Czym jest klucz tajny 2FA? Base32, TOTP i adresy otpauth wyjaśnione

Klucz tajny 2FA to krótki ciąg liter i cyfr, z którego aplikacja uwierzytelniająca wylicza sześciocyfrowy kod wpisywany przy logowaniu. Jeśli w twojej dostawie znajduje się taki klucz, jest on po haśle najważniejszym polem w wierszu, a zarazem tym, które kupujący najczęściej przepisują z błędem albo mylą z czymś innym. Ten poradnik wyjaśnia, czym jest ten ciąg znaków, jak wygląda Base32 i czym klucz tajny różni się od kodów zapasowych oraz zawartości kodu QR.

Dowiesz się też, jak rozpoznać klucz w wierszu dostawy i w kilka sekund sprawdzić, czy działa. Dzięki temu każdy ciąg znaków w twoim pliku będziesz umieć zakwalifikować: to klucz, kod zapasowy czy coś zupełnie innego.

Czym jest klucz tajny 2FA i jak powstają z niego sześciocyfrowe kody

Jednorazowe hasła czasowe (TOTP, opisane w RFC 6238) powstają z dwóch składników: wspólnego sekretu i aktualnego czasu. Przy włączaniu 2FA platforma generuje sekret i zachowuje jego kopię, a drugą kopię przechowuje twoja aplikacja uwierzytelniająca. Co 30 sekund obie strony wykonują to samo obliczenie na sekrecie i zegarze i otrzymują te same sześć cyfr.

Wynikają z tego trzy praktyczne konsekwencje:

• Klucz tajny to drugi klucz do konta. Kto go ma, może generować ważne kody na dowolnym urządzeniu, dopóki ta konfiguracja 2FA pozostaje aktywna.
• Kody nie są nigdzie zapisane. Każdy kod jest wyliczany na nowo co 30 sekund, więc zrzut ekranu ze starym kodem jest bezużyteczny.
• Zegar ma znaczenie. Jeśli urządzenie generujące kody spieszy się lub spóźnia o minutę albo więcej, nawet poprawny klucz da kody odrzucane przy logowaniu.

Base32: jak wyglądają znaki i jakie literówki zdarzają się najczęściej

Klucze tajne zapisuje się w Base32, czyli w alfabecie złożonym z 26 wielkich liter od A do Z i cyfr od 2 do 7. To cały zestaw. Cyfry 0, 1, 8 i 9 nigdy się nie pojawiają, podobnie jak znaki interpunkcyjne. Przykład poglądowy (to nie jest klucz prawdziwego konta) wygląda tak: JBSWY3DPEHPK3PXP. Prawdziwe klucze mają zwykle od 16 do 32 znaków.

Ponieważ dozwolonych znaków jest tylko 32, większość literówek łatwo wychwycić:

• 0, 1 lub 8 w środku klucza oznacza, że któryś znak został źle odczytany. Zero to zwykle litera O, jedynka to zwykle litera I lub L, a ósemka to zwykle litera B.
• Małe litery zazwyczaj nie przeszkadzają, bo większość aplikacji zamienia je na wielkie.
• Jeden lub kilka znaków „=” na końcu to dopełnienie (padding). Wiele aplikacji przyjmuje klucz z nimi i bez nich.
• Niewidoczne dodatki, takie jak spacja lub znak nowej linii na końcu skopiowane z pliku tekstowego, często powodują komunikat o nieprawidłowym kluczu.

Adresy otpauth, kody QR i klucze w postaci zwykłego tekstu

Ten sam sekret może do ciebie trafić w trzech postaciach, a ich mieszanie powoduje sporo zamieszania:

• Klucz w postaci zwykłego tekstu. Sam ciąg Base32. Aplikacje uwierzytelniające nazywają go kluczem konfiguracyjnym lub kluczem do ręcznego wpisania.
• Kod QR. Obrazek zawierający zakodowany adres otpauth, który telefon może zeskanować, zamiast wpisywać klucz ręcznie.
• Adres otpauth. Linia tekstu w rodzaju otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example. Wartość po secret= to klucz Base32. Pozostałe elementy to etykieta i ustawienia, takie jak wystawca (issuer), algorytm, liczba cyfr i okres.

Jeśli masz tylko obrazek z kodem QR albo link otpauth, sekretem jest tekst po secret= i przed następnym znakiem &. Standardowe konfiguracje używają SHA-1, sześciu cyfr i 30-sekundowego okresu, a aplikacja zakłada te wartości domyślne, gdy wpisujesz sam sekret. Zeskanowanie kodu QR lub zaimportowanie pełnego adresu stosuje też wszelkie niestandardowe ustawienia, które ten adres zawiera.

Klucz tajny 2FA, kody zapasowe i e-mail do odzyskiwania konta

Te trzy elementy chronią to samo konto, ale pełnią zupełnie różne role:

• Klucz tajny 2FA. Długo ważny ciąg Base32, który co 30 sekund generuje nowy kod. Zmienia się tylko wtedy, gdy 2FA zostanie zresetowane lub skonfigurowane od nowa.
• Kody zapasowe. Kody jednorazowe, które platforma może udostępnić na wypadek, gdy nie masz dostępu do aplikacji uwierzytelniającej. Każdy działa tylko raz. To nie są sekrety Base32, więc aplikacja uwierzytelniająca ani narzędzie TOTP ich nie wykorzysta.
• E-mail do odzyskiwania konta. Skrzynka pocztowa, a nie kod. Trafiają do niej potwierdzenia logowania i linki do resetu. W wierszu dostawy występuje jako adres e-mail, zwykle z hasłem do tej skrzynki.

Klucz generuje codzienne kody, kody zapasowe są kołem zapasowym, a e-mail do odzyskiwania to droga powrotna, gdy zawiedzie coś innego. W swoich notatkach opisz je osobno.

Jak znaleźć klucz w wierszu dostawy i go przetestować

Dostawy przychodzą jako plik TXT z wierszami takimi jak username:password:email:email_password:auth_token, a dokładny zestaw pól zależy od kategorii. Jeśli kategoria obejmuje klucz 2FA, jest to jedno dodatkowe pole w wierszu. Nie licz pozycji na ślepo: przeczytaj opis kategorii i porównaj go z pierwszym wierszem pliku.

Pola można też rozpoznać po ich wyglądzie:

• Klucz tajny ma co najmniej 16 znaków, wielkie litery i cyfry od 2 do 7, bez znaków interpunkcyjnych.
• auth_token to długi ciąg szesnastkowy. To token sesji, a nie generator kodów, i nie zastąpi klucza tajnego. Ten sposób logowania opisujemy w artykule logowanie do Twittera za pomocą auth tokena.
• Hasła mogą zawierać dwukropek, dlatego proste dzielenie wiersza po „:” czasem go psuje.

Aby sprawdzić, czy wszystkie wiersze mają taki sam układ, wklej próbkę do identyfikatora formatu. Żeby wyciągnąć samą kolumnę z kluczami, użyj split-by-delimiter.

Potem przetestuj klucz w kilka sekund. Otwórz bezpłatne narzędzie 2FA, wklej klucz, a pojawi się sześciocyfrowy kod z odliczaniem. Jeśli narzędzie zgłosi nieprawidłowy klucz, wróć do listy literówek powyżej. Jeśli kod się pojawia, ale logowanie go odrzuca, sprawdź zegar urządzenia i zajrzyj do artykułu co zrobić, gdy kod 2FA nie działa.

Jak bezpiecznie przechowywać klucze, gdy zarządzasz wieloma kontami

Wiersz dostawy często zawiera razem hasło i klucz 2FA, więc każdy, kto otworzy plik, ma oba składniki. Chroń więc plik jako całość, a nie każde pole z osobna:

• Trzymaj plik w jednym prywatnym folderze z ograniczonym dostępem i unikaj komunikatorów, współdzielonych dokumentów oraz zrzutów ekranu.
• Przetestuj każdy klucz krótko po dostawie i zapisz datę przy koncie, aby ewentualny problem wyszedł na jaw szybko.
• Opisuj, czym jest każdy ciąg znaków, żeby jednorazowy kod zapasowy nigdy nie trafił do aplikacji uwierzytelniającej.
• Policz swoje kopie. Wczytanie tego samego klucza do drugiej aplikacji uwierzytelniającej to rozsądna kopia zapasowa, ale każda kopia to kolejne miejsce, z którego klucz może wyciec.

Szerszy plan znajdziesz w artykule uwierzytelnianie dwuskładnikowe i planowanie odzyskiwania dostępu, a słownictwo z ofert wyjaśnia słownik pojęć dotyczących kont. Gdy porównujesz kategorie takie jak Phone Verified Aged Accounts, przeczytaj opis, żeby zobaczyć, co zawiera plik dostawy. Jeśli zależy ci na kluczu 2FA, upewnij się co do tego przed zamówieniem albo zapytaj wsparcie na Telegramie.

Często zadawane pytania

Jak wygląda klucz tajny 2FA?

To ciąg wielkich liter od A do Z i cyfr od 2 do 7, zwykle długi na 16 do 32 znaków, na przykład JBSWY3DPEHPK3PXP w przykładach z dokumentacji. Niektóre platformy pokazują go w grupach oddzielonych spacjami lub myślnikami.

Czy klucz tajny 2FA to to samo co kod zapasowy?

Nie. Klucz tajny generuje nowy kod co 30 sekund tak długo, jak ta konfiguracja 2FA pozostaje aktywna. Kod zapasowy to kod jednorazowy, który działa tylko raz i nie można go użyć w aplikacji uwierzytelniającej.

Czy z kodu QR można uzyskać klucz tajny?

Tak. Kod QR do konfiguracji zawiera adres otpauth, a kluczem tajnym jest wartość po secret= w tym tekście. Zachowaj ten tekst dla siebie, bo jest tak samo wrażliwy jak sam klucz.

Dlaczego niektóre klucze mają spacje lub myślniki?

Odstępy służą wyłącznie czytelności, często w grupach po cztery znaki. Jeśli aplikacja odrzuca klucz, usuń spacje i myślniki; bezpłatne narzędzie 2FA przyjmuje je także w oryginalnej postaci.

Czy ten sam klucz można używać w dwóch aplikacjach jednocześnie?

Tak. Każda aplikacja lub urządzenie z tym samym kluczem i poprawnym zegarem pokazuje ten sam kod. Jako kopia zapasowa jest to wygodne, ale każda kopia to kolejne miejsce, w którym klucz może zostać ujawniony.