Che cos'è una chiave segreta 2FA? Base32, TOTP e URI otpauth spiegati

Una chiave segreta 2FA è la breve stringa di lettere e cifre che un'app di autenticazione trasforma nel codice a sei cifre da inserire al login. Se la consegna del tuo ordine ne include una, è il campo più importante della riga dopo la password, ma anche quello che chi acquista scrive più spesso in modo sbagliato o confonde con altro. Questa guida spiega cos'è questa stringa, che aspetto ha il Base32 e in cosa una chiave segreta si differenzia dai codici di backup e dal contenuto di un QR code.

Imparerai anche a individuare la chiave in una riga di consegna e a verificare in pochi secondi che funzioni, così potrai guardare qualsiasi stringa del tuo file e capire se è la chiave, un codice di backup o qualcos'altro.

Cos'è una chiave segreta 2FA e come genera i codici a sei cifre

Le password monouso basate sul tempo (TOTP, definite nella RFC 6238) nascono da due ingredienti: un segreto condiviso e l'ora corrente. Quando si attiva la 2FA, la piattaforma genera il segreto e ne conserva una copia, mentre l'altra copia resta nella tua app di autenticazione. Ogni 30 secondi entrambe le parti eseguono lo stesso calcolo su segreto e orologio e ottengono le stesse sei cifre.

Ne derivano tre conseguenze pratiche:

• La chiave segreta è la seconda chiave dell'account. Chiunque la possieda può generare codici validi da qualsiasi dispositivo finché quella configurazione 2FA resta attiva.
• I codici non vengono salvati da nessuna parte. Ogni codice viene ricalcolato ogni 30 secondi, quindi lo screenshot di un vecchio codice non serve a nulla.
• L'orologio conta. Se il dispositivo che genera i codici è sfasato di un minuto o più rispetto all'ora reale, anche una chiave corretta produce codici rifiutati.

Base32: che aspetto hanno i caratteri e gli errori di battitura più comuni

I segreti sono scritti in Base32, un alfabeto composto dalle 26 lettere maiuscole da A a Z e dalle cifre da 2 a 7. È tutto qui. Le cifre 0, 1, 8 e 9 non compaiono mai, e nemmeno la punteggiatura. Un esempio illustrativo (non è la chiave di un account reale) è questo: JBSWY3DPEHPK3PXP. I segreti reali sono di solito lunghi da 16 a 32 caratteri.

Poiché i caratteri validi sono solo 32, la maggior parte degli errori di battitura è facile da individuare:

• Uno 0, un 1 o un 8 in mezzo alla chiave indica che un carattere è stato letto male. Uno 0 di solito è la lettera O, un 1 di solito è la lettera I o L e un 8 di solito è la lettera B.
• Le lettere minuscole di norma non danno problemi, perché la maggior parte delle app le converte.
• Uno o più segni "=" alla fine sono il padding. Molte app accettano la chiave con o senza.
• Caratteri invisibili come uno spazio o un a capo finale copiati da un file di testo causano spesso il messaggio di chiave non valida.

URI otpauth, QR code e chiavi in chiaro

Lo stesso segreto può arrivarti in tre forme, e confonderle genera parecchia confusione:

• Chiave in chiaro. La sola stringa Base32. Le app di autenticazione la chiamano chiave di configurazione o chiave per l'inserimento manuale.
• QR code. Un'immagine che codifica un URI otpauth, così lo smartphone può scansionarlo invece di farti digitare la chiave.
• URI otpauth. Una riga di testo come otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example. Il valore dopo secret= è la chiave Base32. Il resto è l'etichetta e le impostazioni, come issuer, algoritmo, numero di cifre e intervallo.

Se hai soltanto l'immagine di un QR o un link otpauth, il segreto è il testo dopo secret= e prima della "e commerciale" successiva. Le configurazioni standard usano SHA-1, sei cifre e un intervallo di 30 secondi, e l'app dà per scontati questi valori quando digiti solo il segreto. Scansionando il QR code o importando l'URI completo vengono applicate anche le impostazioni non standard che contiene.

Chiave segreta 2FA, codici di backup ed email di recupero

Questi tre elementi proteggono lo stesso account ma svolgono compiti completamente diversi:

• Chiave segreta 2FA. Una stringa Base32 di lunga durata che genera un nuovo codice ogni 30 secondi. Cambia solo quando la 2FA viene reimpostata o configurata di nuovo.
• Codici di backup. Codici monouso che una piattaforma può offrire per il giorno in cui non riesci ad accedere alla tua app di autenticazione. Ognuno funziona una sola volta. Non sono segreti Base32, quindi un'app di autenticazione o uno strumento TOTP non può usarli.
• Email di recupero. Una casella di posta, non un codice. Riceve le conferme di accesso e i link di reimpostazione. In una riga di consegna compare come indirizzo email, di solito seguito dalla password di quella casella.

Il segreto genera i codici di tutti i giorni, i codici di backup sono la ruota di scorta e l'email di recupero è la strada per rientrare quando qualcos'altro si rompe. Annotali separatamente nei tuoi appunti.

Trovare la chiave in una riga di consegna e testarla

Le consegne arrivano come file TXT con righe del tipo username:password:email:email_password:auth_token, e i campi esatti variano in base alla categoria. Quando una categoria include una chiave 2FA, è un campo in più nella riga. Non contare le posizioni alla cieca: leggi la descrizione della categoria e confrontala con la prima riga del tuo file.

Puoi anche riconoscere i campi dalla loro forma:

• Il segreto ha 16 o più caratteri, lettere maiuscole e cifre da 2 a 7, senza punteggiatura.
• L'auth_token è una lunga stringa esadecimale. È un token di sessione, non un generatore di codici, e non può sostituire il segreto. Per quel procedimento vedi come accedere a Twitter con un auth token.
• Le password possono contenere i due punti, ed è per questo che dividere la riga in modo ingenuo su ":" a volte la spezza.

Per verificare che tutte le righe seguano lo stesso schema, incolla un campione nell'identificatore di formato. Per estrarre solo la colonna con i segreti, usa split-by-delimiter.

Poi prova il segreto in pochi secondi. Apri il tool 2FA gratuito, incolla il segreto e comparirà un codice a sei cifre con il conto alla rovescia. Se lo strumento segnala un segreto non valido, torna all'elenco degli errori di battitura qui sopra. Se il codice compare ma il login lo rifiuta, controlla l'orologio del dispositivo e segui cosa fare quando un codice 2FA non funziona.

Conservare i segreti in modo sicuro quando gestisci molti account

Una riga di consegna contiene spesso la password e il segreto 2FA insieme, quindi chiunque apra il file ha entrambi i fattori. Proteggi il file nel suo insieme, invece di proteggere ogni campo separatamente:

• Tieni il file in un'unica cartella privata con accesso limitato ed evita app di chat, documenti condivisi e screenshot.
• Prova ogni segreto poco dopo la consegna e annota la data accanto all'account, così un problema emerge subito.
• Etichetta ogni stringa, in modo che un codice di backup monouso non finisca mai in un'app di autenticazione.
• Conta le tue copie. Caricare lo stesso segreto in una seconda app di autenticazione è un backup ragionevole, ma ogni copia è un altro posto da cui può trapelare.

Per un piano più ampio, leggi autenticazione a due fattori e pianificazione del recupero; per il lessico delle inserzioni consulta il glossario degli account. Quando confronti categorie come Phone Verified Aged Accounts, leggi la descrizione per capire che cosa contiene un file di consegna. Se ti serve una chiave 2FA, verificalo prima di ordinare oppure chiedi al supporto su Telegram.

Domande frequenti

Che aspetto ha una chiave segreta 2FA?

È una stringa di lettere maiuscole da A a Z e cifre da 2 a 7, di solito lunga da 16 a 32 caratteri, per esempio JBSWY3DPEHPK3PXP negli esempi della documentazione. Alcune piattaforme la mostrano in gruppi separati da spazi o trattini.

La chiave segreta 2FA è uguale a un codice di backup?

No. La chiave segreta genera un nuovo codice ogni 30 secondi finché quella configurazione 2FA resta attiva. Un codice di backup è un codice monouso che funziona una volta sola e non si può usare in un'app di autenticazione.

Posso trasformare un QR code in una chiave segreta?

Sì. Il QR code di configurazione codifica un URI otpauth e il segreto è il valore dopo secret= in quel testo. Tieni quel testo riservato, perché è delicato quanto la chiave stessa.

Perché alcune chiavi hanno spazi o trattini?

Gli spazi servono solo a rendere la chiave più leggibile, spesso in gruppi di quattro caratteri. Se un'app rifiuta la chiave, elimina spazi e trattini; il tool 2FA gratuito li accetta anche così come sono.

La stessa chiave segreta si può usare in due app contemporaneamente?

Sì. Qualsiasi app o dispositivo che abbia lo stesso segreto e l'orologio corretto mostra lo stesso codice. È comodo come backup, ma ogni copia è un altro punto in cui il segreto può essere esposto.