Mwongozo Kamili wa Uthibitishaji wa Sababu Mbili (2FA)
Kila kitu unachohitaji kujua kuhusu 2FA, misimbo ya TOTP, programu za authenticator, na jinsi ya kulinda akaunti zako za mtandaoni kwa uthibitishaji wa sababu mbili.
Jinsi ya Kutengeneza Msimbo wa 2FA kwa Hatua 3 Rahisi
-
1
Nakili Secret Key Yako ya 2FA
Unapowasha uthibitishaji wa sababu mbili kwenye Google, Facebook, GitHub, au huduma nyingine yoyote, nakili secret key ya Base32 inayoonyeshwa karibu na msimbo wa QR.
-
2
Bandika Key na Tengeneza TOTP
Bandika secret key kwenye sehemu ya jenereta ya 2FA hapo juu na bonyeza Generate Code. Msimbo mpya wa TOTP wa tarakimu 6 unahesabiwa mara moja kwenye kivinjari chako.
-
3
Tumia Msimbo wa 2FA Kuingia
Ingiza msimbo wa uthibitishaji wa tarakimu 6 kwenye fomu ya login kabla ya muda wa sekunde 30 kuisha. Msimbo unasasishwa kiotomatiki kwa kila login mpya.
Huduma na Majukwaa Maarufu Yanayotumia Jenereta Yetu ya 2FA
Jenereta yetu ya msimbo wa 2FA inaendana kikamilifu na huduma yoyote inayofuata kiwango cha TOTP RFC 6238. Hapa ni majukwaa maarufu ambapo unaweza kutumia authenticator hii:
Kwa Nini Utumie Jenereta Yetu ya Bure ya 2FA TOTP
Faragha 100% na Ya Ndani
Uundaji wote wa misimbo ya TOTP unafanyika moja kwa moja kwenye kivinjari chako. Secret key ya 2FA haitumiwi kamwe kwa seva yoyote, ikihifadhi data ya authenticator yako ikiwa ya faragha kabisa.
Misimbo ya Tarakimu 6 ya Papo Hapo
Tengeneza nywila za matumizi ya mara moja zenye msingi wa wakati mara moja na uonyeshaji upya wa kiotomatiki wa sekunde 30. Inafanya kazi kama mbadala kamili wa Google Authenticator, Authy, na Microsoft Authenticator.
Kichanganuzi cha QR Code Kilichojengwa Ndani
Changanua msimbo wowote wa QR wa 2FA kwa kamera au pakia picha. Chombo kinasoma URI ya otpauth kiotomatiki, hivyo hauhitaji kuandika secret key ya Base32.
Modi ya TOTP na HOTP
Badilisha kati ya algoriti zenye msingi wa wakati (TOTP / RFC 6238) na zenye msingi wa counter (HOTP / RFC 4226). Inasaidia hashes za SHA-1, SHA-256, na SHA-512.
Maswali Yanayoulizwa Mara kwa Mara Kuhusu 2FA
2FA (uthibitishaji wa sababu mbili) ni nini?
Je, jenereta hii ya 2FA inaendana na Google Authenticator?
Kwa nini msimbo wangu wa 2FA unabadilika kila sekunde 30?
Je, ni salama kuingiza secret key ya 2FA kwenye tovuti hii?
Ni tofauti gani kati ya TOTP na HOTP?
Je, naweza kutumia hii kama programu kuu ya authenticator?
Nini kama msimbo wangu wa 2FA unakataliwa na tovuti?
Je, chombo hiki cha 2FA kinafanya kazi bila mtandao?
Kwa Nini Uthibitishaji wa Sababu Mbili ni Muhimu mwaka 2026
Nywila peke yake hazitoshi tena. Mabilioni ya credentials yanavuja katika data breaches kila mwaka, na kits za kisasa za phishing zinaweza kushinda hata nywila ngumu. Uthibitishaji wa sababu mbili - unaojulikana pia kama 2FA, multi-factor authentication (MFA), au uthibitishaji wa hatua mbili - huongeza safu ya pili ambayo washambuliaji wa mbali hawawezi kupita kwa urahisi.
Authenticators za TOTP kama hii ni njia inayoungwa mkono zaidi ya 2FA, ikifanya kazi kwenye Google, Microsoft, Apple ID, GitHub, Facebook, Instagram, Snapchat, TikTok, Steam, Epic Games, Fortnite, Discord, na karibu huduma zote kubwa za mtandaoni. Kwa msimbo mpya wa 2FA wa tarakimu 6 unaozunguka kila sekunde 30, nywila zilizovuja pekee hazina maana.
Washa 2FA popote inapowezekana - barua pepe, mitandao ya kijamii, crypto exchanges, hifadhi ya wingu, benki, na akaunti za michezo. Pamoja na meneja wa nywila mwenye nguvu na nywila za kipekee kwa kila tovuti, usanidi sahihi wa uthibitishaji wa sababu mbili ni mojawapo ya maboresho makubwa unayoweza kufanya kwa usalama wako wa mtandaoni.
Ulinganisho wa Aina za Njia za 2FA: SMS, TOTP, Hardware Key, Biometric
Kuna aina kadhaa za uthibitishaji wa sababu mbili zinazopatikana leo, kila moja ikiwa na viwango tofauti vya usalama na urahisi. Kuelewa chaguo hizi kunakusaidia kuchagua njia sahihi ya 2FA kwa kila akaunti - kutoka login rahisi za michezo hadi akaunti za benki na crypto zenye thamani kubwa. Hapa chini tunalinganisha kila aina kuu ya 2FA utakayokutana nayo mwaka 2026, na faida, hasara, na mapendekezo yetu kwa uaminifu.
| Njia ya 2FA | Usalama | Urahisi | Inafaa Kwa |
|---|---|---|---|
| SMS 2FA | Low | High | Fallback only; vulnerable to SIM swap |
| TOTP Authenticator App | High | High | Daily 2FA for all accounts |
| Push Notifications | Medium | Very High | Work accounts with managed devices |
| Hardware Security Key | Very High | Medium | Email, password manager, crypto |
| Biometric / Passkey | Very High | Very High | Modern passwordless sign-in |
| Backup Codes | Medium | One-time | Recovery when authenticator is lost |
SMS-based 2FA ni aina ya kawaida zaidi ya uthibitishaji wa sababu mbili kwa sababu inafanya kazi na simu zote za mkononi. Baada ya kuingiza nenosiri, ujumbe wa maandishi wenye msimbo wa uthibitishaji wa tarakimu 6 unatumwa kwa nambari yako. Ingawa ni rahisi, SMS 2FA iko hatarini kwa mashambulizi ya SIM swapping - ambapo wahalifu wanadanganya waendeshaji kuhamisha nambari yako kwa kifaa chao. NIST imekwisha deprecate SMS kama njia salama ya 2FA kwa akaunti zenye thamani kubwa, na benki kubwa zinapendekeza kuhamia kwenye programu za TOTP authenticator.
Authenticator apps (TOTP) kama Google Authenticator, Microsoft Authenticator, Authy, na 1Password zinatengeneza nywila za matumizi ya mara moja zenye msingi wa wakati moja kwa moja kwenye kifaa chako bila kuhitaji muunganisho wa mtandao. Hii inafanya TOTP 2FA kuwa haraka zaidi, salama zaidi, na kinga dhidi ya mashambulizi ya SIM swap. Misimbo inazunguka kila sekunde 30 kulingana na kiwango cha RFC 6238, na secret key ile ile inafanya kazi kwenye authenticators zote zinazoendana - ikiwa ni pamoja na jenereta hii inayotumia kivinjari.
Hardware security keys kama YubiKey, Google Titan, SoloKeys, na Feitian zinatumia kiwango cha FIDO2 / WebAuthn kuthibitisha umiliki wa kimwili kupitia vifaa vya USB, NFC, au Bluetooth. Hardware keys ni gold standard ya usalama wa 2FA kwa sababu zinakinza phishing - kurasa za login ghushi haziwezi kuvuna signatures za cryptographic, tofauti na misimbo ya TOTP. Tumia hardware keys kwa akaunti muhimu zaidi: barua pepe kuu, meneja wa nywila, crypto exchanges, na utambulisho wa kazi.
Push notification 2FA programu kama Duo Mobile, Microsoft Authenticator push prompts, na Okta Verify zinatuma kugusa kwa uthibitishaji kwa simu yako. Ni rahisi zaidi kuliko kuandika msimbo wa 2FA wa tarakimu 6 lakini zinahitaji msaada wa huduma na ziko hatarini kwa mashambulizi ya MFA fatigue ambapo wahalifu wanaspam maombi ya uidhinishaji wakitumaini utagusa Approve kwa uzembe.
Biometric 2FA and passkeys inatumia alama za vidole au utambuzi wa uso, mara nyingi ikichanganywa na passkey iliyofungwa na kifaa. Apple Face ID, Windows Hello, na vichanganuzi vya alama za vidole vya Android vinatumika zaidi kama sababu ya pili kwa vifaa vilivyokwisha kuingia. Passkeys zenye msingi wa FIDO2 / WebAuthn zinachukua polepole nafasi ya nywila na TOTP 2FA kwenye Google, Apple, Microsoft, GitHub, na orodha inayokua ya huduma - hii ni mustakabali wa uthibitishaji.
Pendekezo letu: tumia programu ya TOTP authenticator kama njia kuu ya 2FA, ikiungwa mkono na hardware security key kwa akaunti muhimu zaidi (barua pepe kuu, meneja wa nywila, crypto, utambulisho wa kazi). Epuka SMS 2FA pale inapowezekana na siku zote hifadhi backup codes offline mahali salama.
Jinsi ya Kuwasha 2FA kwenye Huduma Maarufu (Hatua kwa Hatua)
Kusanidi uthibitishaji wa sababu mbili ni tofauti kidogo kwa kila jukwaa, lakini mtiririko wa msingi ni ule ule kwenye huduma zote kubwa. Hapa chini ni mwongozo wa haraka wa hatua kwa hatua wa kuwasha 2FA kwenye majukwaa maarufu zaidi, zote zinafanya kazi bila shida na jenereta hii ya TOTP.
Washa 2FA kwenye Google / Gmail
Tembelea myaccount.google.com kisha Security, 2-Step Verification, Get Started. Ingia kwa nenosiri, chagua Authenticator app. Google inaonyesha msimbo wa QR - changanua na jenereta yetu ya TOTP au bandika secret key ya Base32. Google pia inasaidia arifa za Google Prompt na hardware security keys kama njia za ziada za 2FA kwa akaunti yako ya Gmail na Google.
Washa 2FA kwenye Facebook / Meta
Bonyeza picha ya profaili yako ya Facebook, fungua Settings & Privacy, Settings, Accounts Center, Password and security, Two-factor authentication. Chagua Authentication app na changanua msimbo wa QR au nakili secret key kwenye jenereta yetu ya msimbo wa 2FA. Facebook inaruhusu SMS kama backup, lakini 2FA ya programu ya authenticator inapendekezwa sana kwa usalama bora.
Washa 2FA kwenye Discord
Fungua Discord, User Settings (aikoni ya gia), My Account, Enable Two-Factor Auth. Ingiza nenosiri, kisha tumia msimbo wa QR unaoonyeshwa au Base32 key ya mkono na jenereta yetu ya msimbo wa 2FA. Siku zote hifadhi Discord backup codes mara moja - ukipoteza upatikanaji wa authenticator, Discord itahitaji misimbo hiyo kwa kurejesha akaunti.
Washa 2FA kwenye GitHub
Nenda kwa Settings, Password and authentication, Two-factor authentication, Enable. Chagua Set up using an app kutengeneza misimbo ya TOTP na chombo chetu cha 2FA au authenticator yoyote ya RFC 6238. GitHub pia inasaidia FIDO2 security keys kama sababu ya ziada, na inahitaji 2FA kwa wachangiaji wote kwenye repositories nyeti.
Washa 2FA kwenye Microsoft / Outlook
Tembelea account.microsoft.com, Security, Advanced security options, Two-step verification, Turn on. Microsoft inapendelea programu yake ya Microsoft Authenticator lakini jenereta yoyote ya RFC 6238 TOTP - ikiwa ni pamoja na yetu - inafanya kazi vile vile. Usanidi ule ule wa 2FA unajumuisha Outlook, Xbox, Microsoft 365, Teams, OneDrive, na huduma zote nyingine za Microsoft.
Washa 2FA kwenye Fortnite / Epic Games
Tembelea epicgames.com kisha account, password-and-security, Two-factor authentication, Enable Authenticator App. Changanua msimbo wa QR na jenereta yetu ya 2FA. Kuwasha 2FA kwenye Fortnite pia kunakupa zawadi ya Boogiedown emote na kunaboresha usalama wa akaunti yako ya Rocket League na Epic Games Store.
Washa 2FA kwenye Binance / Coinbase / Kraken
Kila crypto exchange kubwa - Binance, Coinbase, Kraken, Gemini, KuCoin, Bitstamp - inahitaji 2FA kwa uondoaji. Washa uendanaji wa Google Authenticator kwenye tab ya usalama ya kila exchange na hifadhi secret key kwenye meneja wa nywila. Kupoteza upatikanaji wa 2FA kwa akaunti za crypto bila backup codes kunaweza kukufungia kabisa kutoka kwa fedha zako.
Washa 2FA kwenye Instagram / TikTok / Snapchat
Instagram, TikTok, na Snapchat zote zinasaidia 2FA ya programu ya authenticator kupitia menyu ya Settings, Security. Kila programu inatengeneza msimbo wa QR unaoendana na chombo chochote cha RFC 6238 TOTP. Kwa kuzingatia jinsi akaunti za kijamii zinavyolengwa mara kwa mara kwa wizi wa akaunti na uuzaji upya, kuwasha uthibitishaji wa sababu mbili kwenye kila akaunti ya mitandao ya kijamii ni lazima mwaka 2026.
Baada ya kuwasha 2FA kwenye huduma yoyote, jaribu mara moja kwa kutoka na kuingia tena - kabla ya wakati unapoihitaji kweli. Hii inahakikisha msimbo wa authenticator unafanya kazi kwa usahihi na umehifadhi recovery backup codes kwa usalama.
Mbinu Bora za Usalama wa 2FA Ambazo Kila Mtumiaji Anapaswa Kufuata
Kuwasha uthibitishaji wa sababu mbili ni nusu tu ya kazi. Kufuata mbinu bora zifuatazo kunaweka usanidi wako wa 2FA ukiwa salama kutoka kwa vitisho vya kisasa vinavyolenga programu za authenticator, misimbo ya SMS, na mtiririko wa urejeshaji. Kukubali hata nusu tu ya mazoezi yaliyo hapa chini kutakuweka katika nafasi bora kuliko 95% ya watumiaji linapokuja suala la usafi wa 2FA.
-
Siku zote hifadhi backup codes zako. Kila huduma inayosaidia 2FA inatengeneza misimbo 8-10 ya recovery ya matumizi ya mara moja unapowasha authenticator. Chapisha, hifadhi kwenye meneja wa nywila, au weka kwenye notes zilizosimbwa. Bila backup codes, kupoteza simu kunaweza kumaanisha kupoteza akaunti kabisa - hakuna customer support anayeweza kurejesha akaunti za 2FA zilizoimarishwa bila uthibitisho wa utambulisho.
-
Tumia vifaa vingi vya authenticator. Safirisha backup ya 2FA kutoka kwa chombo hiki na iingize kwenye kifaa cha pili, au tumia Authy / 1Password ambazo zinasawazisha TOTP secrets kati ya vifaa kwa asili. Google Authenticator sasa ina kipengele rasmi cha kusafirisha QR. Kuwa na kifaa cha pili kunamaanisha kupoteza au kuharibika kwa simu hakutakukata kutoka kwa kila akaunti ya 2FA wakati mbaya zaidi.
-
Kuwa makini na mashambulizi ya MFA fatigue. Washambuliaji wanaojua nenosiri lako wanaweza kuspam maombi ya arifa ya push ya 2FA wakitumaini utagusa Approve kwa mazoea au kuchukizwa. Hii ilitumika katika breaches za high-profile kwenye Uber na wengine. Siku zote kagua ni programu ipi inaomba uthibitisho na ukatae maombi yasiyotarajiwa - login halali mara chache huchochea maombi ya 2FA bila sababu usiku wa manane.
-
Jilinde dhidi ya SIM swapping. Hata kama unaepuka SMS 2FA, nambari za simu mara nyingi zinahusishwa na mtiririko wa urejeshaji wa akaunti. Omba mtoa huduma wako kuongeza PIN au ulinzi wa port-out kwenye akaunti yako ili wahalifu wasiweze kuhamisha SIM kwa kifaa chao. Badiliko hili pekee linazuia mashambulizi mengi ya SIM swap na ni bure kwa watoa huduma wote wakubwa.
-
Changanya 2FA na meneja wa nywila. Nywila zenye nguvu na za kipekee kwa kila tovuti pamoja na TOTP 2FA pamoja na hardware security key kwa akaunti muhimu ni gold standard ya usalama wa akaunti mwaka 2026. 1Password, Bitwarden, LastPass, na KeePass zinaweza kuhifadhi TOTP secrets pamoja na nywila - baadhi hata zinajaza kiotomatiki maeneo yote mawili kwa pamoja kwa uzoefu mzuri wa login.
-
Usishiriki kamwe misimbo ya 2FA, hata na support. Hakuna kampuni halali, benki, au jukwaa la mtandaoni litakaloomba usome msimbo wa 2FA wa tarakimu 6 kwa sauti, kuandika kwenye gumzo, au kutuma kupitia barua pepe. Kama mtu anaomba - iwe anadai kuwa tech support, benki yako, au kampuni ya usafirishaji - ni ulaghai. Kata simu na wasiliana na kampuni kupitia nambari yao rasmi au tovuti yao moja kwa moja.
-
Kagua usanidi wako wa 2FA kila mwaka. Tengeneza orodha ya kila akaunti ambako umewasha uthibitishaji wa sababu mbili. Ondoa 2FA kutoka kwa akaunti zisizotumika, washa kwenye akaunti mpya zilizotengenezwa, na thibitisha backup codes bado zinafanya kazi. Ukaguzi wa kila mwaka wa 2FA unakamata barua pepe za zamani za urejeshaji, nambari za zamani za simu, na authenticator seeds zilizosahaulika.
-
Pandisha hadi passkeys inapopatikana. Passkeys za FIDO2 / WebAuthn zinachukua polepole nafasi ya nywila na TOTP 2FA kwenye Google, Apple, Microsoft, GitHub, PayPal, na mamia ya huduma nyingine. Passkeys zinakinza phishing kwa muundo na zimefungwa kwa secure enclave ya kifaa chako - tovuti zinapotoa passkey, iwashe badala ya kutegemea misimbo ya 2FA pekee.
Kutatua Matatizo ya Kawaida ya 2FA
Hata usanidi wa uthibitishaji wa sababu mbili uliosanidiwa vizuri unaweza kukumbana na matatizo. Hapa ni matatizo ya kawaida zaidi ya 2FA yanayokabiliwa na watumiaji na suluhisho la vitendo linalotatua mengi bila kuhitaji kuwasiliana na support.
Msimbo wa 2FA batili au msimbo wa uthibitishaji usio sahihi
Sababu ya kawaida zaidi ni saa ya kifaa kuto sawa. TOTP inategemea wakati sahihi - hata ofseti ya sekunde 30 inasababisha misimbo kutoendana. Kwenye Android: Settings, System, Date & time, Set time automatically. Kwenye iOS: Settings, General, Date & Time, Set Automatically. Kwenye Windows: Settings, Time & language, Date & time, Set time automatically. Seva kawaida zinakubali misimbo katika dirisha la pamoja/minus 1, hivyo kujaribu msimbo unaofuata baada ya uonyeshaji upya wa sekunde 30 mara nyingi hufanya kazi.
Kosa la kuandika kwenye secret key wakati wa kuingiza kwa mkono
Base32 inatumia tu A hadi Z na 2 hadi 7 - hakuna 0, 1, 8, au 9. Herufi zisizo wazi kama O dhidi ya 0 au I dhidi ya 1 zinaharibu kila kitu. Nakili secret key moja kwa moja kutoka kwa msimbo wa QR wa huduma badala ya kuandika kwa mkono, au tumia QR scanner yetu iliyojengwa ndani. Huduma nyingi pia zinaruhusu kuonyesha secret plaintext karibu na msimbo wa QR kwa uingizaji rahisi wa mkono.
Kupoteza simu yenye programu ya authenticator
Kwanza, jaribu backup codes - huduma nyingi zinaomba moja unapokosa kufikia 2FA authenticator. Kama umesafirisha au kusawazisha TOTP secrets, rejesha kwenye kifaa kipya. Kama njia ya mwisho, wasiliana na timu ya support ya huduma na ufuate mtiririko wao wa urejeshaji wa akaunti, ambao kawaida unahusisha uthibitishaji wa ID ya serikali au uthibitishaji wa siri nyingine. Usilipe kamwe kwa huduma za urejeshaji wa 2FA za upande wa tatu - ni ulaghai.
Msimbo wa QR hauwezi kuchanganuliwa
Mwanga, ulengaji wa kamera, na mwangaza wa skrini ni sababu za kawaida. Jaribu kupakua QR kama faili ya picha na kupakia kwenye image scanner yetu, au ingiza kwa mkono secret key ya Base32 iliyoonyeshwa. Hakikisha hakuna extensions za kivinjari zinazobadilisha onyesho la QR.
Akaunti imefungwa kabisa kutoka 2FA
Huduma nyingi zinasaidia uthibitishaji wa utambulisho kupitia ID ya serikali, tarakimu 4 za mwisho za kadi ya mkopo, barua pepe ya urejeshaji, au waasiliani wanaoaminika. Social logins (Google, Apple, Microsoft) mara nyingi zinaweza kufungua kupitia 2FA ya akaunti mama. Crypto exchanges ni kali zaidi - kuwa tayari kwa mchakato wa KYC wa siku nyingi. Andika utambulisho wako vizuri na ufuate mtiririko rasmi wa urejeshaji wa kila huduma.
Arifa za push hazifiki
Hakikisha programu ya authenticator ina ruhusa ya arifa, battery optimization imezimwa haswa kwa ajili yake, na kifaa kina upatikanaji amilifu wa intaneti. Kwenye Android, baadhi ya battery savers za kali zinazima huduma za authenticator za nyuma - weka programu yako ya 2FA kwenye whitelist. Kuanzisha upya programu kawaida kunasasisha push token.
Jinsi TOTP Inavyofanya Kazi Nyuma ya Pazia (Technical Deep Dive)
Kwa wale wadadisi wa kiufundi, hapa ni hatua kwa hatua jinsi misimbo ya 2FA TOTP inavyotengenezwa, ikifuata RFC 6238 - algoriti ile ile ambayo jenereta yetu ya 2FA inatumia kwa ndani, na algoriti ile ile ambayo Google Authenticator, Microsoft Authenticator, Authy, na authenticators zote nyingine zinazoendana zinafuata.
- 1. Shared secret. Unapowasha 2FA kwenye huduma, seva na programu yako ya authenticator zote zinakubaliana kuhusu secret key nasibu, kawaida biti 160 (bytes 20) iliyosimbwa kwa Base32 kwa onyesho linalosomeka na binadamu. Shared secret hii haitoi kamwe upande wowote katika operesheni za kawaida.
- 2. Time counter. Chukua Unix timestamp ya sasa, gawanya kwa 30, floor matokeo. Hii inatoa integer counter inayoongezeka pande zote mbili kila sekunde 30. Kutumia wakati kama counter kunamaanisha hakuna haja ya kusawazisha state kati ya seva na authenticator - pande zote mbili zinahesabu thamani ile ile kwa uhuru.
- 3. HMAC-SHA1. Hesabu hash ya HMAC-SHA1 ukitumia shared secret kama key na counter ya byte 8 ya big-endian kama message. Matokeo ni hash ya cryptographic ya bytes 20. Utekelezaji wa kisasa pia unasaidia HMAC-SHA256 na HMAC-SHA512 kwa 2FA yenye nguvu zaidi pande zote mbili zinapokubaliana juu ya algoriti.
- 4. Dynamic truncation. Chukua byte ya mwisho ya hash, mask biti 4 za chini kupata offset (0 hadi 15). Toa bytes 4 kutoka offset hiyo kwenye hash, futa high bit, na litendee matokeo kama integer ya biti 32. Hii ni algoriti ya dynamic truncation kutoka RFC 4226 (HOTP) ambayo TOTP inategemea.
- 5. Modulo kwa tarakimu. Hesabu integer ya biti 32 modulo 10 iliyoinuliwa kwa idadi ya tarakimu - kawaida 10 iliyoinuliwa kwa 6 kwa msimbo wa kawaida wa 2FA wa tarakimu 6, au 10 iliyoinuliwa kwa 8 kwa baadhi ya huduma za benki. Jaza na zero mwanzoni kama inahitajika ili output ya thamani za chini kama 7 iwe 000007, sio msimbo wa sehemu.
Matokeo ni msimbo wa uthibitishaji wa tarakimu 6 unaohesabiwa kwa njia ile ile na authenticator na seva. Unapoandika msimbo wakati wa login, seva inahesabu msimbo unaotarajiwa kwa dirisha la sasa la wakati na kulinganisha. Kwa kuwa HMAC ni collision-resistant, ni yule tu anayebeba shared secret anayeweza kutengeneza msimbo halali wa TOTP - hii ni hisabati ya cryptographic nyuma ya usalama wa kisasa wa 2FA. Katika utekelezaji wetu, hesabu zote hizi zinafanyika upande wa client ukitumia Web Crypto API ya kivinjari, hivyo secret key yako haigusi kamwe seva na misimbo tunayotengeneza inalingana kabisa na Google Authenticator, Authy, Microsoft Authenticator, 1Password, Bitwarden, na authenticators zote zinazotii RFC 6238.
Kamusi ya 2FA
Rejea ya haraka kwa istilahi za kawaida zaidi za uthibitishaji wa sababu mbili utakazokutana nazo unapowasha 2FA katika huduma mbalimbali.
- 2FA
- Two-Factor Authentication. Requires two different authentication factors before granting account access.
- MFA
- Multi-Factor Authentication. Umbrella term covering any use of multiple factors (2FA is the most common form of MFA).
- TOTP
- Time-based One-Time Password. 6-digit 2FA codes that change every 30 seconds. Defined by RFC 6238.
- HOTP
- HMAC-based One-Time Password. Counter-based 2FA codes that increment on each use. Defined by RFC 4226.
- OTP
- One-Time Password. Any code valid for a single login attempt. Includes both TOTP and HOTP variants.
- HMAC
- Hash-based Message Authentication Code. The cryptographic primitive that underpins both TOTP and HOTP.
- Base32
- The text encoding used for 2FA secret keys — only A–Z and 2–7, chosen to avoid ambiguous characters.
- Authenticator
- Any app or device that generates 2FA codes. Examples: Google Authenticator, Authy, 1Password, Microsoft Authenticator.
- QR Code
- Quick Response barcode containing the otpauth:// URI used to provision a new 2FA secret without typing.
- Secret Key
- The shared cryptographic key between you and the service, usually 160 bits encoded in Base32.
- Recovery Codes
- Single-use backup codes to log in when your authenticator is unavailable. Also called backup codes.
- SIM Swap
- Attack where criminals port your phone number to their SIM card to intercept SMS 2FA codes.
- Passkey
- Modern FIDO2 / WebAuthn credential replacing passwords plus 2FA on a growing list of sites.
- FIDO2
- Open authentication standard for phishing-resistant login using hardware keys or device biometrics.
- WebAuthn
- Web API that implements FIDO2 inside the browser for passkey and hardware key sign-in.
- U2F
- Universal 2nd Factor. The predecessor of FIDO2, still supported by many hardware security keys.
- YubiKey
- Popular brand of hardware security key supporting FIDO2, U2F, OTP, and smart card functions.
- Phishing-resistant MFA
- 2FA methods (hardware keys, passkeys) that cannot be tricked by fake login pages.
