Aplikacje uwierzytelniające i hasła aplikacji: jak działają

Aplikacja uwierzytelniająca tworzy jednorazowe hasła oparte na czasie, czyli metodę zwykle nazywaną TOTP. Gdy włączasz uwierzytelnianie dwuskładnikowe oparte na aplikacji, serwis pokazuje kod QR. Zawiera on tajny klucz, a jego zeskanowanie zapisuje kopię klucza w aplikacji. Od tej pory serwis i twój telefon dzielą ten sam sekret, który nie musi już nigdy podróżować przez sieć.

Aby utworzyć kod, aplikacja łączy sekret z bieżącym czasem, zaokrąglonym do krótkiego przedziału, zwykle 30 sekund, i przepuszcza wynik przez standardową funkcję kryptograficzną. Następnie skraca wynik do krótkiej liczby, zazwyczaj sześciocyfrowej. Serwer wykonuje te same obliczenia po swojej stronie i porównuje oba wyniki. Ponieważ obie strony potrzebują tylko sekretu i zegara, aplikacja działa bez internetu mobilnego i Wi-Fi.

Ta konstrukcja tłumaczy najczęstszy problem: kody odrzucane mimo poprawnego wpisania. Jeśli zegar w telefonie się rozjeżdża, aplikacja oblicza kody dla niewłaściwego przedziału czasu. Ustawienie automatycznej aktualizacji daty i godziny zwykle rozwiązuje sprawę, a niektóre aplikacje mają też opcję korekty czasu.

Każda aplikacja obsługująca standardową metodę TOTP działa z większością serwisów, więc prawdziwy wybór sprowadza się do tego, jak aplikacja traktuje twoje sekrety. Duże firmy platformowe oferują własne aplikacje, wśród nich Google Authenticator i Microsoft Authenticator, a wiele menedżerów haseł potrafi przechowywać także kody TOTP.

Szukaj sposobu wykonania kopii zapasowej lub eksportu kodów, bo aplikacja trzymająca je tylko na jednym telefonie zamienia zgubiony telefon w blokadę konta. Jeśli aplikacja synchronizuje się z kontem w chmurze, upewnij się, że samo to konto jest dobrze chronione, i wybieraj aplikacje szyfrujące kopię zapasową. Blokada aplikacji odciskiem palca, twarzą lub kodem PIN dodaje ochronę, gdyby ktoś wziął do ręki twój odblokowany telefon.

Niektóre aplikacje uwierzytelniające oferują też zatwierdzanie push dla kont własnej firmy, gdzie dotykasz przycisku, by potwierdzić logowanie, zamiast wpisywać kod. To wygodne, ale działa tylko z tym dostawcą. W przypadku każdego innego serwisu aplikacja zachowuje się jak standardowy generator kodów.

W ustawieniach zabezpieczeń konta wybierz opcję skonfigurowania aplikacji uwierzytelniającej. Zeskanuj kod QR aplikacją albo wpisz ręcznie klucz konfiguracji, jeśli nie możesz skanować. Serwis poprosi wtedy o bieżący kod, by potwierdzić, że konfiguracja się udała. Nie pomijaj tego kroku i nie zamykaj strony, dopóki kod nie zostanie zaakceptowany.

Nadaj każdemu wpisowi czytelną nazwę, jeśli aplikacja na to pozwala, zwłaszcza gdy zarządzasz kilkoma kontami w tym samym serwisie. Wpis pokazujący tylko nazwę marki łatwo pomylić z innym, a usunięcie niewłaściwego wpisu może cię zablokować.

Jednocześnie zapisz kody zapasowe lub odzyskiwania, które oferuje serwis. To najprostsza droga powrotna, jeśli telefon z aplikacją zostanie zgubiony, zanim zrobisz kopię swoich kodów.

Najbezpieczniejsza zasada jest prosta: skonfiguruj nowy telefon, dopóki stary jeszcze działa. Nie wymazuj danych ze starego urządzenia, nie sprzedawaj go i nie oddawaj w rozliczeniu, dopóki każdy kod nie zostanie przeniesiony i przetestowany.

Wiele aplikacji uwierzytelniających ma funkcję przenoszenia lub eksportu, która pokazuje na starym telefonie jeden lub kilka kodów QR do zeskanowania na nowym. Inne przywracają wpisy z zaszyfrowanej kopii w chmurze po zalogowaniu na nowym urządzeniu. Po przeniesieniu zaloguj się na kilku kontach nowymi kodami, aby potwierdzić, że się zgadzają.

Jeśli aplikacja nie ma opcji przenoszenia, przenoś konta po jednym. Zaloguj się do każdego serwisu, otwórz jego ustawienia dwuskładnikowe, wybierz dodanie lub zmianę aplikacji uwierzytelniającej, zeskanuj nowy kod QR nowym telefonem i potwierdź kod. W wielu serwisach stary wpis przestaje działać po zastąpieniu sekretu, więc usuń go potem, aby uniknąć zamieszania. W czasie przenoszenia miej pod ręką kody zapasowe na wypadek, gdyby coś poszło nie tak w połowie.

Hasło aplikacji to długie, losowo wygenerowane hasło, które pozwala jednej konkretnej aplikacji lub urządzeniu zalogować się na twoje konto z pominięciem uwierzytelniania dwuskładnikowego. Istnieje dla starszego oprogramowania, które rozumie tylko nazwę użytkownika i hasło i nie potrafi wyświetlić monitu o kod ani otworzyć strony logowania.

Konta Google, Microsoft i Yahoo, między innymi, pozwalają tworzyć hasła aplikacji w ustawieniach zabezpieczeń konta, w większości przypadków dopiero po włączeniu weryfikacji dwuetapowej. Niektóre typy kont, na przykład niektóre konta służbowe lub szkolne albo konta objęte najsurowszymi programami bezpieczeństwa, mogą ich w ogóle nie oferować. Każde hasło aplikacji zwykle widzisz tylko raz, w chwili utworzenia, więc wklej je do aplikacji od razu.

Ponieważ hasło aplikacji pomija drugi składnik, traktuj je jak pełne hasło do chronionej skrzynki. Utwórz osobne dla każdej aplikacji lub urządzenia, nadaj mu opisową nazwę, jeśli serwis na to pozwala, i nie używaj go nigdzie indziej.

Nowoczesne aplikacje pocztowe logują się do dużych dostawców przez okno logowania w stylu przeglądarki, które samo obsługuje uwierzytelnianie dwuskładnikowe, więc hasło aplikacji nie jest potrzebne. Zwykle potrzebujesz go tylko wtedy, gdy program lub urządzenie łączy się przez zwykłe ustawienia IMAP, POP lub SMTP z prostym polem na hasło: starsze programy pocztowe na komputery, niektóre aplikacje pocztowe na telefony, skanery i drukarki wysyłające e-maile, narzędzia do kopii zapasowych, skrypty i starsze inteligentne urządzenia.

Dobrym testem jest najpierw próba zwykłego logowania. Jeśli aplikacja otwiera stronę logowania dostawcy, użyj jej. Jeśli oferuje tylko ustawienia serwera i wciąż odrzuca twoje poprawne hasło po włączeniu weryfikacji dwuetapowej, to sygnał, by utworzyć hasło aplikacji, wpisać je zamiast zwykłego hasła i pozostawić pozostałe ustawienia bez zmian.

Dostawcy stopniowo odchodzą od logowania zwykłym hasłem w aplikacjach zewnętrznych, więc hasło aplikacji, które dziś działa, może później przestać być obsługiwane. Gdy program, na którym polegasz, przestaje się łączyć, sprawdź, czy nowsza wersja obsługuje nowoczesną metodę logowania, zanim utworzysz kolejne hasło aplikacji.

Od czasu do czasu przeglądaj hasła aplikacji w ustawieniach zabezpieczeń konta i unieważniaj te, których już nie używasz, zwłaszcza dla sprzedanych urządzeń lub odinstalowanych programów. Niektórzy dostawcy wyświetlają każde hasło aplikacji osobno, inni pozwalają usunąć tylko wszystkie naraz. W niektórych serwisach zmiana hasła głównego unieważnia też istniejące hasła aplikacji, więc przygotuj się na utworzenie nowych.

Jeśli konto e-mail trafia do ciebie od kogoś innego, na przykład przez marketplace produktów cyfrowych taki jak rStock, usuń wszystkie hasła aplikacji i wpisy uwierzytelniające, które nie pochodzą od ciebie, a potem skonfiguruj własną aplikację uwierzytelniającą i wygeneruj nowe kody zapasowe. W rStock dostarczona zawartość pojawia się na twojej stronie zamówienia jako zapis dostawy powiązany z zamówieniem, więc skopiuj dane do menedżera haseł, zanim zaczniesz je zmieniać. Korzystaj z każdego zdobytego konta zgodnie z warunkami korzystania dostawcy i pamiętaj, że rStock nie jest powiązany z Google, Microsoft, Yahoo ani żadnym innym dostawcą wymienionym w tym artykule.

Na koniec trzymaj aplikację uwierzytelniającą, kody zapasowe i hasła aplikacji osobno, gdzie to możliwe. Jeden skradziony telefon lub jedna wyciekła notatka nigdy nie powinny wystarczyć, by oddać komuś wszystkie klucze do twojej poczty.