Nieprawidłowy kod Google Authenticator? Dlaczego zegar w telefonie ma znaczenie

Kod, który jeszcze minutę temu działał, może zostać odrzucony przy kolejnym wpisaniu, a sama aplikacja zwykle nie jest uszkodzona. Kody te są obliczane na podstawie aktualnego czasu, więc nawet niewielka różnica między zegarem w telefonie a zegarem usługi wystarczy, by kod nie zadziałał.

Wyjaśniamy, dlaczego zegar ma znaczenie, jaki błąd czasowy toleruje usługa, jakie są inne częste przyczyny odrzucenia kodu oraz co sprawdzić, zanim cokolwiek zmienisz.

Dlaczego zegar decyduje o tym, czy kod zostanie zaakceptowany

Aplikacja uwierzytelniająca nie otrzymuje kodu od usługi. Oblicza go na podstawie tajnego klucza udostępnionego podczas konfiguracji oraz aktualnego czasu. Zgodnie ze standardem TOTP, IETF RFC 6238, czas dzieli się na przedziały, których zalecana domyślna długość wynosi 30 sekund. Aplikacja i usługa muszą znać aktualny czas i korzystać z przedziałów o tej samej długości. Usługa wykonuje to samo obliczenie, gdy przesyłasz kod, a oba wyniki są zgodne tylko wtedy, gdy obie strony uwzględniają ten sam przedział.

Dlatego kod może wyglądać na całkowicie poprawny, a mimo to zostać odrzucony. Jeśli zegar w telefonie pokazuje inną godzinę niż zegar usługi, oba obliczenia dadzą różne liczby.

Jaki błąd zegara toleruje usługa

Usługi dopuszczają niewielki margines błędu, ponieważ wpisanie i wysłanie kodu zajmuje trochę czasu. Standard zaleca, aby usługa akceptowała opóźnienie wynoszące najwyżej jeden krok czasowy oraz ustaliła limit liczby kroków, o które urządzenie może być rozregulowane, zanim kod zostanie odrzucony. Większe okno czasowe daje też atakującemu więcej czasu na wykorzystanie skradzionego kodu, dlatego margines tolerancji jest niewielki. Każda usługa ustala własne zasady, więc nie ma jednej wartości, na której można polegać.

W praktyce telefon, który automatycznie ustawia czas, prawie nigdy nie sprawia problemów. Telefon z ręcznie ustawionym czasem lub niewłaściwą strefą czasową może jednak późnić się albo spieszyć o minuty, a nawet godziny, przez co kody będą stale odrzucane. Na stronie pomocy Google wśród pierwszych rzeczy do sprawdzenia wymieniono synchronizację zegara urządzenia i jego zgodność z lokalną strefą czasową.

Inne częste przyczyny odrzucenia kodu

Zegar nie jest jedyną przyczyną. Lista kontrolna Google zawiera również pytania o to, czy wpisano kod przed jego wygaśnięciem, czy pochodzi on z właściwej aplikacji lub usługi oraz czy jest przypisany do właściwego konta. Osoby mające w aplikacji kilka wpisów często wybierają niewłaściwy, ponieważ wiele z nich wygląda podobnie.

Kolejną przyczyną jest ponowne użycie kodu. Zgodnie ze standardem usługa nie może zaakceptować kodu po raz drugi, jeśli został już pomyślnie wykorzystany. Dlatego kod, który właśnie zadziałał, zostanie odrzucony przy ponownej próbie — trzeba poczekać na następny. Problem może też wynikać ze zmiany telefonu: jeśli wpis nie został przeniesiony albo usługa wygenerowała od tego czasu nowy tajny klucz, stary wpis nie będzie już tworzyć zgodnych kodów.

Co sprawdzić, zanim cokolwiek zmienisz

Zacznij od telefonu. Ustaw automatyczne datę, godzinę i strefę czasową, poczekaj na nowy kod i wpisz go od razu. Starsze poradniki wspominają o ustawieniu korekty czasu w aplikacji, ale na stronie pomocy Google zaznaczono, że ta opcja nie jest już dostępna w wersji 7.0. Warto więc sprawdzić zegar w ustawieniach telefonu.

Następnie upewnij się, że korzystasz z właściwego wpisu dla właściwego konta i że jesteś na oficjalnej stronie. Nie usuwaj wpisu i nie dodawaj go ponownie jako pierwszego kroku. Usunięcie go może skasować jedyną kopię tajnego klucza, a jeśli kody nie są synchronizowane, Google informuje, że może być konieczne ponowne połączenie każdej witryny. Zanim podejmiesz radykalne działania, upewnij się, że masz kody zapasowe lub inny sposób na zalogowanie się.

Przypomnienie WEEX: nie udostępniaj kodu, aby naprawić problem z kodem

WEEX przypomina, że gdy kod wciąż nie działa, łatwo skorzystać z pomocy dowolnej osoby, która ją oferuje — i właśnie wtedy pojawiają się oszustwa. Nigdy nie wysyłaj nikomu kodu jednorazowego, kodu QR ani klucza konfiguracji, również osobom podającym się za pracowników pomocy technicznej, ponieważ prawdziwa usługa nigdy ich nie potrzebuje. Przed wpisaniem kodu sprawdź adres strony, a kody zapasowe przechowuj offline. Żadna z tych informacji nie stanowi porady finansowej.

Podsumowanie

Odrzucenie kodu Google Authenticator najczęściej wynika z problemu z czasem: aplikacja oblicza kod na podstawie zegara, a usługa musi uzyskać ten sam wynik. Ustawienie automatycznej daty, godziny i strefy czasowej w telefonie rozwiązuje większość problemów. Pozostałe często wynikają z wygaśnięcia kodu, wyboru niewłaściwego wpisu lub ponownego użycia kodu. Zanim cokolwiek usuniesz, upewnij się, że masz możliwość ponownego zalogowania się.

FAQ

1. Dlaczego mój kod Google Authenticator jest nieprawidłowy?
Najczęstsze przyczyny to wygaśnięcie kodu, wybranie niewłaściwej aplikacji lub wpisu konta albo brak synchronizacji daty i godziny w telefonie. Najpierw sprawdź te kwestie.

2. Jak dokładny musi być zegar w moim telefonie?
Usługi dopuszczają tylko niewielki margines błędu. Standard zaleca tolerowanie opóźnienia wynoszącego najwyżej jeden krok czasowy, a każda usługa ustala własne zasady. Najbezpieczniej jest więc ustawić czas automatycznie.

3. Czy strefa czasowa ma znaczenie?
Google wymienia synchronizację zegara urządzenia i jego zgodność z lokalną strefą czasową wśród pierwszych rzeczy do sprawdzenia. Automatyczne ustawienie daty, godziny i strefy czasowej pozwala uniknąć błędów przy ręcznej konfiguracji.

4. Dlaczego kod został odrzucony przy drugim użyciu?
Zgodnie ze standardem usługa nie może ponownie zaakceptować kodu, który został już pomyślnie wykorzystany. Poczekaj na następny kod i spróbuj użyć właśnie jego.

5. Czy usunąć konto z aplikacji i dodać je ponownie?
Nie rób tego w pierwszej kolejności. Usunięcie wpisu może skasować jedyną kopię tajnego klucza konfiguracji, a ponowne dodanie wymaga uzyskania nowego klucza od usługi. Najpierw sprawdź zegar i wpis oraz upewnij się, że masz kody zapasowe.