Dvoufaktorové ověřování (2FA) již dávno není volitelným luxusem – stalo se základním předpokladem digitální hygieny. Uživatelé se však potýkají se zásadními dilematy: Nevytváří synchronizace do cloudu nekontrolovaná zadní vrátka? Lze tokeny přenést při přechodu z iPhonu na Android? Shromažďují uzavřené komerční aplikace telemetrická data? A neznamená sloučení 2FA do správce hesel popření samotného principu vícefaktorové ochrany?
Poté, co společnost Twilio ukončila desktopové aplikace Authy a čelila závažným únikům dat z API, prošel ekosystém autentizátorů v roce 2026 zásadní proměnou. Tato podrobná analýza zkoumá pětici klíčových zástupců – Aegis, 2FAS, Bitwarden, Google Authenticator a Microsoft Authenticator – a podrobuje zátěžovým testům jejich kryptografické základy, ergonomii zálohování i odolnost vůči moderním hrozbám.
01. Éra po Authy v roce 2026: Získaná ponaučení
Téměř po celou dekádu byla aplikace Twilio Authy výchozím doporučením pro běžné uživatele díky jednoduché synchronizaci mezi zařízeními. Její vývoj však přinesl komunitě kybernetické bezpečnosti tři tvrdá ponaučení:
- Past proprietárního uzamčení (Vendor Lock-in): Authy uživatelům cíleně znemožňovalo export nezpracovaných klíčů Base32 nebo trezorů ve formátu JSON, čímž uvěznilo miliony lidí v uzavřeném ekosystému;
- Náhlé zrušení desktopových aplikací: V roce 2024 Twilio oficiálně ukončilo podporu Authy pro Windows a macOS a zanechalo bez náhrady statisíce uživatelů pracujících na počítačích;
- Zranitelnost centralizovaného cloudu: Opakované bezpečnostní incidenty na infrastruktuře Twilio odhalily telefonní čísla a metadata tokenů, což potvrdilo, že centralizovaná cloudová synchronizace funguje jako magnet na útočníky.
02. Přehled 5 hlavních konkurentů
Zlatý standard pro ochranu soukromí a bezpečnost na Androidu. Funguje v naprosté izolaci od sítě bez jakékoli telemetrie, se silným šifrováním trezoru AES-256-GCM a automatickými zálohami přes Android Storage Access Framework (SAF).
Rostoucí open-source favorit pro iOS i Android. Žádná povinná registrace účtu, end-to-end šifrované cloudové zálohy na straně klienta (iCloud a Disk Google) a elegantní doplňky pro desktopové prohlížeče.
Integrovaný trezor na hesla a TOTP kódy. Nabízí okamžité automatické vyplňování bez klikání na všech desktopových i mobilních platformách, s plnou podporou vlastního hostování přes Vaultwarden.
Všudypřítomný původní průkopník. Nyní obsahuje cloudovou synchronizaci s účtem Google a velmi jednoduché rozhraní, ale postrádá pokročilé řazení do složek, biometrický zámek trezoru i open-source verifikaci.
Nezbytnost pro firemní prostředí Microsoft 365 a Azure AD / Entra ID. Hluboká integrace s funkcí párování čísel (Number Matching) proti útokům MFA fatigue, trpí však nekompatibilními izolovanými zálohami mezi systémy.
03. Hlavní srovnávací matice 12 parametrů
Naše výzkumná laboratoř otestovala všech pět předních aplikací podle dvanácti technických a provozních kritérií:
| Hodnocený parametr | Aegis | 2FAS | Bitwarden | Microsoft | |
|---|---|---|---|---|---|
| Licence softwaru | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | Uzavřený proprietární | Uzavřený proprietární |
| Dostupnost platforem | Pouze Android | iOS / Android / Doplňky | Univerzální (Web/Desktop/Mobile) | iOS / Android / WearOS | iOS / Android / Apple Watch |
| Cloudová synchronizace | Žádná (100% offline) | E2EE přes iCloud / GDrive | Zero-Knowledge Cloud Sync | Synchronizace Google účtu | Cloud záloha MS účtu |
| Lokální šifrovaný export | AES-GCM / JSON úplný export | Nativní šifrovaný soubor .2fas | Šifrovaný export JSON | Pouze přenosový QR kód | Žádný (zcela uzamčeno) |
| Biometrický hlavní zámek | Biometrie + heslo trezoru | Face ID / Otisk / PIN | Biometrie + hlavní klíč | Pouze zámek obrazovky systému | Pouze zámek obrazovky zařízení |
| Ochrana proti screenshotům | Vynucena (FLAG_SECURE) | Vynucena ve výchozím stavu | Nastavitelná volba | Podporováno | Podporováno |
| Integrace s počítačem | Žádná (ruční přepis) | Výzva přes doplněk prohlížeče | Okamžité auto-vyplnění webu | Ruční přepis z telefonu | Ruční přepis z telefonu |
| Přenositelnost při migraci | Pohodlná (Univerzální JSON) | Pohodlná (Importuje vše) | Vysoká (Standardní JSON) | Střední (parsování QR) | Nepřátelská (Nemožné mezi OS) |
| Cena / Model předplatného | 100% zdarma navždy | 100% zdarma navždy | Základ zdarma; TOTP 10 $/rok | Zdarma | Zdarma |
04. Hloubkový rozbor aplikací a architektury
1. Aegis Authenticator: Suverénní bezpečnostní pevnost pro Android
Aegis se těší mimořádnému uznání mezi bezpečnostními výzkumníky díky své bezchybné kryptografické architektuře. Klíč k trezoru se odvozuje pomocí algoritmu Argon2id (paměťově náročný vítěz mezinárodní soutěže Password Hashing Competition) a data jsou šifrována pomocí AES-256 v režimu GCM. I kdyby útočník získal binární obraz úložiště vašeho telefonu fyzickou extrakcí, prolomení hesla k trezoru hrubou silou je výpočetně prakticky nemožné.
• V manifestu Androidu nežádá o žádná síťová oprávnění k internetu;
• Automatické pravidelné šifrované zálohy na zvolené úložiště či Nextcloud;
• Bohaté sady ikon, vlastní štítky a okamžité vyhledávání tokenů.
• Výhradně pro Android (žádná podpora pro iOS ani desktop);
• Vyžaduje aktivní zodpovědnost uživatele za umístění záloh.
2. 2FAS Authenticator: Univerzální multiplatformní etalon
2FAS překlenuje propast mezi nekompromisní bezpečností a pohodlím běžného uživatele. Aplikace nevyžaduje žádnou registraci uživatelského účtu ani telefonní číslo. Cloudové zálohy využívají nativní úložiště iCloud nebo Disk Google a jsou šifrovány na straně klienta silnou přístupovou frází ještě předtím, než opustí vaše zařízení.
• Špičkové, jednotné a vyladěné nativní rozhraní pro iOS i Android;
• Inovativní doplněk do prohlížeče: odešle výzvu do telefonu pro bezpečné schválení automatického vyplnění kódu na PC;
• Kompletní možnosti importu z aplikací Google Authenticator, Authy i Aegis.
• Cloudová synchronizace funguje odděleně v rámci jednotlivých operačních systémů (nelze přímo živě synchronizovat iPhone s Androidem bez ručního exportu souboru).
3. Bitwarden (Premium): Maximální efektivita práce a debata o oddělení faktorů
Vestavěný TOTP modul v Bitwardenu představuje vrchol uživatelského komfortu. Když na webové stránce odešlete přihlašovací údaje, Bitwarden automaticky zkopíruje aktivní 6místný TOTP kód do schránky nebo jej rovnou sám vyplní do příslušného pole pro dvoufázové ověření.
Uložení prvního faktoru (hesla) i druhého faktoru (TOTP seedu) do jediné databáze porušuje klasickou zásadu oddělení faktorů. Pokud útočník prolomí hlavní heslo k trezoru bez hardwarové překážky, získá oba faktory najednou. Praktické řešení: Zabezpečte samotný trezor Bitwarden fyzickým klíčem FIDO2 YubiKey.
4. Google Authenticator: Všudypřítomný gigant
Doplnění cloudové synchronizace s účtem Google v aplikaci Google Authenticator vyřešilo letitý problém se ztrátou dat při rozbití telefonu. Zůstává však proprietárním softwarem s uzavřeným zdrojovým kódem. Pokud vám navíc společnost Google z jakéhokoli důvodu zablokuje, pozastaví nebo odcizí hlavní účet, opětovné získání přístupu k vašim TOTP kódům se může stát nepřekonatelnou překážkou.
5. Microsoft Authenticator: Podniková pevnost s platformními zdmi
V podnikovém prostředí s Microsoft 365 / Entra ID je Microsoft Authenticator prakticky nepostradatelný. Jeho výzva s párováním čísel (Number Matching) vyžaduje, aby uživatel na telefonu přepsal dvoumístné číslo zobrazené na obrazovce monitoru, což spolehlivě eliminuje útoky MFA fatigue. Jeho zálohovací architektura pro spotřebitele je však problematická: zálohy z iOS směřují do osobního iCloudu, zatímco zálohy z Androidu do osobního účtu Microsoft. Zálohu z iPhonu nelze obnovit na zařízení s Androidem ani naopak!
Uživatelské profily a doporučený verdikt
Zvolte: Aegis Authenticator. Nepřekonatelná kryptografická bezpečnost, nulový síťový přístup, otevřený kód a automatizované lokální zálohy.
Zvolte: 2FAS Authenticator. Moderní open-source design, výborný doplněk do desktopového prohlížeče a soukromé, na straně klienta šifrované cloudové zálohy.
Zvolte: Bitwarden (Premium). Za pouhých 10 $/rok získáte univerzální automatické vyplňování napříč všemi prohlížeči i možnost sdílení v kolekcích organizace.
Zvolte: Microsoft Authenticator (výhradně pro pracovní účty). Povinnost pro firemní infrastrukturu, ale osobní bankovnictví a krypto tokeny udržujte odděleně v aplikaci 2FAS nebo Aegis.
05.1 Chytré hodinky a podnikový soulad: Modelování hrozeb Apple Watch vs. Wear OS
Pro mobilní profesionály představuje ověřování na zápěstí pomocí chytrých hodinek výrazné zvýšení komfortu. Zobrazení rotujících kódů TOTP nebo schvalování notifikací na hodinkách však mění profil hrozeb:
Apple uplatňuje biometrickou detekci zápěstí: jakmile hodinky sundáte, okamžitě se uzamknou PIN kódem. Díky šifrované komunikaci přes Bluetooth LE se Secure Enclave v iPhonu umožňují aplikace jako 2FAS a Microsoft Authenticator rychlé schválení jedním klepnutím. Vektorem rizika je nahlížení přes rameno (shoulder surfing) v přeplněné hromadné dopravě, kde je 6místný kód jasně čitelný na nestíněném displeji.
Zařízení s Wear OS synchronizují dlaždice a widgety přímo přes Google Play Services. Ačkoliv je to pohodlné, tokeny zůstávají přístupné po celou dobu, kdy jsou hodinky odemčené. Pokud pracujete v utajovaných prostředích nebo spravujete krypto pokladny, doporučuje se synchronizaci s nositelnou elektronikou vypnout, aby se vyloučilo riziko fyzického odečtení z bezprostřední blízkosti.
Podle standardu NIST SP 800-63B splňují softwarové aplikace TOTP (např. Aegis a 2FAS) požadavky na úroveň Authenticator Assurance Level 2 (AAL2), pokud jsou chráněny biometrickým zámkem zařízení či heslem k trezoru. Pro organizace podléhající auditům SOC 2 Type II nebo ISO 27001 poskytuje nasazení Bitwardenu či 2FAS auditovatelné šifrovací postupy, které vyhovují auditorům bez vytváření zranitelných závislostí na mobilních operátorech.
06. Pravidlo 3-2-1 pro zálohování 2FA a migraci
Bez ohledu na to, jakou aplikaci zvolíte, váš plán obnovy pro případ havárie musí přežít ztrátu hardwaru, krádež i uzamčení účtů. Aplikujte na životní cyklus svých 2FA klíčů prověřené pravidlo 3-2-1:
Aktivní databáze tokenů v primárním telefonu, jeden šifrovaný exportní soubor a jedna sekundární offline záloha.
Jeden digitální šifrovaný soubor (na USB flashdisku s VeraCryptem nebo v E2EE cloudu) a jedno fyzické médium (papírový deník nebo ocelová destička).
Uložte ručně zapsané nouzové kódy pro obnovení v ohnivzdorném trezoru na jiném místě nebo v bankovní bezpečnostní schránce.
07. Často kladené otázky (FAQ)
Dotaz 1: Proč některé aplikace 2FA na Androidu blokují pořizování snímků obrazovky? ▼
Aplikace jako Aegis vynucují systémový atribut Androidu FLAG_SECURE. Ten brání malwaru, špionážním aplikacím na pozadí i škodlivým službám usnadnění přístupu v pořizování snímků či nahrávání obrazovky ve chvíli, kdy jsou zobrazeny vaše tajné klíče nebo generované kódy.
Dotaz 2: Vyžadují autentizační aplikace kódů mobilní data nebo Wi-Fi? ▼
Rozhodně ne. Kódy TOTP podle standardu RFC 6238 se počítají výhradně lokálně na vašem zařízení. Jedinými vstupy jsou aktuální systémový čas a sdílený tajný klíč Base32. Autentizační aplikace fungují naprosto spolehlivě v režimu V letadle i v telefonu bez SIM karty.
Dotaz 3: Mohu naskenovat stejný 2FA QR kód do dvou různých telefonů? ▼
Jednoznačně ano! Když vám služba při nastavování 2FA zobrazí QR kód, naskenujte jej současně primárním i záložním telefonem. Obě zařízení budou generovat identické 6místné kódy synchronně, což vám zajistí okamžitou hardwarovou zálohu bez jakýchkoli dalších kroků.
Dotaz 4: Jak mohu exportovat své účty z Google Authenticatoru do 2FAS nebo Aegis? ▼
V aplikaci Google Authenticator otevřete nabídku a zvolte „Přenést účty“ ➔ „Exportovat účty“. Google vygeneruje exportní QR kód. V aplikaci 2FAS nebo Aegis zvolte „Importovat“ ➔ „Google Authenticator“ a naskenujte tento QR kód. Všechny účty se přenesou během několika sekund.
Generujte a ověřujte 2FA kódy přímo ve svém prohlížeči
Potřebujete rychle spočítat autentizační token nebo ověřit přesnost tajného seedu bez instalace aplikace? 2FA-Tool spouští algoritmus RFC 6238 přímo v paměti vašeho prohlížeče.