Kody weryfikacji dwuetapowej (TOTP) w menedżerze haseł

Wiele stron internetowych po podaniu hasła prosi o sześciocyfrowy kod, który zmienia się co 30 sekund. Taki kod nazywa się TOTP. Zwykle pochodzi z aplikacji uwierzytelniającej w telefonie. Proton Pass i 1Password również potrafią generować takie kody. Czym jest weryfikacja dwuetapowa, wyjaśniamy w lekcji Weryfikacja dwuetapowa: kody, aplikacje i SMS kursu Bezpiecznie w sieci.

Najpierw trzeba coś rozważyć

Jeśli hasło i kod znajdują się w tym samym sejfie, atakujący potrzebuje tylko tego sejfu. Jeśli zależy Państwu na jak największym bezpieczeństwie, prosimy przechowywać kody osobno.

• Kody osobno w aplikacji uwierzytelniającej w telefonie: bezpieczniej.
• Kody w menedżerze: wygodniej i nadal znacznie lepiej niż brak weryfikacji dwuetapowej. Fałszywa strona, która ukradła tylko hasło, nie zaloguje się za jego pomocą.

W żadnym wypadku prosimy nie przechowywać kodu do samego sejfu w tym sejfie. Mówią o tym zarówno Proton, jak i 1Password (zob. Zabezpieczenie Proton Pass: logowanie dwuetapowe, dodatkowe hasło i blokowanie i Instalacja i zabezpieczenie 1Password na wszystkich urządzeniach). Kody zapasowe ważnych kont warto również przechowywać na papierze lub w innym miejscu.

Ile to kosztuje?

Po powrocie do bezpłatnej wersji Proton Pass kod wyświetla się nadal tylko przy pierwszych 3 loginach z kodem.

W Proton Pass

1. Prosimy włączyć weryfikację dwuetapową na stronie internetowej. Strona wyświetli kod QR. Należy tam wybrać ręczne wprowadzenie klucza, a wtedy tajny klucz pojawi się w postaci tekstu. Prosimy go skopiować.
2. W Proton Pass prosimy otworzyć login tej strony i wybrać edycję.
3. Prosimy wkleić klucz w pole 2FA secret key (TOTP). W telefonie można też zeskanować kod QR aparatem.
4. Prosimy wybrać Zapisz. Aby zakończyć, należy wpisać na stronie kod wyświetlony przez Proton Pass.

Przy kolejnym logowaniu rozszerzenie pokaże kod wraz z przyciskiem do jego skopiowania i wpisania. Po automatycznym uzupełnieniu hasła Proton Pass kopiuje również kod do schowka. Wystarczy go wtedy wkleić. Na iPhonie tę opcję należy włączyć samodzielnie w sekcji Profil.

W 1Password

1Password nazywa taki kod hasłem jednorazowym.

1. Prosimy włączyć weryfikację dwuetapową na stronie internetowej, tak aby kod QR był widoczny na ekranie.
2. W rozszerzeniu przeglądarki: prosimy otworzyć element tej strony, kliknąć trzy kropki i wybrać skanowanie kodu QR. 1Password odczyta kod z ekranu.
3. W programie lub aplikacji: prosimy otworzyć element, wybrać edycję i dodać pole hasła jednorazowego. Następnie należy zeskanować kod QR aparatem lub wkleić tajny klucz jako tekst.
4. Prosimy zapisać element i wpisać na stronie kod wyświetlony przez 1Password.

Na komputerze 1Password sam wpisuje kod po nazwie użytkownika i haśle. Na iPhonie kod pojawia się nad klawiaturą. Na Androidzie kod należy skopiować. W ustawieniach aplikacji można włączyć automatyczne kopiowanie kodu przez 1Password.

Kod nie działa? Prosimy sprawdzić, czy data i godzina na urządzeniu są ustawione prawidłowo.

W WebOké

Moje WebOké, DirectAdmin i Nextcloud współpracują z aplikacją uwierzytelniającą. Jak ją skonfigurować, opisujemy w artykułach Korzystanie z aplikacji uwierzytelniającej, Konfiguracja uwierzytelniania dwuetapowego i Konfiguracja aplikacji uwierzytelniającej i przechowywanie kodów zapasowych. Prosimy starannie przechowywać kody zapasowe DirectAdmin i Nextcloud. Moje WebOké nie ma kodów odzyskiwania: w razie utraty aplikacji prosimy o kontakt z nami.