2FA met browser en authenticator op dezelfde telefoon

[v42.net]

Met de browser (Google Chrome) op mijn Android telefoon bezoek ik een website die 2FA vereist.
Om 2FA te registreren laat die website een QR code zien die ik moet scannen met mijn authenticator app.
Lastig, want ik kan met de camera van mijn telefoon het scherm van die telefoon niet scannen.
De betreffende website geeft geen alternatief (een code om in de authenticator app in te voeren).
Hoe is dit op te lossen? Wellicht scannen via een spiegel (dat heb ik niet geprobeerd)?

[jeroen3]

De qr code bevat de code die je met de hand kan invullen. Je kunt een screenshot maken en dan any qr-code lees app gebruiken om deze code eruit te halen.

Verwijder daarna het screenshot, deze code kan namelijk worden hergebruikt.

[DukeBox]

jeroen3 schreef op zondag 18 mei 2025 @ 20:14:
Verwijder daarna het screenshot, deze code kan namelijk worden hergebruikt.

De code is vaak maar ~2 min. geldig als het er een is voor 2FA. Anders is het hele 2FA natuurlijk vrij nutteloos en kan je de code ook gewoon opslaan om later te gebruiken.

Edit, ik dacht dat het om de code/token zelf ging, maar het gaat om de 2FA aan te maken.

[ Voor 12% gewijzigd door DukeBox op 18-05-2025 20:34 ]

[Oon]

Veel TOTP apps kunnen gewoon een screenshot verwerken, anders een externe tool gebruiken.

Ik weet dat bijv. Bitwarden dat ook gewoon kan, en dat is niet eens een TOTP-app maar een password manager met TOTP ingebouwd.

DukeBox schreef op zondag 18 mei 2025 @ 20:20:
[...]

De code is vaak maar ~2 min. geldig als het er een is voor 2FA. Anders is het hele 2FA natuurlijk vrij nutteloos en kan je de code ook gewoon opslaan om later te gebruiken.

Nee dat is niet waar! De QR-code is gewoon een plaintext secret, soms met een URL eromheen om alvast de naam van je account en van de website erbij te zetten, maar de secret die erin zit kun je over 5 jaar nog ergens invullen en een geldige TOTP code genereren.
Alleen de gegenereerde TOTP code is beperkt geldig, maar de secret heeft geen eindtijd.

[v42.net]

Bedankt voor de tip, maar hoe leg je dat uit aan een digibeet ...
Ik heb 4 authenticator apps geprobeerd, geen enkele app kan een screenshot importeren.
Ook de default QR-code lees app van mijn telefoon doet dat niet.
Ik ga het een en ander proberen met andere QR-code lees apps en kijken of ik een instructie kan schrijven die voor een digibeet te begrijpen is.

[DukeBox]

Oon schreef op zondag 18 mei 2025 @ 20:28:
Nee dat is niet waar! De QR-code is gewoon een plaintext secret, soms met een URL eromheen om alvast de naam van je account en van de website erbij te zetten, maar de secret die erin zit kun je over 5 jaar nog ergens invullen en een geldige TOTP code genereren.

Je hebt gelijk, ik dacht dat de QR de 2FA code/token was maar ik had de TS niet goed gelezen.

@v42.net op mijn samsung werkt is idd een screenshot maken en dan openen in gallery. Vervolgens op het 'text herkenning' icoon klikken en dan kan ik op de QR de koppeling (otpauth://...) openen met de authenticator app naar keuze.

[ Voor 20% gewijzigd door DukeBox op 18-05-2025 20:39 ]

[Oon]

v42.net schreef op zondag 18 mei 2025 @ 20:29:
Bedankt voor de tip, maar hoe leg je dat uit aan een digibeet ...
Ik heb 4 authenticator apps geprobeerd, geen enkele app kan een screenshot importeren.
Ook de default QR-code lees app van mijn telefoon doet dat niet.
Ik ga het een en ander proberen met andere QR-code lees apps en kijken of ik een instructie kan schrijven die voor een digibeet te begrijpen is.

Als je een tweede telefoon in de buurt hebt kun je daarmee de QR code scannen en de secret overtypen, of je kunt je screenshot op https://qrscanner.net/ gooien.
Alternatief is op je PC registreren en dan je telefoon gebruiken voor 2FA

[jeroen3]

Je kunt hem natuurlijk ook afdrukken , dat zou je toch al moeten doen met de backup codes.