Google Authenticator: jak działają jego kody 2FA

Mniej więcej co 30 sekund krótki ciąg cyfr na telefonie się zmienia, a witryna, której nigdy nie pokazywano tego telefonu, jakoś wie, jaka powinna być nowa liczba. Wygląda to jak magia, ale to prosta sztuczka wykorzystująca wspólny sekret.

Tak działają Google Authenticator i podobne aplikacje. Oto jak generowane są kody, dlaczego działają bez połączenia z internetem, czym aplikacja różni się od własnej Weryfikacji dwuetapowej Google oraz przed czym może, a przed czym nie może chronić.

Jak generowane są kody

Gdy dodajesz konto do aplikacji uwierzytelniającej, usługa przekazuje Ci sekret, zwykle w postaci kodu QR lub klucza konfiguracji, a aplikacja go zapisuje. Od tej chwili zarówno usługa, jak i Twój telefon mają ten sam sekret. Aby wygenerować kod, aplikacja łączy ten sekret z aktualnym czasem, a usługa wykonuje takie samo obliczenie po swojej stronie. Jeśli oba wyniki są zgodne, kod zostaje zaakceptowany.

Ta metoda jest opublikowanym standardem o nazwie TOTP, czyli hasłem jednorazowym opartym na czasie, określonym w dokumencie IETF RFC 6238. Bazuje na starszej metodzie wykorzystującej licznik, zastępując go wartością wyliczaną na podstawie czasu. Standard wymaga, aby aplikacja i usługa korzystały z tego samego kroku czasowego, i zaleca domyślnie 30 sekund. Dlatego kod jest zwykle odświeżany mniej więcej dwa razy na minutę.

Dlaczego działa bez połączenia z internetem

Kod jest obliczany na telefonie na podstawie zapisanego sekretu i zegara, więc nie trzeba niczego przesyłać na telefon. W opisie własnej aplikacji Google podaje, że kody można generować nawet bez połączenia z siecią lub siecią komórkową. Usługa musi jedynie wykonać takie samo obliczenie, gdy wpiszesz kod.

Oznacza to, że ważny jest zegar. Jeśli czas na telefonie znacznie różni się od rzeczywistego, oba obliczenia nie będą zgodne, a kod zostanie odrzucony, mimo że aplikacja działa zgodnie z założeniami.

Czym różni się od Weryfikacji dwuetapowej Google

Łatwo je ze sobą pomylić. Weryfikacja dwuetapowa to funkcja Konta Google, która wymaga wykonania drugiego kroku podczas logowania. Google Authenticator to aplikacja, która może zapewnić ten krok, a według Google może też generować kody dla innych witryn i aplikacji obsługujących weryfikację za pomocą aplikacji uwierzytelniającej. Wiele innych aplikacji uwierzytelniających korzysta z tego samego standardu, więc same kody nie są powiązane z jedną firmą.

Możesz używać aplikacji z Kontem Google lub bez niego. Zalogowanie się pozwala synchronizować kody między urządzeniami, a Google informuje, że bez konta nadal można przenieść je ręcznie na nowe urządzenie. Zsynchronizowane kody zależą od tego Konta Google, dlatego jego zabezpieczenie ma jeszcze większe znaczenie. Google zaleca również skonfigurowanie dodatkowych metod Weryfikacji dwuetapowej, aby uniknąć utraty dostępu do konta.

Przed czym chroni, a przed czym nie

Według CISA kody z aplikacji uwierzytelniającej są bezpieczniejsze niż wiadomości tekstowe, ale nadal są podatne na phishing. Przekonująca, fałszywa strona logowania może przechwycić wpisywany kod i od razu go wykorzystać. Odporne na takie działanie są tylko metody oparte na FIDO, takie jak klucze bezpieczeństwa i klucze dostępu. Sprawdzenie adresu witryny przed wpisaniem kodu również zwiększa bezpieczeństwo.

Sekret, na podstawie którego powstają kody, także wymaga ochrony. Każdy, kto ma kod QR lub klucz konfiguracji, może generować takie same kody, dlatego zrzut ekranu z tymi danymi należy traktować jak hasło. Aplikacja uwierzytelniająca chroni konta, do których logujesz się za pośrednictwem usługi. Nie zabezpieczy frazy seed ani klucza prywatnego portfela.

Przypomnienie WEEX: traktuj klucz konfiguracji jak hasło

WEEX przypomina użytkownikom, aby nigdy nie udostępniali nikomu kodu jednorazowego, kodu QR ani klucza konfiguracji, także osobom podającym się za pracowników pomocy technicznej, ponieważ prawdziwa usługa nigdy ich nie potrzebuje. Przed wpisaniem kodu sprawdź adres witryny, a wszelkie klucze zapasowe lub kody odzyskiwania przechowuj w bezpiecznym miejscu offline — nie jako zrzut ekranu ani notatkę w chmurze. Żadna z tych informacji nie stanowi porady finansowej.

Podsumowanie

Google Authenticator generuje krótkotrwały kod na podstawie sekretu współdzielonego z usługą oraz aktualnego czasu. Dlatego działa offline i dlatego ważny jest zegar. To jedna z kilku aplikacji korzystających z tego samego standardu. Jest bezpieczniejsza niż wiadomości tekstowe, ale nadal podatna na phishing, a jej sekret konfiguracji wymaga takiej samej ochrony jak hasło. Używana razem z silnymi hasłami i ostrożnymi nawykami utrudnia przejęcie konta.

FAQ

1. Czym jest Google Authenticator?
To aplikacja generująca kody jednorazowe używane jako drugi krok podczas logowania do Kont Google oraz innych witryn i aplikacji obsługujących weryfikację za pomocą aplikacji uwierzytelniającej.

2. Jak Google Authenticator generuje kody bez internetu?
Oblicza je na telefonie na podstawie zapisanego sekretu i aktualnego czasu. Usługa wykonuje takie samo obliczenie, aby sprawdzić kod, więc nie trzeba niczego przesyłać na telefon.

3. Czy do korzystania z Google Authenticator potrzebuję Konta Google?
Nie. Google informuje, że można korzystać z aplikacji bez konta. Zalogowanie się pozwala synchronizować kody między urządzeniami, a bez konta można przenieść je ręcznie na nowe urządzenie.

4. Czy Google Authenticator to to samo co Weryfikacja dwuetapowa Google?
Nie. Weryfikacja dwuetapowa to funkcja Konta Google, a aplikacja jest jednym ze sposobów zapewnienia drugiego kroku. Działa też w innych witrynach obsługujących kody z aplikacji uwierzytelniających.

5. Czy kody Google Authenticator są bezpieczniejsze niż kody SMS?
Według CISA kody z aplikacji uwierzytelniających są bezpieczniejsze niż wiadomości tekstowe, ale nadal można je wyłudzić za pomocą phishingu. Klucze bezpieczeństwa i klucze dostępu zapewniają lepszą ochronę przed phishingiem.