온라인에서 2FA 코드 생성하기: 당신이 넘겨주는 것, 그리고 작동하지 않을 때

이 주제에 대한 대부분의 가이드가 건너뛰는 것부터 시작하겠습니다. 다른 모든 것은 이것에 달려 있기 때문입니다.

인증 앱이 표시하는 여섯 자리 숫자는 당신의 자격 증명이 아닙니다. 자격 증명은 계정을 설정할 때 스캔하거나 입력한 문자와 숫자의 문자열이며, 만료되거나 회전하거나 변경되지 않습니다. 그 계정이 앞으로 수락할 모든 코드는 그 문자열에 현재 시간을 더해 계산됩니다. 사본을 가진 사람은 누구나 당신의 휴대폰도 비밀번호도 없이 언제든지 유효한 코드를 생성할 수 있으며, 그들이 그렇게 했다는 기록은 어디에도 남지 않습니다.

즉, "2FA 시크릿을 온라인 생성기에 그냥 붙여넣으세요"라는 문장은 겉으로 들리는 것보다 훨씬 큰 것을 요구하는 것입니다. 당신은 코드를 공유하는 것이 아닙니다. 코드를 만들 수 있는 능력을 공유하는 것입니다.

안전한 생성기와 안전하지 않은 생성기를 눈으로 구분할 수 없습니다

두 페이지가 똑같이 보여도 완전히 다르게 작동할 수 있습니다. 하나는 브라우저에서 계산을 수행하고 시크릿이 기기를 떠나지 않습니다. 다른 하나는 입력한 내용을 서버로 보내고, 거기서 계산한 다음 여섯 자리 숫자를 돌려보냅니다. 외부에서 보면 둘 다 입력란, 버튼, 카운트다운만 보입니다.

실제로 수행할 수 있는 확인 방법이 하나 있는데, 10초면 충분합니다. 페이지를 로드한 다음 네트워크를 끊고, 시크릿을 붙여넣고 버튼을 누르세요. 로컬에서 계산하는 생성기는 네트워크가 꺼져 있어도 작동합니다. 서버가 필요한 생성기는 작동할 수 없습니다.

브라우저 개발자 도구를 연 상태에서 같은 확인을 하면 더 정확합니다. 버튼을 누르기 전에 네트워크 탭을 열고 무엇이 전송되는지 확인하세요. 아무것도 전송되지 않으면 아무것도 공유되지 않은 것입니다.

저희의 2FA 코드 생성기는 로컬 방식이며, 저희 말을 믿지 않아도 어느 쪽이든 직접 확인할 수 있습니다. 계산은 브라우저가 한 번 로드하는 라이브러리를 사용해 페이지 안에서 완전히 실행되며, 버튼을 눌러도 요청이 발생하지 않습니다. 이 점을 정확히 밝히는 이유는 저희가 어느 쪽이든 당연히 그렇게 말할 것이기 때문이며, 오프라인 테스트는 저희와 무관하게 작동하는 부분이기 때문입니다.

입력란이 실제로 허용하는 것

두 가지 형식이 작동합니다. 원시 키는 대문자와 2부터 7까지의 숫자로 구성된 문자열로, 보통 네 자리씩 공백으로 구분되어 표시됩니다. 공백은 무시되므로 제공업체가 표시한 그대로 붙여넣으면 됩니다. 또는 otpauth://로 시작하는 전체 설정 링크도 가능합니다. 이 링크는 평소에 스캔할 QR 코드 뒤에 숨어 있는 것입니다. 키를 직접 입력하는 대신 링크를 복사할 수 있다면 그렇게 하세요. 문자를 잘못 읽을 가능성이 없어지기 때문입니다.

작동하지 않는 것은 그 외의 모든 것입니다. 비밀번호, 복구 코드, 백업 코드, 또는 0, 1, 8, 9가 포함된 문자열은 알파벳에 포함되지 않습니다. 잘못된 키 오류가 발생하면 먼저 그 숫자들을 확인하세요.

매개변수는 고정되어 있으며, 그래서 일부 올바른 키가 잘못된 코드를 생성합니다

거의 모든 서비스가 동일한 세 가지 설정을 사용하며, 이 도구도 이를 가정합니다. SHA1 알고리즘, 여섯 자리 숫자, 30초마다 새 코드입니다. 이는 대다수의 계정을 포괄합니다.

소수의 서비스는 다른 방식으로 작동합니다. 일부는 여덟 자리를 발급하고, 일부는 60초 간격을 사용하며, 일부는 더 강력한 해시를 사용합니다. 이러한 서비스에 대해 이 도구와 대부분의 유사 도구는 형식은 완벽하지만 단순히 틀린 여섯 자리 코드를 생성하며, 그 이유를 알려주는 것은 아무것도 없습니다. 키가 확실히 올바른데 코드가 확실히 거부된다면, 키가 나쁘다고 가정하기 전에 제공업체의 설정 화면에 표시된 자릿수와 간격을 확인하세요.

또 하나 조기에 배제할 가치가 있는 흔하고 눈에 보이지 않는 원인이 있습니다. 바로 시계입니다. 시간 기반 코드는 기기가 서버와 현재 시간에 대해 일치해야 합니다. 1분 차이가 나는 기기는 자동 시간 설정을 다시 켜기 전까지 거부되는 코드를 생성합니다.

텔레그램 2FA는 이것이 아니며, 여기에 붙여넣어도 절대 작동하지 않습니다

이 부분은 이 사이트에서 다른 어떤 것보다 많은 실패 시도를 발생시키기 때문에 별도 섹션으로 다룰 가치가 있습니다.

텔레그램의 2단계 인증은 비밀번호입니다. 텔레그램은 비밀번호 증명 프로토콜로 이를 구현하며 계정 로그인에 인증 앱을 전혀 지원하지 않습니다. 코드를 생성할 시크릿이 없습니다. 코드 자체가 없기 때문입니다.

혼란은 완전히 이해할 만합니다. 마켓플레이스의 용어가 이를 숨기기 때문입니다. 여기 텔레그램 계정 목록 20개가 제목에 2FA가 "텍스트 파일로" 제공된다고 명시하고 있으며, 그중 하나는 그 파일에 무엇이 들어 있는지 구체적으로 설명합니다. 바로 클라우드 비밀번호입니다. 구매자가 파일을 열고 문자열을 보고 키라고 가정한 다음 생성기에 붙여넣고 오류를 받습니다.

텔레그램 2FA 파일로 해야 할 일은 다음과 같습니다. 보관하세요. 로그인 시 요청받을 비밀번호이자 나중에 2단계 인증을 변경하거나 제거하기 위해 필요한 비밀번호이기 때문입니다. 2단계 인증이 켜진 상태로 전달되었는데 파일에 비밀번호가 없는 계정은 재구성할 수 없는 계정입니다. 보증 기간이 끝나기 전에 확인하세요. 해당 선반에서는 보통 배송 후 12시간입니다. 텔레그램 인증 가이드에서 첫날에 할 가치가 있는 다른 작업을 다룹니다.

계정을 구매했다면 시크릿은 전적으로 당신 것만이 아닙니다

이것은 첫 번째 섹션에서 직접 이어지며 구매자가 가장 자주 놓치는 부분입니다.

텍스트 파일로 전달된 2FA 시크릿은 다른 누군가가 생성하고, 다른 누군가가 기록하고, 어쩌면 다른 누군가가 저장한 것입니다. 사본을 가진 모든 사람에게 무기한으로 계속 작동하며, 받았다고 해서 다른 사람의 사본이 제거되지는 않습니다. 변경할 수 있는 비밀번호와는 다릅니다. 시크릿을 무효화하는 유일한 방법은 계정에서 2단계 인증을 끄고 다시 켜는 것이며, 그러면 새 시크릿이 발급됩니다.

따라서 유지하려는 계정에서는 반드시 재등록하세요. 플랫폼의 보안 설정에서 기존 인증 항목을 제거하고 다시 설정한 다음, 새 코드를 당신이 통제하는 앱에 스캔하고 새 복구 코드를 저장하세요. 그렇게 하기 전까지는 사본을 보관한 다른 누구와도 계정을 공유하고 있는 것이며, 그 사실을 알 수 없습니다.

시장이 2FA에 지불하는 가격과 그것이 실제로 측정하는 것

여기 계정 선반들에서 2FA 태그는 6,709개의 활성 목록에 있으며, 해당 목록의 가격을 같은 선반의 나머지와 비교하면 올바르게 읽어야 할 패턴이 드러납니다.

이 태그는 메일 선반과 Discord, Reddit, GitHub에서 실질적인 프리미엄을 받습니다. 각 경우 선반 중앙값의 약 2~3배이며, Firstmail에서는 거의 6배에 가깝습니다. Telegram, Threads, X에서는 동등한 수준입니다. TikTok, YouTube, Apple ID에서는 중앙값보다 낮습니다.

유혹적인 해석은 보안이 더 중요한 곳에서 2FA의 가치가 더 높다는 것입니다. 그러나 숫자가 말하는 것은 그렇지 않습니다. 배수는 각 선반에서 태그가 얼마나 희귀한지를 추적합니다. 목록의 3분의 2 이상에 나타나는 모든 곳에서는 몇 퍼센트 차이로 동등한 가격에 거래됩니다. 거의 모든 것이 가진 속성은 아무리 유용해도 프리미엄이 될 수 없기 때문입니다. Instagram에서는 목록 5개 중 거의 4개에 나타나며 중앙값보다 약간 낮은 가격에 거래됩니다.

진정으로 정보를 주는 행은 Apple ID입니다. 태그가 있는 36개 목록이 선반 중앙값보다 훨씬 낮은 가격에 있습니다. 이 세트에서 2단계 인증이 사실상 의무적이고 누구나 복사할 수 있는 문자열이 아닌 신뢰할 수 있는 기기에 묶여 있는 유일한 플랫폼입니다. 두 번째 요소를 텍스트 파일로 넘겨줄 수 없는 곳에서는 그것이 존재한다고 말하는 것이 가격에 아무것도 더하지 않습니다.

두 가지 실질적인 결과가 있습니다. 2FA가 저렴한 선반은 보통 2FA가 보편적이거나 이전이 불가능한 선반이지, 판매자가 모서리를 자르는 선반이 아닙니다. 그리고 거의 모든 것이 가진 선반에서 큰 프리미엄을 요구하는 목록은 평범한 것에 대해 비용을 청구하는 것입니다.

요약

1. 시크릿을 코드가 아닌 영구 키로 취급하세요. 스스로 만료되지 않습니다.
2. 어디에 붙여넣기 전에 네트워크를 끊고 페이지가 여전히 작동하는지 확인하세요. 작동한다면 아무것도 전송되지 않은 것입니다.
3. 키를 다시 입력하는 대신 otpauth:// 링크가 있다면 그것을 붙여넣으세요.
4. 유효한 키가 거부된 코드를 생성하면 키를 탓하기 전에 자릿수, 간격, 기기 시계를 확인하세요.
5. 텔레그램 계정이라면 가지고 있는 것은 키가 아닌 비밀번호입니다. 코드를 생성할 수 없습니다.
6. 유지하려는 계정에서는 2단계 인증을 껐다가 다시 켜서 다른 누구도 사본을 가지지 못한 시크릿을 직접 발급받으세요.