Jak nastavit autentikátor (TOTP) krok za krokem

Pokud chcete vědět, jak nastavit autentikátor, začněte tím, že jde o nejrozšířenější způsob, jak k heslu přidat druhý faktor bez závislosti na operátorovi. Kód, který v aplikaci vidíte, se mění v krátkých intervalech a vzniká přímo ve vašem zařízení. Aplikace tedy nepotřebuje internet a nikdo vám kód nemůže zachytit při doručení, jak se to stává u SMS.

Tento návod popisuje postup, který je v zásadě stejný u většiny služeb. Pojmy jako 2FA a TOTP najdete také ve slovníku. Širší rámec zabezpečení účtů popisuje sekce Ochrana účtů.

Co budete potřebovat

Potřebujete telefon s nainstalovanou autentizační aplikací a přístup do nastavení zabezpečení ve vybrané službě. Aplikaci si vyberte z důvěryhodného obchodu a dejte přednost takové, která umožňuje šifrovanou zálohu nebo export. Při výběru se podívejte, zda vývojář zveřejňuje, jak s tajnými klíči nakládá.

Stejně tak si připravte místo, kam uložíte záložní kódy. Může to být vytištěný papír v domácím trezoru nebo záznam ve správci hesel, který je sám chráněný silným heslem a vlastním druhým faktorem.

Postup nastavení

V nastavení účtu najděte položku typu „dvoustupňové ověření“ nebo „dvoufaktorové přihlášení“ a zvolte možnost autentizační aplikace. Služba zobrazí QR kód a zároveň textový tajný klíč. V aplikaci přidejte nový účet, naskenujte QR kód a zkontrolujte, že se objevil šestimístný kód.

Potom kód z aplikace zadejte zpět do služby jako potvrzení. Teprve po úspěšném potvrzení je druhý faktor aktivní. Tajný klíč, který služba ukázala vedle QR kódu, si uložte na bezpečné místo. Je to jediná věc, ze které dokážete ověřovač obnovit na novém zařízení, pokud o původní přijdete.

Záložní kódy a obnova

Většina služeb při zapnutí 2FA nabídne seznam jednorázových záložních kódů. Berte je jako náhradní klíče od bytu: pokud je nemáte a telefon se ztratí, můžete se z vlastního účtu natrvalo zamknout. Vytiskněte je nebo uložte šifrovaně a nefoťte je do běžné galerie, která se synchronizuje do cloudu.

Ověřte si také, jaké další způsoby obnovy služba připouští. Některé povolí reset přes SMS nebo e-mail, což může celý druhý faktor oslabit. Pokud to jde, nechte obnovu pouze přes záložní kódy a zabezpečený e-mail.

Pořadí a testování

Začněte účtem, přes který se dají resetovat ostatní hesla, tedy e-mailem. Potom pokračujte účty s penězi, například burzami, a nakonec ostatními službami. Útočník, který ovládne vaši e-mailovou schránku, si dokáže resetovat téměř cokoli.

Po každém nastavení si vyzkoušejte celý cyklus. Odhlaste se, přihlaste se znovu a použijte kód z aplikace. Ověříte tak, že všechno funguje, ještě dokud máte otevřenou původní relaci. Pokud něco nesedí, můžete to opravit bez stresu a bez kontaktování podpory.

Jednou za čas zkontrolujte také správnost hodin v telefonu. Kódy závisí na přesném čase, a pokud je zařízení posunuté o minutu či více, služba je může odmítat.

Nejčastější problémy po nastavení

Typickým problémem je nesprávný čas v telefonu. Kódy se počítají z aktuálního času, takže pokud mají hodiny čas posunutý o víc než krátký interval, služba je bude odmítat, přestože jste všechno udělali správně. Řešením je zapnout automatické nastavení času a data v systému.

Druhým problémem je přidání účtu bez uložení tajného klíče. Pokud pak telefon vyměníte nebo resetujete, nemáte z čeho obnovovat. Třetím je rozhodnutí vypnout 2FA, když se něco zasekne. Vypnutí nechte až jako poslední možnost a raději požádejte službu o obnovu přes záložní kódy.

Pokud používáte stejný autentikátor pro desítky účtů, občas si je projděte a odstraňte ty, které už nepoužíváte. Přehlednější seznam snižuje riziko, že omylem zadáte kód do nesprávné služby nebo přehlédnete podezřelou žádost.