Cách sử dụng
- Dán khóa bí mật vào ô Khóa bí mật 2FA. Có khoảng trắng hay chữ thường cũng được, công cụ tự bỏ khoảng trắng và đổi sang chữ hoa.
- Đọc mã 6 số hiện tại. Đồng hồ cho biết còn bao nhiêu giây trước khi mã đổi; mã mới xuất hiện mỗi 30 giây.
- Bấm Sao chép mã rồi nhập vào trang web đang yêu cầu.
- Muốn tạo khóa thử nghiệm mới, bấm Tạo khóa 16 ký tự hoặc Tạo khóa 32 ký tự, rồi quét mã QR bằng ứng dụng xác thực.
Lấy mã 2FA từ khóa bí mật (2FA live)
Nhiều người tìm "2fa live" khi đang giữ khóa bí mật 2FA, ví dụ của tài khoản Facebook, Gmail hay tài khoản quảng cáo mình quản lý, và cần mã đang có hiệu lực ngay lúc này. Dán khóa vào ô ở trên là mã hiện ra, rồi tự đổi mỗi 30 giây kèm đồng hồ đếm ngược, giống như 2fa.live và các trang lấy mã 2FA khác.
Khác biệt nằm ở chỗ mã được tính ở đâu. Nhiều trang lấy mã 2FA không nói rõ họ làm gì với khóa bạn dán vào. Ở trang này, mã được tính ngay trong trình duyệt của bạn và khóa không bao giờ được gửi lên máy chủ. Điều này quan trọng vì ai có khóa bí mật là có thể đăng nhập thay bạn.
Mã TOTP hoạt động thế nào
Hầu hết ứng dụng xác thực hai lớp dùng chuẩn TOTP (mật khẩu một lần theo thời gian, RFC 6238). Khi bật 2FA, trang web đưa cho bạn một khóa bí mật dùng chung, thường là mã QR kèm một dãy chữ Base32 bên dưới. Ứng dụng của bạn và trang web cùng kết hợp khóa đó với thời gian hiện tại, chia thành từng bước 30 giây, bằng thuật toán HMAC-SHA1, rồi rút ra mã 6 số. Hai bên tính giống hệt nhau nên mã khớp mà không cần kết nối mạng.
Công cụ này dùng cùng cài đặt mặc định với Google Authenticator, Microsoft Authenticator và hầu hết ứng dụng khác: SHA-1, 6 chữ số, chu kỳ 30 giây.
Tìm khóa bí mật 2FA ở đâu
Lúc bật 2FA, hầu hết trang web hiện một mã QR và một liên kết kiểu "Không quét được mã?" hoặc "Nhập khóa thiết lập". Bấm vào đó sẽ thấy khóa gồm 16 hoặc 32 chữ và số. Hãy lưu khóa này vào trình quản lý mật khẩu ngay lúc bật 2FA: đó là cách duy nhất để tạo lại mã nếu bạn mất điện thoại.
Nếu không còn giữ khóa thì không thể khôi phục khóa từ mã. Hãy dùng mã dự phòng (backup codes) mà trang web đã cấp, hoặc liên hệ bộ phận hỗ trợ để đặt lại 2FA.
Dùng an toàn
Ai có khóa bí mật của bạn cũng tạo được mã hợp lệ cho tài khoản đó, nên hãy giữ khóa như giữ mật khẩu. Chỉ dùng công cụ trên thiết bị của mình, không dùng máy tính công cộng hay máy ở quán net. Link chia sẻ đặt khóa sau dấu #, phần mà trình duyệt không bao giờ gửi lên máy chủ, và trang tự xóa khóa khỏi thanh địa chỉ ngay khi mở. Để đăng nhập hằng ngày, ứng dụng xác thực trên điện thoại vẫn là lựa chọn tốt hơn; công cụ này hợp nhất để thử thiết lập 2FA, kiểm tra khóa đã lưu, hoặc lấy mã khi không có điện thoại bên cạnh.
Câu hỏi thường gặp
2FA live là gì?
Là mã xác thực hai lớp đang có hiệu lực (live) của một khóa bí mật. 2fa.live là trang quen thuộc cho việc này; trang này làm cùng việc đó: dán khóa và sao chép mã 6 số trước khi hết 30 giây.
Vì sao mã 2FA không dùng được?
Nguyên nhân thường gặp nhất là đồng hồ thiết bị lệch quá vài giây, vì mã phụ thuộc vào thời gian chính xác. Bật đồng bộ giờ tự động rồi thử lại. Kiểm tra thêm khóa đã được sao chép đầy đủ chưa, và trang web có dùng mã chuẩn 6 số, 30 giây không.
Có giống Google Authenticator không?
Có. Công cụ dùng cùng chuẩn TOTP và cùng cài đặt, nên cùng một khóa sẽ cho cùng một mã trên Google Authenticator, Microsoft Authenticator, Authy và trang này tại cùng thời điểm.
Có dùng được khi không có mạng không?
Được. Mã được tính trong trình duyệt bằng JavaScript, nên khi trang đã tải xong thì vẫn chạy được khi mất kết nối internet.
Dùng được cho Steam hoặc mã 8 số không?
Chưa. Công cụ tạo mã chuẩn 6 số, SHA-1, chu kỳ 30 giây. Steam Guard và một số token ngân hàng dùng định dạng riêng.
Mã QR dùng để làm gì?
Mã QR chứa khóa bí mật dưới dạng liên kết otpauth://. Quét bằng ứng dụng xác thực để thêm khóa vào đó, ví dụ khi bạn đang thử 2FA cho ứng dụng của mình.
