Ứng dụng xác thực không cần điện thoại: cách lấy mã 2FA trên máy tính

Bạn đăng nhập hầu hết mọi thứ trong Chrome. Tiện ích trình duyệt giữ mã ngay chỗ bạn gõ. 2FA Authenticator – Trình xác thực chèn mã vào ô nhập bằng nhấp chuột phải hoặc Ctrl+Shift+Y và quét mã QR thiết lập ngay trên trang; bản cài đặt mới có thể bị giới hạn số tài khoản được dùng miễn phí, và Pro gỡ bỏ giới hạn đó. Authenticator (authenticator.cc) miễn phí, có nhiều người dùng hơn hẳn và hỗ trợ nhiều loại mã hơn, dù bản trên Chrome Web Store được cập nhật lần cuối vào tháng 8 năm 2024.

Bạn muốn một ứng dụng bên ngoài trình duyệt. Proton Authenticator và Ente Auth miễn phí và mã nguồn mở, chạy trên Windows, macOS và Linux cũng như điện thoại, và không cần tài khoản trừ khi bạn muốn đồng bộ — nên điện thoại có thể là bản thứ hai về sau, hoặc không bao giờ. KeePassXC giữ mã trong tệp cơ sở dữ liệu được mã hóa trên máy tính và có thể điền mã trong trình duyệt qua tiện ích của nó.

Bạn đã trả tiền cho một trình quản lý mật khẩu. Bitwarden (Premium, $19.80/năm) và 1Password tạo mã và điền ngay sau mật khẩu, và cả hai đều có tài liệu về việc đọc mã QR thiết lập trên màn hình. Điểm cần cân nhắc nằm ở phần nói về việc giữ mã và mật khẩu chung một chỗ, bên dưới.

Bạn muốn khóa bí mật hoàn toàn không nằm trên máy tính. YubiKey cùng ứng dụng Yubico Authenticator lưu khóa bí mật của từng tài khoản trong phần tử bảo mật (secure element) của khóa, nơi Yubico cho biết không thể trích xuất. Ứng dụng chạy trên Windows, macOS và Linux, quét mã QR thiết lập trên màn hình và hiển thị mã khi khóa đang được cắm. Một YubiKey 5 chứa tối đa 64 tài khoản với firmware 5.7 trở lên, 32 tài khoản với firmware cũ hơn. Bạn phải mua khóa — và vì khóa bí mật không sao chép ra được, Yubico khuyên đăng ký thêm một khóa thứ hai làm dự phòng.

Máy tính có thể thay ứng dụng xác thực. Nó không thay được điện thoại khi chính dịch vụ đã chọn điện thoại làm yếu tố thứ hai:

Chỉ có mã qua tin nhắn SMS hoặc email. Một số dịch vụ hoàn toàn không có tùy chọn ứng dụng xác thực: mã đến qua SMS hoặc email, và không có gì để ứng dụng xác thực tạo ra. Apple Account là trường hợp quen thuộc — trợ giúp của Apple cho biết mã hiển thị trên các thiết bị Apple tin cậy hoặc được gửi tới số điện thoại tin cậy của bạn, và không mô tả ứng dụng xác thực bên thứ ba nào.

Ứng dụng riêng của dịch vụ. Một số ngân hàng xác nhận đăng nhập trong ứng dụng riêng của họ thay vì mã tiêu chuẩn; ví dụ Truist dùng ứng dụng di động Truist Authenticator. Nếu nơi làm việc bắt buộc phê duyệt trong một ứng dụng cụ thể, đó cũng là lựa chọn của họ, và mã từ ứng dụng khác sẽ không được chấp nhận.

Chỉ thiết lập được trong ứng dụng điện thoại. Trợ giúp của TikTok mô tả việc bật xác minh 2 bước bằng ứng dụng xác thực chỉ trong ứng dụng TikTok trên di động, và TikTok yêu cầu thêm một phương thức thứ hai như số điện thoại hoặc email. Sau khi thiết lập xong, mã có thể nằm ở bất cứ đâu — hướng dẫn TikTok của chúng tôi chỉ cách đưa mã QR từ điện thoại vào tiện ích.

Mã đã nằm sẵn trên điện thoại. Nếu tài khoản của bạn hiện đang ở Google Authenticator, bạn cần điện thoại một lần để xuất chúng — xem nhập từ Google Authenticator — hoặc thiết lập lại từng tài khoản từ máy tính.

Xác thực hai yếu tố vốn cần hai thứ khác nhau. Nếu chiếc máy tính ghi nhớ mật khẩu cũng tạo luôn mã, kẻ chiếm được máy tính đó — phần mềm độc hại sao chép dữ liệu trình duyệt, hoặc một người ngồi vào bàn khi máy chưa khóa — có thể lấy được cả hai. Chính hướng dẫn của KeePassXC nói thẳng: giữ mã TOTP trong cùng cơ sở dữ liệu với mật khẩu sẽ xóa bỏ ưu điểm của xác thực hai yếu tố, và gợi ý dùng một cơ sở dữ liệu riêng chỉ mở khi cần.

Điều mà mã trên máy tính vẫn chặn được chính là phần lớn các vụ chiếm tài khoản: mật khẩu bị lộ từ trang khác, bị đoán ra, hoặc bị gõ vào trang lừa đảo phishing. Kẻ tấn công có mật khẩu nhưng không có máy tính của bạn, nên không có mã. Điện thoại chủ yếu bảo vệ thêm trước kẻ đã kiểm soát được máy tính của bạn.

1. Khóa mã lại. Bật bảo vệ bằng mật khẩu trong 2FA Authenticator – Trình xác thực: khi đó mã được mã hóa trên thiết bị, kể cả các bản sao lưu, và không ai đọc được nếu không có mật khẩu của bạn. Ứng dụng máy tính và trình quản lý mật khẩu có khóa riêng — hãy dùng chúng.

2. Giữ mã tách khỏi mật khẩu. Mã nằm trong một ứng dụng hoặc tiện ích riêng, thay vì trong kho chứa mật khẩu, nghĩa là chỉ một mật khẩu chính bị đánh cắp thì chưa đủ.

3. Giữ một bản sao lưu ngoài máy tính. 2FA Authenticator – Trình xác thực tự động tạo một bản sao mỗi ngày và giữ bảy bản gần nhất, nhưng các bản này nằm bên trong tiện ích và mất theo nếu tiện ích bị gỡ. Hãy xuất một tệp có mật khẩu bảo vệ ra USB hoặc nơi khác do bạn kiểm soát — cách sao lưu.

4. Lưu mã khôi phục của mọi trang. Chúng giúp bạn vào lại nếu máy tính bị mất hoặc hỏng, mà không cần ứng dụng xác thực nào. Hãy in ra hoặc cất ở nơi khác ngoài máy tính này.

5. Thêm điện thoại sau nếu bạn có. Quét cùng mã QR bằng một ứng dụng điện thoại lúc thiết lập sẽ cho bạn thiết bị thứ hai hiển thị cùng mã — đó là bản dự phòng, không phải điều bắt buộc.

1. Cài một ứng dụng xác thực trên máy tính — của chúng tôi là 2FA Authenticator – Trình xác thực.

2. Đăng nhập trang web và mở phần cài đặt bảo mật. Bật xác thực hai yếu tố (đôi khi gọi là xác minh 2 bước), và nếu trang đề xuất tin nhắn SMS trước, hãy chọn ứng dụng xác thực. Hướng dẫn cài đặt của chúng tôi chỉ vị trí này cho 108 dịch vụ.

3. Trang hiển thị mã QR. Trong 2FA Authenticator – Trình xác thực: “Thêm tài khoản” → “Mã QR” → “Quét QR từ màn hình”. Nếu không quét được, hãy dùng liên kết “Can't scan the QR code?” (Không quét được mã QR?) hoặc “Enter manually” (Nhập thủ công) của trang và dán khóa dạng văn bản — nơi tìm khóa bí mật.

4. Nhập lại mã sáu chữ số từ tiện ích vào trang. Chưa làm bước này thì 2FA chưa được bật.

5. Lưu các mã khôi phục mà trang hiển thị tiếp theo, rồi sao lưu chính ứng dụng xác thực.

Nếu trang từ chối mã, lý do thường gặp là trang đã tạo mã QR mới sau khi bạn quét mã đầu tiên — hãy bắt đầu thiết lập lại và quét mã đang hiện trên màn hình. Các nguyên nhân khác có trong vì sao mã không hoạt động.