведеться купити, а оскільки секрети з нього не скопіювати, Yubico радить зареєструвати другий ключ як резервний.

Комп’ютер може замінити застосунок-автентифікатор. Але не може замінити телефон там, де другим фактором телефон зробив сам сервіс:

Коди лише в SMS або електронною поштою. Деякі сервіси взагалі не пропонують варіанта із застосунком-автентифікатором: код надходить у SMS або листом, і автентифікатору нічого генерувати. Відомий приклад — Apple Account: у довідці Apple сказано, що код показується на ваших довірених пристроях Apple або надсилається на довірений номер телефону, а про сторонні застосунки-автентифікатори там не йдеться.

Власний застосунок сервісу. Деякі банки підтверджують вхід у своєму застосунку замість стандартних кодів; Truist, наприклад, використовує мобільний застосунок Truist Authenticator. Якщо роботодавець вимагає підтвердження в певному застосунку, це теж його вибір, і коди з іншого застосунку не приймуть.

Налаштування лише в застосунку на телефоні. У довідці TikTok описано ввімкнення двоетапної перевірки через застосунок-автентифікатор лише в мобільному застосунку TikTok, і він просить другий спосіб — номер телефону чи електронну пошту. Коли все налаштовано, коди можуть жити де завгодно — наша інструкція для TikTok показує, як перенести QR-код з телефона в розширення.

Коди, які вже на телефоні. Якщо ваші акаунти зараз у Google Authenticator, телефон знадобиться один раз, щоб їх експортувати, — див. імпорт з Google Authenticator, — або налаштуйте кожен акаунт заново з комп’ютера.

Двофакторна автентифікація задумана так, щоб для входу були потрібні дві різні речі. Якщо комп’ютер, який пам’ятає ваші паролі, ще й генерує коди, той, хто захопить цей комп’ютер, — шкідлива програма, що копіює дані браузера, чи людина за вашим незаблокованим комп’ютером, — може отримати і те, й інше. Посібник KeePassXC каже про це прямо: зберігання TOTP-кодів у тій самій базі, що й пароль, зводить нанівець переваги двофакторної автентифікації, — і радить окрему базу, яку відкривають лише за потреби.

Від чого коди на комп’ютері все одно захищають — це більшість випадків захоплення акаунтів: пароль, який витік з іншого сайту, був підібраний чи введений на фішинговій сторінці. Зловмисник має пароль, але не ваш комп’ютер, тож коду в нього немає. Телефон додає захисту переважно від того, хто вже контролює ваш комп’ютер.

1. Заблокуйте коди. Увімкніть у 2FA Authenticator – Автентифікатор захист паролем: тоді коди шифруються на вашому пристрої, разом із резервними копіями, і без вашого пароля їх не прочитати. Десктопні застосунки й менеджери паролів мають власні блокування — користуйтеся ними.

2. Зберігайте коди окремо від паролів. Коли коди лежать в окремому застосунку чи розширенні, а не в сховищі з паролями, одного викраденого майстер-пароля недостатньо.

3. Тримайте резервну копію поза комп’ютером. 2FA Authenticator – Автентифікатор раз на день автоматично робить копію й зберігає сім останніх, але ці копії живуть усередині розширення й зникають разом із ним, якщо його видалити. Експортуйте захищений паролем файл на флешку чи в інше місце, яке ви контролюєте, — як зробити резервну копію.

4. Збережіть коди відновлення кожного сайту. Вони повернуть вас в акаунт, якщо комп’ютер загубиться чи зламається, — зовсім без автентифікатора. Роздрукуйте їх або зберігайте подалі від цього комп’ютера.

5. З’явиться телефон — додайте й його. Якщо під час налаштування відсканувати той самий QR-код застосунком на телефоні, у вас буде другий пристрій із тими самими кодами — запасний варіант, а не обов’язкова умова.

1. Установіть автентифікатор на комп’ютер — наш називається 2FA Authenticator – Автентифікатор.

2. Увійдіть на сайт і відкрийте налаштування безпеки. Увімкніть двофакторну автентифікацію (іноді її називають двоетапною перевіркою), а якщо сайт першим пропонує SMS, виберіть застосунок-автентифікатор. У наших інструкціях з налаштування показано, де це розташовано, для 108 сервісів.

3. Сайт покаже QR-код. У 2FA Authenticator – Автентифікатор: «Додати акаунт» → «QR-код» → «Сканувати QR з екрана». Якщо код не сканується, скористайтеся посиланням сайту на кшталт «Не вдається відсканувати QR-код?» або «Ввести вручну» і вставте текстовий ключ — де знайти секретний ключ.

4. Введіть шестизначний код із розширення на сайті. Доки ви цього не зробите, 2FA не ввімкнено.

5. Збережіть коди відновлення, які сайт покаже далі, а потім зробіть резервну копію самого автентифікатора.

Якщо сайт не приймає код, зазвичай причина в тому, що він створив новий QR-код після того, як ви відсканували перший, — почніть налаштування заново й відскануйте той код, що на екрані зараз. Інші причини — у розділі чому коди не працюють.