Kaheastmeline kinnitamine (2FA) ei ole enam valikuline luksus – see on digitaalse turvalisuse vundament. Ometi seisavad kasutajad silmitsi tõsiste küsimustega: Kas pilvesünkroonimine loob järelevalveta tagaukse? Kas iPhone'ilt Androidile üle minnes saab koode kaasa võtta? Kas suletud lähtekoodiga kommertsrakendused koguvad telemeetriat? Kas paroolide ja 2FA hoidmine ühes hoidlas hävitab mitmefaktorilise kaitse põhimõtte?
Pärast seda, kui Twilio Authy lõpetas lauaarvutirakenduste toe ja sattus ulatuslikesse API-lekkeintsidentidesse, on autentimisrakenduste maastik 2026. aastal põhjalikult uuenenud. See analüüs hindab viit teedrajavat rakendust – Aegis, 2FAS, Bitwarden, Google Authenticator ja Microsoft Authenticator –, testides nende krüptograafilisi aluseid, varundusmugavust ja vastupidavust rünnakutele.
01. Authy-järgne ajastu 2026. aastal: õppetunnid
Ligi kümnendi vältel oli Twilio Authy tavatarbijale peamine soovitus tänu mugavale mitme seadme sünkroonimisele. Authy arengutee andis aga küberturbe kogukonnale kolm karmi õppetundi:
- Suletud ökosüsteemi lõks: Authy takistas kasutajatel teadlikult algsete Base32 salavõtmete või JSON-failide eksportimist, lukustades miljonid inimesed oma suletud keskkonda;
- Lauaarvutirakenduste järsk sulgemine: 2024. aastal lõpetas Twilio ametlikult Authy toe Windowsis ja macOS-is, jättes töölauakesksed spetsialistid hätta;
- Tsentraliseeritud pilve haavatavus: Korduvad turvalekked Twilio taristus paljastasid telefoninumbreid ja koodide metaandmeid, tõestades, et tsentraliseeritud serveripoolne sünkroonimine on ründajatele magus sihtmärk.
02. Viie suurnime ülevaade
Androidi privaatsuse ja turvalisuse etalon. Töötab täiesti võrguühenduseta ilma internetiõigusteta, kasutab tugevat AES-256-GCM hoidlakrüpteeringut ja automaatseid varukoopiaid Androidi Storage Access Frameworki (SAF) kaudu.
Tõusev avatud lähtekoodiga liider iOS-ile ja Androidile. Kasutajakonto loomist ega telefoninumbrit ei nõuta, pilvevarundus toimib kliendipoolselt otsast lõpuni krüpteerituna (iCloud ja Google Drive) ning toetatud on mugavad brauserilaiendused.
Integreeritud parooli- ja TOTP-hoidla. Tagab viivituseta ja ühe klõpsuga automaattäite kõigil laua- ja mobiiliplatvormidel koos täieliku Vaultwardeni abil isehostimise toega.
Kõikjal levinud algne autentija. Nüüd toetab Google'i konto pilvesünkroonimist ja minimalistlikku liidest, kuid puuduvad kohandatud kategooriad, eraldi biomeetriline pealukk ja avatud lähtekood.
Hädavajalik ettevõtete Microsoft 365 ja Office keskkondades. Tihedalt integreeritud Microsoft Entra ID-ga (Azure AD) ja numbrite vastavusse viimise (Number Matching) funktsiooniga MFA väsimusrünnakute tõkestamiseks, kuid kannatab rangelt isoleeritud platvormipõhise varunduse all.
03. 12-mõõtmeline põhjalik võrdlusmaatriks
Meie uurimislabor auditeeris kõiki viit pretendenti kaheteistkümne tehnilise ja praktilise kriteeriumi alusel:
| Hindamismõõde | Aegis | 2FAS | Bitwarden | Microsoft | |
|---|---|---|---|---|---|
| Tarkvaralitsents | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | Suletud omanduslik | Suletud omanduslik |
| Platvormide saadavus | Ainult Android | iOS / Android / Laiendused | Universaalne (Veeb/PC/Mobiil) | iOS / Android / WearOS | iOS / Android / Apple Watch |
| Pilvesünkroonimise arhitektuur | Puudub (100% võrguvaba) | E2EE iCloudi/GDrive'i kaudu | Nullteadmistega pilvesünkroon | Google'i konto sünkroonimine | MS konto pilvevarundus |
| Kohalik krüpteeritud eksport | AES-GCM / JSON täielik eksport | Krüpteeritud .2fas fail | Krüpteeritud JSON eksport | Ainult ülekande QR-kood | Puudub (täielikult lukustatud) |
| Biomeetriline pealukk | Biomeetria + hoidla parool | Face ID / sõrmejälg / PIN | Biomeetria + peavõti | Ainult süsteemi ekraanilukk | Ainult seadme ekraanilukk |
| Kuvatõmmiste kaitse | Jõustatud (FLAG_SECURE) | Vaikimisi jõustatud | Seadistatav lüliti | Toetatud | Toetatud |
| Töölaua integratsioon | Puudub (käsitsi sisestus) | Brauserilaienduse tõuketeade | Kohene brauseri automaattäide | Käsitsi telefonilt ümberkirjutus | Käsitsi telefonilt ümberkirjutus |
| Migreerimise teisaldatavus | Lihtne (universaalne JSON) | Lihtne (impordib kõike) | Kõrge (standardne JSON) | Mõõdukas (QR parsimine) | Suletud (null platvormiülest tuge) |
| Hind ja litsents | 100% tasuta igavesti | 100% tasuta igavesti | Tasuta baas; TOTP \$10/aastas | Tasuta | Tasuta |
04. Rakenduste anatoomia ja arhitektuuri süvaanalüüs
1. Aegis Authenticator: Androidi suveräänne turvakindlus
Aegis on turvauurijate lemmik oma laitmatu krüptograafilise arhitektuuri tõttu. Hoidla võti tuletatakse algoritmi Argon2id (Password Hashing Competitioni võitnud mälunõudlik algoritm) abil ja krüpteeritakse AES-256 GCM-režiimis. Isegi kui ründaja saab seadme salvestusruumist füüsilise tõmmise, on hoidla parooli toore jõuga murdmine arvutuslikult teostamatu.
• Android Manifestis puuduvad igasugused internetiõigused;
• Automaatsed perioodilised krüpteeritud varukoopiad kohalikku kettale/Nextcloudi;
• Rikkalikud ikoonipakid, kohandatud sildid ja koodide otsing.
• Ainult Androidile (puudub iOS või töölauaversioon);
• Nõuab kasutajalt käsitsi vastutust varukoopiate turvalise säilitamise eest.
2. 2FAS Authenticator: Kaasaegne platvormiülene etalon
2FAS ühendab kompromissitu turvalisuse ja igapäevase kasutusmugavuse. Rakendus ei nõua kasutajakonto loomist ega telefoninumbrit. Pilvevarukoopiad kasutavad seadme loomulikku iCloudi või Google Drive'i salvestusruumi, mis on enne seadmest lahkumist kliendipoolselt peaparooliga krüpteeritud.
• Ühtne, viimistletud kasutajaliides nii iOS-is kui ka Androidis;
• Uuenduslik 2FAS-i brauserilaiendus: küsib telefonilt kinnitust koodi sisestamiseks lauaarvuti veebilehel;
• Põhjalikud importimisvalikud Google'ist, Authyst ja Aegisest.
• Pilvesünkroonimine toimib operatsioonisüsteemi piires (iPhone'i ja Androidi vahel puudub reaalajas pilvesünkroon ilma käsitsi failiekspordita).
3. Bitwarden (Premium): Töövoo tipptasemel mugavus ja MFA debatt
Bitwardeni sisseehitatud TOTP-mootor pakub parimat võimalikku ergonoomikat. Kui sisestate veebisaidil oma parooli, kopeerib Bitwarden automaatselt aktiivse 6-kohalise TOTP-koodi lõikelauale või täidab 2FA sisestusvälja otse vormi esitamisel.
Esimese faktori (parool) ja teise faktori (TOTP algseeme) hoidmine samas andmebaasis rikub klassikalist faktorite lahususe printsiipi. Kui teie peaparool kompromiteeritakse ilma riistvaravõtme tõkketa, saab ründaja korraga kätte mõlemad faktorid. Praktiline lahendus: kaitske oma Bitwardeni hoidlat ennast füüsilise FIDO2 YubiKey turvavõtmega.
4. Google Authenticator: Kõikjal leviv gigant
Google'i konto pilvesünkroonimise lisamine lahendas telefoni purunemisel tekkiva täieliku andmekao mure. Siiski jääb rakendus suletud lähtekoodiga tarkvaraks. Lisaks, kui teie peamine Google'i konto peaks mingil põhjusel sattuma blokeeringu alla või häkitakse, muutub oma TOTP koodidele ligipääsu taastamine äärmiselt keeruliseks katsumuseks.
5. Microsoft Authenticator: Ettevõtte kindlus platvormilõhedega
Ettevõtete Microsoft 365 / Entra ID keskkonnas on Microsoft Authenticator asendamatu. Selle numbrite vastavusse viimise (Number Matching) viip nõuab ekraanile kuvatava kahekohalise koodi sisestamist telefoni, tehes lõpu MFA väsimusrünnakutele. Kuid selle tarbijate varundussüsteem on killustunud: iOS-i varukoopiad salvestatakse isiklikku iCloudi, Androidi omad aga isiklikule Microsofti kontole. iOS-i varukoopiat ei saa taastada Androidi seadmesse ega vastupidi!
05. Kasutajaprofiilid ja kohandatud otsused
Valige: Aegis Authenticator. Võrratu krüptograafiline turvalisus, null internetiühendust, avatud lähtekoodi läbipaistvus ja automaatsed kohalikud varukoopiad.
Valige: 2FAS Authenticator. Kaasaegne avatud lähtekoodiga disain, sujuv lauaarvuti brauserilaiendus ja privaatne, kliendipoolselt krüpteeritud pilvevarundus.
Valige: Bitwarden (Premium). \$10/aastas avab universaalse automaattäite kõigis brauserites ja võimaluse jagada koode turvaliselt organisatsiooni tiimides.
Valige: Microsoft Authenticator (ainult töökontodeks). Kohustuslik ettevõtte sisselogimisteks, kuid isiklikud panga- ja krüptotõendid hoidke eraldi 2FAS-is või Aegises.
05.1 Nutikellad ja nõuetele vastavus: Apple Watch vs Wear OS ohumudelid
Mobiilsetele professionaalidele pakub randmelt koodide vaatamine ja kinnitamine suurt elukvaliteedi tõusu. Kuid TOTP koodide kuvamine nutikellal muudab teie turvapinda:
Apple rakendab randmetuvastuse biomeetriat: randmelt eemaldamisel lukustub kell kohe pääsukoodiga. Suheldes krüpteeritud Bluetooth LE kaudu iPhone'i Secure Enclave'iga, lubavad 2FAS ja Microsoft Authenticator kiiret ühe puudutusega heakskiitu. Peamine oht on "ekraani piilumine" (shoulder surfing) rahvarohkes ühistranspordis, kuna 6-kohaline kood kuvatakse varjamata ekraanil.
Wear OS seadmed sünkroonivad vidinaid otse Google Play Services kaudu. Kuigi see on mugav, jäävad koodid kättesaadavaks seni, kuni kell on lukust lahti. Kõrge turvalisusega keskkondades või krüptovarasid hallates on soovitatav nutikellade sünkroonimine välja lülitada füüsilise läheduse pealtkuulamise tõkestamiseks.
NIST SP 800-63B standardite kohaselt vastavad tarkvaralised TOTP rakendused (nagu Aegis ja 2FAS) autentimise usaldustaseme 2 (AAL2) nõuetele, kui need on kaitstud seadme biomeetria või peaparooliga. SOC 2 Type II või ISO 27001 auditit läbivate organisatsioonide puhul pakub Bitwardeni või 2FAS-i kasutuselevõtt auditeeritavat krüpteeringut, mis rahuldab audiitoreid ilma telekommunikatsiooni sõltuvust tekitamata.
06. 3-2-1 2FA varundamise ja migreerimise tegevuskava
Olenemata valitud rakendusest peab teie avariitaasteplaan pidama vastu riistvara rikkele, vargusele ja kontode lukustumisele. Rakendage 2FA puhul 3-2-1 varundusreeglit:
Aktiivne koodibaas teie peamises nutitelefonis, üks krüpteeritud ekspordifail ja üks võrguühenduseta teisese seadme varukoopia.
Üks digitaalne krüpteeritud fail (VeraCrypt USB-l või E2EE pilves) ja üks füüsiline andmekandja (paberist logiraamat või metallplaat).
Hoidke käsitsi kirjutatud erakorralisi taastekoode tulekindlas hoiulaekas või turvalises hoiukapis teises füüsilises asukohas.
07. Korduma kippuvad küsimused (KKK)
1. küsimus: Miks mõned 2FA äpid blokeerivad Androidis kuvatõmmiste tegemise? ▼
Rakendused nagu Aegis jõustavad Androidi süsteemset atribuuti FLAG_SECURE. See takistab pahavaral, taustal töötavatel nuhkprogrammidel ja ligipääsetavusteenustel ekraanipiltide salvestamist ajal, mil teie salavõtmed või koodid on ekraanile kuvatud.
2. küsimus: Kas autentimisrakendused vajavad koodide genereerimiseks internetti? ▼
Ei. RFC 6238 TOTP koode arvutatakse rangelt seadmes kohapeal kohaliku protsessori abil. Ainsad sisendid on seadme kellaaeg ja Base32 salavõti. Autentimisrakendused töötavad suurepäraselt lennurežiimis ja ilma SIM-kaardita.
3. küsimus: Kas ma saan skannida sama 2FA QR-koodi kahte erinevasse telefoni? ▼
Jah! Kui teenus kuvab 2FA QR-koodi, skannige seda üheaegselt nii oma põhipersonaalse telefoni kui ka varuseadmega. Mõlemad seadmed hakkavad sünkroonselt genereerima täpselt samu 6-kohalisi koode, tagades vahetu riistvaralise varulahenduse.
4. küsimus: Kuidas eksportida oma kontod Google Authenticatorist rakendusse 2FAS või Aegis? ▼
Puudutage rakenduses Google Authenticator menüüd ja valige "Kontode ülekandmine" -> "Ekspordi kontod". Google kuvab ekspordi QR-koodi. Valige rakenduses 2FAS või Aegis "Import" -> "Google Authenticator" ja skannige see QR-kood, kandes kõik kontod sekunditega üle.
Genereerige ja kontrollige 2FA koode otse oma brauseris
Kas teil on vaja kiiresti arvutada autentimiskood või kontrollida salavõtme toimimist ilma äppi paigaldamata? 2FA-Tool käitab RFC 6238 algoritmi otse teie brauseri mälus.