Co je to Google Authenticator a jak funguje? Návod pro rok 2024

Google Authenticator je jednou z možností, jak posílit bezpečnost přihlašování do různých služeb, např. do emailu, k brokerovi, na kryptoměnovou burzu nebo např. sociální sítě. Díky této mobilní aplikaci lze ověřit, jestli je přihlašovaná osoba skutečným vlastníkem účtu, nebo jestli se jedná o neoprávněný pokus o přístup.

Jedná se o jednu z možných implementací tzv. dvoufaktorového ověření (někdy též 2FA), tedy druhotného ověření, které probíhá běžně po ověření prvotním – např. po standardním zadání uživatelského jména a hesla. Google Authenticator je dnes už standardem 2FA a je implementován ve velkém množství různých platforem.

V tomto článku si ukážeme, jak Google Authenticator použít, a to se vším všudy. Od instalace až po řešení problémů a krizových situací, jakými je například ztráta zařízení, na kterém je Google Authenticator nainstalovaný.

Obsah článku o Google Authenticatoru

Co je to Google Authenticator a jak funguje?

Google Authenticator je mobilní aplikace na telefony s operačním systémem Android a iOS, ale podporuje také méně rozšířené Blackberry. Sestrojila ji společnost Google. Cílem bylo vytvořit další ze způsobů dvoufaktorové autorizace uživatele, která výrazně zvyšuje zabezpečení napojených profilů.

Celá magie Google Authenticatoru a dalších 2FA aplikací, např. Authy, spočívá v tzv. TOTP využívající algoritmus definovaný v RFC 6238.

Server a koncové zařízení uživatele, např. telefon, si na začátku nasdílí tajný klíč. Tento klíč je pak společně s časem vstupem do zmíněného algoritmu, z něhož se generují šestimístné kódy.

Když při přihlašování tento kód z telefonu zadáte, server si ověří, jestli je zadaný kód stejný jako kód, který si spočítal sám. Pokud ano, ověření proběhlo úspěšně.

Zdroj: twilio.com

Fungování aplikace je vcelku jednoduché a přímočaré – jediné, co musíte udělat, je nejdříve naskenovat QR kód tajného klíče, který vám server ukáže. Pak už se do aplikace pouze podíváte kdykoliv, když se do cílové destinace přihlašujete, a zadáte aktuální kód. Nebojte, vše si ukážeme v návodu níže.

I přes tuto zásadní jednoduchost je Google Authenticator společně s dalšími 2FA aplikacemi jednou z nejlepších a nejúčinnějších možností, jak svůj účet ještě více ochránit.

Princip generování kódů

Základní fungování aplikace spočívá v generování kódů. Tyto kódy obecně platí 30 až 60 sekund, během této doby je musíte při přihlašování zadat. Omezená platnost kódu je dalším bezpečnostním opatřením. V případě, že by vám někdo obrazně řečeno “koukal přes rameno”, bude mít relativně malý časový interval na to, aby se do vašeho účtu naboural.

Zdroj: medium.com

Na obrázku můžete na pravé straně vidět ikonku odpočtu do příští změny kódu. Běžně však platí, že je kód platný i pár sekund poté, co se změní. Máte tak krátkou časovou rezervu na to, abyste kód odeslali těsně po jeho změně. Toto opatření mimo jiné řeší i problémy s nízkou odezvou.

Napojení na telefon

Google Authenticator je specificky napojený na zařízení, ve kterém je aplikace nainstalovaná. To vychází z principu popsaného výše – aplikace musí mít ve své databázi uložený tajný klíč pro konkrétní připojení. Přesunutí na jiný telefon je možné pouze skrze přesunutí tajného klíče, jak si ostatně ukážeme v kapitolách níže.

Vše běží mimo internetové připojení

Jednou z nejlepších věcí na Google Authenticatoru je fakt, že celý systém funguje i bez internetového připojení. Aplikace bude pracovat vždy, a to i když nebude vaše zařízení napojené na síť. Opět to souvisí s tajným klíčem a algoritmem použitým pro výpočet kódů – sekvence kódů je pevně daná z tajného klíče; platnost konkrétního kódu je závislá na čase.

Odpojení od sítě má své opodstatnění i z hlediska bezpečnosti – pokud nejste na telefonu připojení na internet, prakticky jste si tímto zřídili další bezpečností bariéru proti odposlechu.

Nevýhody Google Authenticatoru

I když toho Google Authenticator nabízí hodně, v něčem zaostává.

• Tím největším prohřeškem je nízké zabezpečení samotné aplikace. Ta bohužel neobsahuje žádnou formu hesla či biometrického skenu v podobě otisku prstu nebo skenu obličeje. V případě, že by někdo ukradl váš telefon a odemkl ho, může se okamžitě dostat k těmto cenným kódům a využít je při odemykání vašich účtů. Tedy pokud zná vaše heslo na kryptoměnovou burzu a vaším zabezpečením je 2FA s Google Authenticatorem, nic ho už nezastaví. Jediná bezpečnostní opatření, která v aplikaci můžete nalézt, je blokace screenshotů na hlavní stránce s kódy a ověření při exportování účtů.
• Dalším velkým mínusem Google Authenticatoru je fakt, že se kódy nedají nijak zálohovat. To principiálně zvyšuje bezpečnost (útočník nemá jinou možnost, než se dostat přímo do vaší aplikace), ale radikálně to snižuje uživatelský komfort. Pokud váš telefon s Google Authenticatorem ztratíte, o kódy přijdete.

Kde všude lze Google Authenticator využít?

Podle portálu enlyft.com existuje dnes na celém světě přes 206 společností, které Google Authenticator využívají. Údajně se nejčastěji jedná o firmy, které mají obrat nad miliardu dolarů, stejně tak jako počet zaměstnanců alespoň nad 10 000.

Je však vysoce pravděpodobné, že je skutečné číslo mnohem vyšší. Zároveň je nutné upozornit, že číslo výše zahrnuje pouze firmy, které v rámci svého multifaktorového ověření používají vyloženě Google Authenticator, nejedná se ale samozřejmě o jedinou aplikaci, která 2FA ověření na bázi TOTP poskytuje.

S Google Authenticatorem či jinou formou multifaktorového ověření se dnes už setkáte téměř všude. V rámci kryptoměnové branže je multifaktorové ověření u kryptoměnových burz dnes již naprostým standardem.

Zajímavá zjištění přináší i průzkum LastPass, jednoho z výrobců předních manažerů hesel a také generátorů TOTP, z roku 2021. Multifaktorové ověření je běžně nejvíce využívané v technických oblastech, ve finančnictví a vzdělávání. Naopak nejméně se uplatňuje v neziskových organizacích, marketingově zaměřených společnostech a firmách působících v právním odvětví a pojišťovnictví.

Zdroj: lastpass.com

NÁVOD: Jak nainstalovat a aktivovat Google Authenticator

Nyní si vysvětlíme, jak aplikaci nainstalovat a jak ji používat. Ukážeme si, jak do Google Authenticatoru vložit tajný klíč, který vám stránka, pro níž si 2FA zřizujete, ukáže a jak následně probíhá generování kódů.

Instalace aplikace

Instalace aplikace Google Authenticator je naprosto jednoduchá:

1. Otevřete si stránku aplikace na Obchod Play pro Android nebo App Store pro iOS.
2. Aplikaci si stáhněte a nainstalujte.

Zdroj: App Store

Proběhne-li instalace v pořádku, můžete se vrhnout na propojování aplikace s vašimi účty, respektive na vkládání tajných klíčů.

Jak propojit Google Authenticator s cizí aplikací?

Práce s aplikací Google Authenticator je stejné prostá jako instalace. Není na tom nic zdlouhavého. Oříškem může být občas nalezení sekce 2FA nastavení na platformě, kterou se s Google Authenticatorem snažíte propojit – nastavení nemusí být vždy přehledné. Některé společnosti nabízejí toto nastavení už při samotném procesu registrace, ale jinde se budete muset podívat do hlubšího nastavení.

Jednou z aplikací, v níž si můžete, respektive musíte 2FA ověření zapnout, je Google Účet. Google Authenticator s vaším účtem Google propojíte následujícím způsobem.

Zdroj: google.com

Po kliknutí na možnost dvoufázového ověření se vám zobrazí jeho jednotlivé možnosti. Google nabízí spoustu variant – od klasického bezpečnostního klíče až po SMS ověření či výzvy na zařízeních, na nichž už jste pod vaším Google Účtem přihlášení.

Zdroj: google.com

Pro nastavení dvoufaktorového ověřování klikněte na nastavení pro aplikaci Authenticator. Google vám následně ukáže QR kód, který v aplikaci na telefonu naskenujete. Pokud by vám to nešlo, nabízí Google Authenticator možnost manuálního zadání potřebného kódu. K němu se dostanete po kliknutí na modrý text pod QR kódem.

Zdroj: google.com

Další krok bude nutné uskutečnit na telefonu, kam jste si před chvilkou Google Authenticator nainstalovali. Když aplikaci otevřete, uvidíte jen prázdné okno. Ve spodním pravém rohu bude malé kolečko se symbolem +, které slouží pro napojování dalších účtů.

Zde vidíte dvě možnosti. Protože se většinou všude uvádí právě QR kód, je jeho naskenování tou nejkomfortnější cestou, jak si účet do svého Google Authenticatoru přidat.

Pokud vám ale z nějakého důvodu kamera nefunguje, nemusíte zoufat. Google Authenticator lze zprovoznit i manuálně. Pod QR kódem klepnete na modrý text, který vám ukáže kód v textové podobě, ten pak do aplikace manuálně zadáte. V Google Authenticatoru se k dialogu pro jeho zadání dostanete přes možnost Zadat klíč pro nastavení.

Druhé pole slouží jako identifikátor klíče a je čistě pro vaši potřebu – můžete si sem zadat např. váš email či cokoliv jiného, co vám pomůže kód odlišit. Unikátní označení kódu oceníte zejména v případě, když jich v aplikaci budete mít např. více než 10.

Tímto se vám do aplikace okamžitě přidá kolonka vašeho účtu, vedle kterého se bude postupně měnit šestimístný kód. Webová stránka, z níž jste tajný klíč skenovali (v našem případě Google Účet) se vás už jen zeptá na zadání příslušného kódu pro potvrzení a celý proces je tímto dokončený.

Možné potíže s Google Authenticatorem a jak je vyřešit

Google Authenticator přináší vzhledem ke své koncepci také jistá omezení. Jak jsme si již řekli výše, Google Authenticator je aplikace pracující čistě offline. Základem všeho je tajný klíč ke generování jednotlivých kódů, který má aplikace uložený ve své databázi. Na rozdíl od svých konkurentů Google Authenticator neumožňuje tento tajný klíč zálohovat, z čehož pramení následující:

Je-li přístup k aplikaci nedostupný, ať už z důvodu jejího smazání či ztráty samotného telefonu, je ztracen i tajný klíč a s ním i přístupový kód.

Aby vás tato nepříjemná zkušenost v praxi nezaskočila, můžete podniknout následující kroky, jimiž si jednak bezpečnost vašeho účtu ještě dodatečně zvýšíte, ale také si k němu zajistíte možný přístup i v případě, že se ke svému Google Authenticatoru nedostanete.

1) Využívejte více způsobů dvoufaktorové autorizace

V drtivé většině případů není aplikace generující TOTP hesla tím jediným možným prvkem dvoufaktorového ověření, dá se většinou nahradit různými způsoby. Proto je nejjednodušším způsobem zajištění přístupu k účtu aktivace více variant dvoufaktorového ověření. Mezi nimi může být například:

• Dvoufaktorové ověření přes SMS: 2FA ověření přes textovou zprávu patří mezi ty méně bezpečné, ale zároveň široce dostupné možnosti. Jedná se na jednu stranu o komfortní řešení (není potřeba instalovat žádnou aplikaci třetí strany), v historii už se však řadě uživatelům vymstilo zejména díky vysoké náchylnosti na phishingové útoky.
• Hardwarový klíč: Dvoufaktorové ověření pomocí hardwarového klíče je tou nejbezpečnější variantou vůbec. Hardwarové klíče, např. YubiKey na obrázku níže, mají podobu malého USB flash disku, který stačí při výzvě pro ověření vložit do USB portu počítače nebo telefonu. Vysoká úroveň bezpečnosti pramení z nemožnosti jakkoliv zcizit citlivé údaje jinak uložené digitálně na úložišti telefonu, má však také své nevýhody. Jelikož hardwarový klíč nosíte stále u sebe, problém nastává, když jej ztratíte, či vám jej někdo ukradne.

Zdroj: yubico.com

Zásadním předpokladem je, že pokud je jedna možnost nedostupná, dá se čistě teoreticky nahradit druhou. Pokud vaše služba jiné možnosti dvoufaktorového ověření nenabízí, nebo kvůli vysoké bezpečnosti požaduje zadání více variant najednou, nezbývá, než se obrátit na zákaznickou podporu.

2) Poznamenejte si tajný klíč

Další možností, jak se pojistit proti ztrátě přístupu k vašemu účtu, je poznamenat si tajný klíč, pomocí něhož Google Authenticator pak generuje bezpečnostní kódy. Tajný klíč si můžete pro jistotu poznamenat při navazování spojení; pokud svůj telefon ztratíte, můžete klíč vložit do Google Authenticatoru na jiném zařízení. Generované bezpečnostní kódy pak budou identické.

Zdroj: google.com

Zdroj: google.com

Jakmile si na novém zařízení Google Authenticator propojíte a do vašeho účtu se dostanete, tento bezpečnostní klíč deaktivujte a vytvořte si nový, zamezíte tak možnosti, že by váš ztracený telefon někdo mohl zneužít.

3) Nabízí-li cizí platforma záložní bezpečnostní kódy, poznamenejte si je

Další opatření nesouvisí s dvoufaktorovým ověřením, ale s doplňkovou možností, kterou spousta platforem nabízí. Typicky se jedná o speciální záložní bezpečnostní kódy, vaše zvolené fráze či vaše unikátní odpovědi na různé otázky (např. rodné příjmení vaší matky). Tato opatření vám mohou usnadnit přístup k účtu, když všechny ostatní možnosti selžou.

Zdroj: google.com

Např. Google vám zobrazí 10 kódů, které mohou fungovat jako záloha pro případ, že by byly ostatní cesty pro dvoufaktorovou autorizaci nedostupné.

3) Zálohujte si celý Google Authenticator

Zálohování Google Authenticatoru nefunguje tak, jak byste pravděpodobně na první pohled čekali – již výše jsme si řekli, že žádné průběžné záložní ukládání napojených účtů aplikace neumožňuje. Umožňuje však data o propojených účtech exportovat skrze QR kód a na novém zařízení je zase naimportovat skrze naskenování zmíněného QR kódu z prvního zařízení.

Na hlavní stránce aplikace pouze stačí otevřít nastavení a kliknout na volbu Přenést účty. Zde na zařízení, z něhož data zálohujete, klikněte na Export účtů a na zařízení, kam si data chcete nahrát, zvolte Import účtů. Při exportu si můžete zvolit, které účty si chcete zálohovat a které nikoliv. Zároveň po vás aplikace bude vyžadovat ověření, typicky přes otisk prstu.

Mějte na paměti, že pokud jedno ze zařízení, na němž máte bezpečnostní kódy aktivní, ztratíte, může jej kdokoliv zneužít. Proto i zde platí doporučení z kapitoly výše – při ztrátě zařízení si tajný klíč ve vaší platformě deaktivujte a vytvořte si nový.

3) Zabezpečte si telefon

Google Authenticator nemá žádné vlastní zabezpečení v podobě hesla nebo biometrického skenu. Když se někdo dostane k vašemu telefonu a povede se mu přihlásit, může se okamžitě dostat k vašim kódům.

Proto se vyplatí si váš telefon náležitě zabezpečit dle dostupných možností – doporučujeme využít biometrických možností ověření, jako je např. otisk prstu či sken obličeje.

Některá zařízení také umožňují jejich kompletní zašifrování. To vyžaduje zadání hesla pro dešifrování při každém spuštění telefonu – kdyby se náhodou stalo, že vám telefon vypadne a někdo ho najde již vybitý, bez dešifrovacího hesla se do něj po jeho nabití nedostane. Heslo si běžně můžete zvolit libovolné, ideálně nějaké dlouhé a komplexní a tedy mnohem více bezpečné, než čtyřmístný PIN.

Jaké jsou alternativy Google Authenticatoru?

I když je Google v oblasti 2FA průkopníkem, existuje v dnešní době mnoho alternativ – např. výše zmíněné Authy, Microsoft Authenticator, LastPass nebo 1Password. Výše jsme si zmiňovali Binance, největší kryptoměnovou burzu – ta dokonce přišla s vlastním řešením zvaným Binance Authenticator.

Mějte na paměti následující – nejste-li s Google Authenticatorem spokojení, můžete si nainstalovat jakoukoliv jinou aplikaci, zkopírovat si do ní tajné klíče a používat ji místo Google Authenticatoru.

Výše jsme si řekli, že je algoritmus pro generování TOTP standardizovaný. Proto můžete např. pro Binance místo Google Authenticatoru bez problému použít Authy nebo jejich Binance Authenticator.

Ve zkratce – Co dělat, když ztratíte přístup k Google Authenticatoru?

Zde záleží na tom, jestli ke svému účtu máte stále přístup a jestli máte tajný klíč nějakým způsobem zálohovaný. Situaci je možné řešit následovně:

• Máte k vašemu účtu stále přístup? Jste-li na platformě třetí strany již přihlášení, tajný klíč pro váš připojený telefon si deaktivujte a vytvořte si nový, který si propojíte s novým telefonem či nově nainstalovanou aplikací Google Authenticator, pokud jste ji smazali.
• Můžete využít jiných možností pro dvoufaktorové ověření? Pakliže máte aktivované další varianty pro dvoufaktorové ověření, např. ověření přes SMS či přes hardwarový klíč, určitě je využijte. Sem se řadí i možnost využití záložních obnovovacích kódů, pokud jimi platforma disponuje.
• Máte poznamenaný tajný klíč na tajném místě a nebo jste si jej nahráli i do dalšího telefonu? Znáte-li tajný klíč, máte vyhráno. Stačí jej opětovně zadat do Google Authenticatoru na novém zařízení a vytvořit tak znovu stejné spojení. Ovšem jakmile se do účtu dostanete, tajný klíč deaktivujte a vytvořte nový, zamezíte tak možnému zneužití vašeho ztraceného telefonu.
• Pakliže žádnou z výše dostupných možností využít nemůžete, kontaktujte zákaznickou podporu platformy, do níž se přihlašujete. Věříme, že se s její pomocí do vašeho účtu dostanete. Stále však platí následující – až se do platformy dostanete, již aktivní tajný klíč si deaktivujte a při navazování spojení s Google Authenticatorem na novém telefonu si založte nový.

Nyní byste měli mít dostatečné povědomí o tom, jak Google Authenticator, respektive TOTP fungují. Shrneme-li to nejdůležitější, je nutné myslet na to, že zrovna Google Authenticator žádnou zálohu neposkytuje, je tedy nutné být o krok napřed a mít přístup k účtu zajištěný i v případě, že Google Authenticator nebude dostupný.

Zároveň také víte, že Google Authenticator není jedinou 2FA aplikací a že na trhu existuje spousta alternativ, řada z nich poskytuje i doplňkové funkce, které Google Authenticatoru chybí – např. přihlašování pomocí hesla nebo zálohování v reálném čase.

Časté otázky

Níže jsme pro vás připravili seznam nejčastějších otázek, s nimiž se na nás v diskuzích obracíte. Nenajdete-li zde odpověď, kterou hledáte, neváhejte se nás zeptat v komentářích!

Další zdroje informací:

• PCWorld (Tip: Jak nastavit dvoufázové ověření účtu Googlu)
• Wired (How to Use Google Authenticator)
• TechTarget (Google Authenticator)