Tofaktorgodkendelse (2FA) er ikke længere en valgfri luksus – det er grundlæggende digital hygiejne. Men brugerne står over for afgørende dilemmaer: Skaber cloud-synkronisering en uovervåget bagdør? Kan du migrere dine nøgler, hvis du skifter fra iPhone til Android? Indsamler lukkede kommercielle apps telemetridata? Og ødelægger opbevaring af 2FA inde i en adgangskodeadministrator selve princippet om multifaktorforsvar?
Efter Twilio Authys nedlæggelse af desktop-apps og alvorlige API-lækager er markedet for godkender-apps blevet grundlæggende genstartet i 2026. Denne omfattende analyse evaluerer de fem toneangivende applikationer – Aegis, 2FAS, Bitwarden, Google Authenticator og Microsoft Authenticator – og stresstester deres kryptografiske fundament, backup-ergonomi og modstandsdygtighed over for trusler.
01. Post-Authy-æraen i 2026: Vigtige erfaringer
I næsten et årti var Twilio Authy standardanbefalingen for almindelige brugere på grund af synkronisering på tværs af enheder. Men Authys udvikling gav cybersikkerhedsfællesskabet tre alvorlige lærestreger:
- Proprietær lock-in-fælde: Authy forhindrede bevidst brugerne i at eksportere rå Base32-nøgler eller JSON-databaser, hvilket låste millioner af brugere fast i et lukket økosystem;
- Pludselig nedlæggelse af desktop-apps: I 2024 stoppede Twilio officielt Authy til Windows og macOS, hvilket efterlod utallige vidensarbejdere uden deres vante arbejdsgang;
- Centraliseret cloud-sårbarhed: Flere sikkerhedsbrud mod Twilios infrastruktur blotlagde telefonnumre og token-metadata, hvilket beviste, at centraliseret serversynkronisering er en magnet for angribere.
02. Oversigt over de 5 sværvægtere
Guldstandarden for privatliv og sikkerhed på Android. Fungerer fuldstændigt afkoblet fra netværket med nul telemetri, stærk AES-256-GCM kryptering af databasen og automatiske backups via Android Storage Access Framework (SAF).
Den førende open-source mester til iOS og Android. Ingen krav om oprettelse af konto eller telefonnummer, klientside end-to-end-krypterede cloud-backups (iCloud & Google Drev) og problemfri browserudvidelser til computeren.
Integreret adgangskode- og TOTP-boks. Giver lynhurtig automatisk udfyldning på tværs af alle desktop- og mobilplatforme med fuld understøttelse af egen hosting via Vaultwarden.
Den oprindelige klassiker. Tilbyder nu Google-kontosynkronisering og en enkel brugerflade, men mangler avancerede mapper, biometrisk hovedlås og uafhængig open-source kontrol.
Uundværlig til virksomhedsinfrastruktur og Office 365. Dybt integreret med Microsoft Entra ID (Azure AD) og nummermatching til at bekæmpe MFA-træthed, men lider under isolerede platform-backups.
03. Master-sammenligningsmatrix med 12 dimensioner
Vores laboratorium har auditeret alle fem apps på tværs af tolv tekniske og operationelle parametre:
| Evalueringsdimension | Aegis | 2FAS | Bitwarden | Microsoft | |
|---|---|---|---|---|---|
| Softwarelicens | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | Proprietær lukket | Proprietær lukket |
| Platformstilgængelighed | Kun Android | iOS / Android / Browserudvidelser | Universel (Web/Desktop/Mobil) | iOS / Android / WearOS | iOS / Android / Apple Watch |
| Cloud-synkroniseringsarkitektur | Ingen (100 % offline) | E2EE via iCloud/GDrive | Zero-Knowledge Cloud Sync | Google-kontosynkronisering | Microsoft-konto backup |
| Lokal krypteret eksport | AES-GCM / JSON fuld eksport | Native krypteret .2fas | Krypteret JSON-eksport | Kun overførsels-QR-kode | Ingen (Fuldstændig låst) |
| Biometrisk hovedlås | Biometri + Boks-adgangskode | Face ID / Fingeraftryk / PIN | Biometri + Hovedadgangskode | Kun systemets låseskærm | Kun systemets låseskærm |
| Skærmbilledbeskyttelse | Gennemtvinges (FLAG_SECURE) | Gennemtvinges som standard | Konfigurerbar indstilling | Understøttet | Understøttet |
| Desktop-integration | Ingen (Manuel indtastning) | Browserudvidelse via Push | Øjeblikkelig auto-udfyldning | Manuel aflæsning fra telefon | Manuel aflæsning fra telefon |
| Migreringsportabilitet | Ubesværet (Universel JSON) | Ubesværet (Importerer alle formater) | Høj (Standard JSON) | Moderat (Via QR-scanning) | Fjendtlig (Nul support på tværs af OS) |
| Pris / Forretningsmodel | 100 % gratis for altid | 100 % gratis for altid | Gratis basisdel; TOTP \$10/år | Gratis | Gratis |
04. Dybdegående gennemgang af apps og arkitektur
1. Aegis Authenticator: Den suveræne Android-sikkerhedsfæstning
Aegis roses bredt af sikkerhedsforskere, fordi appens kryptografiske arkitektur er uangribelig. Nøglen til databasen udledes ved hjælp af Argon2id (vinderen af Password Hashing Competition for hukommelseshårde algoritmer) og krypteres med AES-256 i GCM-tilstand. Selv hvis en angriber får fat i et fysisk aftryk af enhedens lager, er brute-force-angreb på kodeordet beregningsmæssigt umuligt.
• Kræver overhovedet ingen internettilladelser i Android Manifest;
• Automatiske tilbagevendende krypterede backups til valgfrit lager eller Nextcloud;
• Omfattende ikonpakker, brugerdefinerede etiketter og lynhurtig søgning.
• Kun tilgængelig på Android (ingen iOS- eller desktop-version);
• Kræver, at brugeren selv tager ansvar for placeringen af sine backups.
2. 2FAS Authenticator: Den universelle standard på tværs af platforme
2FAS bygger bro mellem kompromisløs sikkerhed og hverdagsbekvemmelighed. Appen kræver ingen brugerkonto eller registrering af telefonnummer. Cloud-backups gemmes i din personlige iCloud- eller Google Drev-konto, krypteret på klientsiden med en hovedadgangskode, før data forlader enheden.
• Ensartet og gennemført brugerflade på både iOS og Android;
• Innovativ 2FAS-browserudvidelse: sender en notifikation til din telefon for at godkende automatisk udfyldning på computeren;
• Nem import fra Google Authenticator, Authy og Aegis.
• Cloud-synkronisering foregår i styresystemernes egne siloer (ingen direkte automatisk synkronisering mellem en iPhone og Android-enhed uden manuel filoverførsel).
3. Bitwarden (Premium): Maksimal arbejdsgangseffektivitet og MFA-debatten
Bitwardens indbyggede TOTP-funktion er højdepunktet inden for brugervenlighed. Når du indtaster dine loginoplysninger på en webside, kopierer Bitwarden automatisk den aktive 6-cifrede TOTP-kode til din udklipsholder eller udfylder 2FA-feltet direkte ved login.
At gemme både første faktor (adgangskode) og anden faktor (TOTP-nøgle) i den samme database strider mod det klassiske princip om adskillelse af faktorer. Hvis din hovedadgangskode kompromitteres uden en hardwarenøgle som barriere, får en angriber fat i begge faktorer på én gang. Anbefalet modforholdsregel: Beskyt din Bitwarden-boks med en fysisk FIDO2 YubiKey.
4. Google Authenticator: Den allestedsnærværende gigant
Tilføjelsen af Google-kontosynkronisering har løst det klassiske problem med datatab ved bortkomne telefoner. Men det forbliver proprietær software med lukket kildekode. Hvis din primære Google-konto spærres, hackes eller mistes, kan det desuden være yderst vanskeligt at genvinde adgangen til dine 2FA-koder.
5. Microsoft Authenticator: Virksomhedsfæstning med platformsmure
I virksomhedsmiljøer med Microsoft 365 / Entra ID er Microsoft Authenticator uundværlig. Dens "Nummermatching"-funktion kræver, at brugeren indtaster et to-cifret tal vist på loginskærmen i telefonen, hvilket effektivt eliminerer MFA-træthedsangreb. Forbruger-backup-arkitekturen er dog mangelfuld: iOS-backups gemmes i personlig iCloud, mens Android-backups gemmes på personlige Microsoft-konti. Du kan ikke gendanne en iOS-backup på en Android-telefon eller omvendt!
05. Brugerprofiler og skræddersyede anbefalinger
Vælg: Aegis Authenticator. Suveræn kryptografisk sikkerhed, ingen internetforbindelse, open-source transparens og automatiske lokale backups.
Vælg: 2FAS Authenticator. Moderne open-source design, gnidningsfri integration med computerens browser og private, klientside-krypterede cloud-backups.
Vælg: Bitwarden (Premium). For \$10/år får du automatisk udfyldning i alle browsere og mulighed for delte samlinger i organisationen.
Vælg: Microsoft Authenticator (kun arbejdsrelaterede konti). Obligatorisk til erhvervslogins, men opbevar private bank- og kryptonøgler i 2FAS eller Aegis.
05.1 Bærbare enheder og compliance: Apple Watch vs. Wear OS trusselsmodellering
For personer på farten er håndledsbaseret godkendelse via smartwatches en markant bekvemmelighed. Men visning af rullende TOTP-koder eller godkendelse af push-beskeder på et smartwatch ændrer din operationelle trusselsflade:
Apple håndhæver håndledsregistrering: Så snart uret tages af armen, låses det omgående med en PIN-kode. Via krypteret Bluetooth LE til iPhones Secure Enclave giver apps som 2FAS og Microsoft Authenticator mulighed for hurtig godkendelse med et enkelt tryk. Trusselsvektoren er "kiggen over skulderen" i tætbefolkede offentlige rum, da den 6-cifrede kode vises tydeligt på urskiven.
Wear OS-enheder synkroniserer widgets direkte med Google Play Services. Selvom det er praktisk til daglige logins, forbliver koderne tilgængelige, så længe uret er låst op. Hvis du arbejder i højrisikomiljøer eller administrerer kryptoaktiver, anbefales det at slå smartwatch-synkronisering fra for at forhindre fysisk aflytning på tæt hold.
Under NIST SP 800-63B standarder opfylder softwarebaserede TOTP-apps (såsom Aegis og 2FAS) kravene til Authenticator Assurance Level 2 (AAL2), når de er sikret med biometrisk lås eller hovedadgangskode. For organisationer underlagt revision i henhold til SOC 2 Type II eller ISO 27001 tilbyder Bitwarden eller 2FAS auditerbar nøgleudledning, der tilfredsstiller revisorer uden afhængighed af teleselskaber.
06. 3-2-1 backup- og migreringsstrategi for 2FA
Uanset hvilken app du vælger, skal din nødgenopretningsplan kunne modstå hardwarefejl, tyveri og kontospærringer. Anvend 3-2-1 backup-reglen på dine 2FA-koder:
Aktiv database på din primære telefon, én krypteret eksportfil og én offline sekundær backup.
Én digital krypteret fil (på et VeraCrypt USB-drev eller E2EE cloud) og ét fysisk medie (papirbog eller stålplade).
Opbevar dine håndskrevne nødgenoprettelseskoder i et brandsikkert pengeskab eller en bankboks uden for hjemmet.
07. Ofte stillede spørgsmål (FAQ)
Q1: Hvorfor blokerer visse 2FA-apps for skærmbilleder på Android? ▼
Apps som Aegis håndhæver Android-systemets FLAG_SECURE-attribut. Dette forhindrer malware, spionprogrammer i baggrunden og ondsindede tilgængelighedstjenester i at tage skærmbilleder eller optage skærmen, mens dine hemmelige nøgler eller koder vises.
Q2: Kræver godkender-apps mobildata eller Wi-Fi for at generere koder? ▼
Nej. RFC 6238 TOTP-koder beregnes udelukkende lokalt på enheden ved hjælp af processoren. De eneste inputparametre er telefonens interne tidsstempel og den delte Base32-nøgle. Godkender-apps fungerer perfekt i flytilstand uden et SIM-kort.
Q3: Kan jeg scanne den samme 2FA QR-kode ind på to forskellige telefoner? ▼
Ja! Når en tjeneste viser en 2FA QR-kode, kan du scanne den samtidigt med både din primære telefon og en sekundær reservetelefon. Begge enheder vil generere nøjagtig de samme 6-cifrede koder i perfekt synkronisering, hvilket giver øjeblikkelig hardware-redundans.
Q4: Hvordan eksporterer jeg mine konti fra Google Authenticator til 2FAS eller Aegis? ▼
I Google Authenticator trykker du på menuen og vælger "Overfør konti" ➔ "Eksportér konti". Google genererer en eksport-QR-kode. I 2FAS eller Aegis vælger du "Importér" ➔ "Google Authenticator" og scanner denne QR-kode for at overføre alle dine konti på få sekunder.
Generer & bekræft 2FA-koder direkte i din browser
Har du brug for hurtigt at beregne en godkendelseskode eller verificere nøjagtigheden af en hemmelig nøgle uden at installere en app? 2FA-Tool afvikler RFC 6238-algoritmen direkte i din browsers hukommelse.