Dvofaktorska autentifikacija s TOTP-om Postao je osnovni štit za zaštitu vaših računa: drugi kod koji se periodično mijenja i koji morate unijeti pored lozinke. U ovom članku donosim vam sveobuhvatan vodič s poređenjima aplikacija, savjetima za konfiguraciju i slučajevima upotrebe iz stvarnog života, a sve je detaljno objašnjeno i na jednostavan način kako se ne biste izgubili usput.
Osim jednostavne liste, ovdje ćete pronaći praktične informacije Da biste odabrali najbolju TOTP aplikaciju, naučite kako je postaviti na popularnim servisima (GitHub, Bitwarden, Nextcloud, itd.), shvatite kako je implementirati u svoj backend pomoću Node.js-a i izbjegnite uobičajene greške koje vas mogu ostaviti bez pristupa vašim računima. Hajde da se pozabavimo time.
Šta je TOTP i zašto biste ga trebali aktivirati danas
TOTP (Vremenski ograničena jednokratna lozinka) To je algoritam koji generira jednokratne lozinke zasnovane na vremenu. Vaša aplikacija i server dijele tajnu; koristeći sistemski sat, oboje izračunavaju isti kod, koji se obično obnavlja svakih 30 sekundi. Budući da radi van mreže, Brz je, pouzdan i veoma udoban, i dodaje drugi sloj koji zaustavlja napade čak i ako vaša lozinka procuri.
Unutar 2FA postoji nekoliko metoda (SMS, e-pošta, biometrijski podaci, fizički ključevi, push notifikacije...), ali TOTP aplikacije su obično najuravnoteženija opcija Za privatnost, dostupnost i kontrolu. Napomena: SMS je koristan kao spašavanje, ali nije toliko robustan ili pouzdan, posebno izvan SAD-a.
Ključni savjeti prije nego što počnete
prvo Nemojte brisati 2FA račun iz svoje aplikacije. bez prethodne deaktivacije sa web stranice servisa. Lako je biti blokiran doživotno. Drugo, generirajte i sačuvajte kodovi za oporavak kad god su dostupni. Treće, planirajte sigurnosne kopije: odaberite aplikacije sa šifriranom sigurnosnom kopijom u oblaku, izvezite podatke u šifriranu datoteku ili koristite sinhronizaciju računa kako biste izbjegli gubitak tokena prilikom promjene telefona.
Napomena o realnosti: Svakih 39 sekundi dogodi se sajber napad bilo gdje u svijetu. Aktivacija 2FA sa TOTP-om traje manje od dvije minute i povećava vašu sigurnost. Ako dodate i fizički sigurnosni ključ kao alternativnu metodu, već ste uveliko zakasnili.
Kako odabrati svoju TOTP aplikaciju: na šta paziti, a šta izbjegavati
Najbolje aplikacije u kombinaciji sigurnost, jednostavnost, izvoz/sigurnosna kopija i kompatibilnost sa više platformi. Ključno je da se mogu zaštititi biometrijskim podacima ili PIN-om, sakriti kodove na ekranu i ponuditi šifrirane sigurnosne kopije ili siguran izvoz. Ako koristite više operativnih sistema, potražite sinhronizacija između Androida, iOS-a i desktopa.
Od čega bježati? Aplikacije bez sigurnosne kopije ili izvoza, nekompatibilne kopije između platformi (ako koristite iOS i Android) ili one koje zahtijevaju broj telefona ako vam nije potreban. Sitni detalji čine svu razliku u vrijeme krize.
Kompletna usporedba TOTP aplikacija za autentifikaciju
U nastavku imate pregled s najrelevantnijim karakteristikama i nijansama alata koji se najčešće pojavljuju u najboljim vodičima, dokumentaciji i specijaliziranim analizama.
Google autentifikator (Android, iOS)
To je klasična referenca: besplatno, jednostavno i bez potrebe za računomIzvezite sve tokene odjednom pomoću jednog QR koda za migraciju na drugi telefon, a na iOS-u možete osigurati pristup pomoću Face ID-a/Touch ID-a i pretraživati tokene. Nedostaju mu izvorne sigurnosne kopije u oblaku i ne skriva uvijek kodove, što može biti nezgodno u javnosti. Idealno ako ne želite cloud i dajete prednost jednostavnosti.
Microsoft autentifikator (Android, iOS)
Kombinuje upravitelj lozinki i TOTP sa Biometrijska/PIN zaštita, skrivanje koda i sigurnosne kopije u oblaku. Slaba tačka: sigurnosne kopije za iOS i Android su nekompatibilni jedno s drugim, ne izvozi tokene i zauzima puno prostora (150-200 MB). Ako ste u Microsoftovom ekosistemu, prijavljivanje je znatno lakše.
Twilio Authy (Android, iOS, Windows, macOS, Linux)
Zvijezda višeplatformske platforme: sinhronizira se besprijekorno između mobilnog uređaja i računara, sa sigurnosnom kopijom u oblaku i PIN/biometrijskom zaštitom. Potrebno je kreiranje računa s telefonskim brojem, a prikazuje se mobilni interfejs. jedan token u isto vrijeme, što je manje agilno s mnogo računa. Ne izvozi/uvozi tokene, ali kao alternativa Googleu/Microsoftu, jedno je od najboljih.
Duo Mobile (Android, iOS)
Veoma popularan u kompanijama, čist i jednostavan interfejs, skriva kodove i omogućava sigurnosno kopiranje na Google Cloud (Android) ili iCloud (iOS) bez kreiranja novog računa. Nema zaštite pristupa u aplikaciji i Kopije za iOS/Android nisu podržane jedni s drugima. Ako nećete mijenjati platforme, to vam može savršeno poslužiti.
Besplatni OTP (Android, iOS)
Projekat otvorenog koda, minimalistički i vrlo lagan (2-3 MB). Nema pohrane u oblaku niti izvoza tokena; na iOS-u ne dozvoljava kreiranje tokena ručnim ključem (samo QR kodovi). Na iOS-u možete zaštititi tokene pomoću Face ID-a/Touch ID-a, a kodovi su skriveni prema zadanim postavkama i nakon 30 sekundi neaktivnosti. Za one koji preferiraju minimalizam i privatnost.
iOTP (Android)
Vrlo kompletan i otvorenog koda: Zaključavanje PIN-om/lozinkom/otiskom prsta, oznake, pretraga, automatsko skrivanje i zaključavanje u slučaju neaktivnosti, "dugme za paniku" za brisanje svega i izvoz u šifriranu datoteku (npr. Google Drive). Više se ne proizvodi, ali je i dalje vrlo solidan. RizikJednostavnost oporavka ključeva zahtijeva vrlo dobru zaštitu pristupa.
Aegis autentifikator (Android)
Moderna alternativa otvorenog koda, besplatno, sa enkripcijom, biometrijskim podacima i dobre opcije za pravljenje sigurnosnih kopija. Podržava uvoz iz Authy/andOTP i gotovo svih 2FA formata. Neke moćne funkcije zahtijevaju root pristup, što nije za svakoga. Dobra ravnoteža između sigurnosti i upotrebljivosti.
OTP autentifikacija (iOS, macOS)
Moćan za Apple: mape za organiziranje, izvoz u datoteku, očitavanje ključa/QR tokena, sinhronizacija iClouda i zaštita Face ID-om/Touch ID-om ili lozinkom. Ne skriva kodove, a neke funkcije se plaćaju na macOS-u. Za iPhone/Mac, To je najpotpunije.
Drugi korak (iOS, macOS)
Minimalistički, sa iCloud sinhronizacija i podrška za Apple Watch. Nema zaštite pristupa, nema skrivanja koda, nema izvoza/uvoza tokena, a besplatna verzija vas ograničava na deset tokena. Na macOS-u je potrebna dozvola za snimanje ekrana za čitanje QR kodova. Savršeno ako želite nešto vrlo jednostavno u Appleovom ekosistemu.
WinAuth (Windows)
Orijentisano na igrače: podržava tokene nestandardni Steam, Battle.net ili Trion/Gamigo, pored standardnog TOTP-a. Omogućava vam šifriranje podataka, izvoz u običnom tekstu ili šifriranoj datoteci, zaštitite lozinkom ili YubiKey-om i automatski sakriva kodove. Postoji samo za Windows i, po pravilu, 2FA se ne preporučuje na računaru, ali za igre je pravi dragulj.
Aplikacija za autentifikaciju (Apple ekosistem)
Checker s aplikacijama za iPhone, iPad, Mac i Apple Watch, i ekstenzije za gotovo sve preglednike (Safari, Chrome, Brave, Tor, Vivaldi…). Ima vrlo ograničenu besplatnu verziju; plaćena verzija dodaje sigurnosnu kopiju i sinhronizaciju. Uključuje enkripciju, podijeliti s porodicom i zaključavanje pomoću Face ID-a. Ako živite u Appleu, to je opcija koju treba razmotriti.
2FAS (2FA autentifikator)
Jednostavno, besplatno i sa E2E enkripcijom, radi van mreže i omogućava vam povezivanje tokena ključem ili QR kodom i sinhronizaciju s Google Driveom. Sigurnosne kopije kako ne biste izgubili tokene, proširenje za preglednik, PIN/biometrijski podaci i bez reklama. Nekoliko naprednih opcija. ali veoma pouzdan Iz dana u dan.
1Password (sa ugrađenim TOTP-om)
Plaćeni upravitelj lozinki koji uključuje 2FA TOTP Integrirano. Velika prednost je automatsko popunjavanje koda na podržanim stranicama i objedinjeno upravljanje akreditivima. Nije čista 2FA aplikacija, ali ako već koristite 1Password, to pojednostavljuje vaš život na mobilnim uređajima, desktop računarima i u pregledniku.
Bitwarden (sa integriranim TOTP-om)
Otvorenog koda i besplatan za jednog korisnika; plaćena verzija dodaje TOTP koji je automatsko dovršavanje na web stranicama i aplikacijamaPodrazumevano generiše šestocifrene kodove (SHA-1, 30s) i omogućava vam prilagođavanje parametara uređivanjem TOTP URI-ja. Proširenja pretraživača kopiraju TOTP u međuspremnik nakon automatskog dovršavanja ako omogućite tu opciju. Vrlo okruglo centralizirati lozinke i 2FA.
TOTP autentifikator (BinaryBoot)
Čist interfejs i opsežna podrška za 2FA usluge. Nudi Premium sinhronizacija u oblaku s Google Driveom (vi kontrolirate podatke), ekstenzijom za preglednik (premium), tamnom temom, oznake i pretraga, podrška za više platformi (Android/iOS), korištenje na više uređaja (šifrirane sigurnosne kopije), više widgeta, prilagođavanje ikona i biometrijska sigurnost s mogućnošću blokiranja snimaka ekrana. Besplatna verzija je donekle ograničena.
Protectimus Smart OTP
Dostupno na Androidu i iOS-u, kompatibilno sa Android satovima, podržava više protokola i omogućava vam da zaštitite aplikaciju PIN-om. Manje poznato, ali vrlo kompletno ako tražite razne standarde i upotreba u nosivim uređajima.
Vodiči za korištenje: Kako aktivirati TOTP na popularnim servisima
Idemo sa konkretnim uputama, izvučeno iz službene dokumentacije tako da možete konfigurirati TOTP bez da se izgubite.
Konfigurišite TOTP na GitHubu (TOTP aplikacija ili SMS, sa dodatnim metodama)
GitHub preporučuje korištenje TOTP aplikacije i sigurnosni ključevi zasnovani na oblaku kao rezervna kopija umjesto SMS-a. Nakon aktiviranja 2FA, vaš račun ulazi u 28-dnevni period verifikacije: ako ne uspijete u procesu autentifikacije, bit ćete upitani za 2FA 28. dana i možete je ponovo konfigurirati ako nešto pođe po zlu.
- TOTP korak po korakuPostavke korisnika → Lozinka i autentifikacija → Omogući 2FA → Skenirajte QR kod pomoću TOTP aplikacije ili koristite ključ za ručno podešavanje (upišite TOTP, GitHub oznaka: , GitHub izdavatelj, SHA1, 6 cifara, 30 s). Provjerite s trenutnim kodom i preuzmite kodovi za oporavak.
- SMS kao alternativaDodajte svoj broj nakon što prođete CAPTCHA test, unesite kod primljen putem SMS-a i sačuvajte kodove za oporavak. Koristite ovo samo ako ne možete koristiti TOTP.
- LozinkeAko već imate 2FA putem TOTP aplikacije ili SMS-a, dodajte šifru za prijavu bez lozinke, a da i dalje ispunjavate zahtjev za 2FA.
- Sigurnosni ključevi (WebAuthn)Nakon aktiviranja 2FA, registrujte kompatibilan ključ. Računa se kao drugi faktor i zahtijeva vašu lozinku; ako je izgubite, možete koristiti SMS ili vašu TOTP aplikaciju.
- GitHub MobileNakon što imate TOTP ili SMS, možete koristiti mobilnu aplikaciju sa push obavijestine oslanja se na TOTP i koristi šifriranje javnim ključem.
Ako vam TOTP aplikacija ne odgovara, registrujte SMS kao plan B a zatim dodajte sigurnosni ključ kako biste podigli ljestvicu sigurnosti bez kompliciranja stvari.
Bitwarden autentifikator: generiranje, automatsko popunjavanje i trikovi
Bitwarden generiše 6-cifreni TOTP sa SHA-1 i rotacijom od 30 sekundiQR kod možete skenirati iz ekstenzije preglednika (ikona kamere) ili ručno unijeti kod na iOS/Android uređajima. Nakon konfiguracije, vidjet ćete rotirajuću ikonu TOTP-a unutar stavke i možete je kopirati baš kao lozinku.
Automatsko dovršavanjeProširenja preglednika automatski popunjavaju TOTP ili ga kopiraju u međuspremnik nakon automatskog popunjavanja ako omogućite "Automatsko popunjavanje pri učitavanju stranice". Na mobilnim uređajima, kod se kopira u međuspremnik nakon automatskog popunjavanja prijave.
Ako vaši kodovi ne rade, sinhronizuje sat uređaja (Uključite/isključite automatsko vrijeme na Androidu/iOS-u; na macOS-u, isto za datum/vrijeme i vremensku zonu.) Ako usluga zahtijeva drugačije postavke, uredite URI otpauth ručno u stavci da biste podesili cifre, period ili algoritam.
Na iOS-u 16+, Bitwarden možete postaviti kao zadana verifikacija aplikacije Prilikom skeniranja kodova s kamere: Postavke → Lozinke → Opcije lozinke → Postavite verifikacijske kodove pomoću → Bitwarden. Prilikom skeniranja, dodirnite "Otvori u Bitwardenu" da biste ih sačuvali.
Za Microsoft Azure/Office 365 račune: Tokom podešavanja 2FA, odaberite "još jedna aplikacija za autentifikaciju" umjesto Microsoft Authenticatora i skenirajte QR kod pomoću Bitwardena. Za Steam koristite prefiksirani URI. steam:// nakon čega slijedi vaš tajni ključ; kodovi će biti 5 alfanumeričkih znakova.
Nextcloud: TOTP i rezervni kodovi
Ako vaša instanca omogućava 2FA, u vašim ličnim postavkama ćete vidjeti tajni kod i QR kod skenirati pomoću TOTP aplikacije. Generirajte i sačuvajte rezervni kodovi na sigurnom mjestu (ne na samom telefonu), jer će vas izvući iz nevolje ako izgubite drugi faktor.
Kada se prijavite, unesite TOTP lozinku u svoj preglednik ili odaberite drugi korak ako ga imate postavljen. Ako koristite WebAuthn, Ne koristite isti token ponovo za 2FA i za prijavu bez lozinke, jer više ne bi bio "dvostruki" faktor.
Studija slučaja kompanije: Portal za specijalističke lijekove (AEMPS)
Tipičan primjer toka: instalirajte TOTP aplikaciju (Microsoft/Google Authenticator, FreeOTP, Authy…) i iz preglednika zahtjeva "Resetiraj verifikacijski kod" na stranici s podacima za prijavu. Dobit ćete e-poruku s linkom koji prikazuje QR kod.
Skenirajte QR kod svojom aplikacijom, vidjet ćete svoj prvi kod i vratite se u svoj preglednik da ga unesete na stranici za resetiranje. Odatle se prijavite odabirom metode "Verifikacijski kod": korisničko ime, lozinka i trenutni TOTP kod prikazan na vašem telefonu.
Hardverski ključevi: YubiKey kao luksuzni dodatak
Za maksimalnu sigurnost, YubiKey od Yubico-a To je zlatni standard: fizički ključevi sa IP68 zaštitom, bez baterija, robusni i kompatibilni sa FIDO2, U2F, OTP, Smart Card itd. Savršeno rade sa Google-om, Facebook-om i mnogim drugim servisima. Ako servis ne podržava hardver, Možete koristiti njihovu aplikaciju za autentifikaciju sigurnosna kopija. Postoje čak i FIPS-certificirani modeli za okruženja koja to zahtijevaju.
Ideal: TOTP aplikacija + YubiKeyUvijek ćete imati dostupan drugi faktor, i još jedan visoko siguran, za situacije kada želite maksimizirati svoju zaštitu.
Implementirajte TOTP u svom backendu (Node.js sa otplib)
Ako razvijate vlastitu aplikaciju, TOTP se lako integrira s otplib i malo Express.js-a. Tok rada ima dvije faze: povezivanje TOTP tajne s korisnikom i validacija kodova nakon prijave.
- UdruženjeGenerirajte tajnu na serveru, kreirajte OTPauth URI i prikažite je kao QR kod (koristeći biblioteke poput QRcode-a). Korisnik je skenira svojom aplikacijom i šalje vam TOTP. potvrdi i sačuvaj asocijaciju.
- Verifikacija: pri svakoj prijavi nakon ispravne lozinke, pitajte za TOTP i provjerite njegovu validnost u odnosu na sačuvani tajni kod. Ako je validan, dovršavate prijavu.
Kao što vidite, to je vrlo jasan obrazac: sinhronizujete tajnuValidirate prvi kod, a zatim upoređujete rotirajući TOTP kod sa svakom prijavom. Jednostavno, robusno i kompatibilno s većinom aplikacija za autentifikaciju.
Trikovi i dobre prakse koji će vam uštedjeti muke
Razmislite o svom "planu B": kodovi za oporavak i alternativne metode (sigurnosni ključ, SMS, push mobilna aplikacija) i ako se oslanjate na sinhronizaciju u oblaku, provjerite postoji li nekompatibilnosti između iOS-a i Androida (Maska za Microsoft i Duo) kako ne biste imali nikakvih iznenađenja prilikom promjene telefona.
Kada koristiti upravitelj lozinki s ugrađenim TOTP-om
Ako već koristite Bitwarden ili 1Password, aktivirajte TOTP modul Ujedinjuje lozinke i autentifikaciju drugog faktora, s automatskim popunjavanjem u istom alatu. Prednosti: brzina i manje trenja. Nedostatak: koncentrirate više osjetljivih elemenata na jednom mjestu, tako da zaštitite ga snažnom 2FA i provjerite opcije sigurnog izvoza/sigurnosne kopije.
Sažetak istaknutih aplikacija i kompatibilnosti
androidGoogle Authenticator, Microsoft Authenticator, Authy, Duo, FreeOTP, Aegis i OTP, 2FAS, Protectimus, TOTP Authenticator, WinAuth (nije za mobilne uređaje). U iOSGoogle autentifikator, Microsoft autentifikator, Authy, Duo, FreeOTP, OTP autentifikacija, Drugi korak, Aplikacija za autentifikaciju, TOTP autentifikator. Radna površina: Authy (Win/macOS/Linux), OTP autentifikacija (macOS), Drugi korak (macOS), WinAuth (Windows).
para specijalni žetoni za videoigreWinAuth blista sa Steamom i Battle.net-om; Bitwarden može da se nosi sa Steamom sa... steam://U Appleu, integrirani autentifikator Na iOS 15+ i Safariju 15+ je koristan, ali njegovo automatsko dovršavanje ne pogađa uvijek cilj i nije tako brzo kao posebna aplikacija.
Kratka kontrolna lista za odabir vaše TOTP aplikacije
- Trebate li istinski višeplatformski (mobilni + desktop)? Authy je sigurna opcija.
- Minimalizam i bez oblaka? Google Authenticator ili FreeOTP su dobra osnova.
- Otvoreni kod sa finom kontrolom? Aegis (Android) ili OTP autentifikacija (iOS) se ističu.
- Sve-u-jednom menadžer + TOTP? Bitwarden ili 1Password to čini mnogo jednostavnijim.
- Svijet igara? WinAuth podržava nestandardne tokene.
Bez obzira na vaš izbor, generira sigurnosne kopije i sprema kodove za oporavak. To je spas kada je najgore.
Aktiviranje TOTP-a vam daje ogroman skok u sigurnosti uz minimalne vremenske troškove, a uz aplikacije koje ste vidjeli možete odabrati ono što vam najbolje odgovara: od jednostavnih rješenja bez oblaka do sinhroniziranih ekosistema na svim vašim uređajima, uključujući menadžere koji automatski dovršavaju kod umjesto vas ili fizičke ključeve za zatvaranje petlje. scenariji visoke sigurnostiSa nekoliko dobrih odluka i rezervnim planom, Vaš profil prelazi iz "na milost i nemilost" u "otporan na strah".
