Kaksivaiheinen todennus (2FA) ei ole enää valinnainen ylellisyys – se on digitaalisen hygienian perusta. Käyttäjät kohtaavat kuitenkin kriittisiä pulmia: Luoako pilvisynkronointi valvomattoman takaoven? Voitko siirtää tunnuksesi, jos vaihdat iPhonesta Androidiin? Keräävätkö suljetun lähdekoodin kaupalliset sovellukset telemetriaa? Tuhoaako 2FA:n yhdistäminen salasananhallintaohjelmaan monivaiheisen puolustuksen periaatteen?
Twilio Authyn lakkautettua työpöytäsovelluksensa ja kärsittyä merkittävistä API-vuodoista todennussovellusten ekosysteemi on muuttunut perusteellisesti vuonna 2026. Tämä kattava analyysi arvioi viittä määrittävää sovellusta – Aegis, 2FAS, Bitwarden, Google Authenticator ja Microsoft Authenticator – testaten niiden kryptografisia perusteita, varmuuskopioinnin käytettävyyttä ja uhkien sietokykyä.
01. Authy-aikakauden jälkeinen aika vuonna 2026: Saadut opit
Lähes vuosikymmenen ajan Twilio Authy oli oletussuositus valtavirtakäyttäjille monilaitesynkronoinnin ansiosta. Authyn kehityskulku antoi kuitenkin kyberturvallisuusyhteisölle kolme vakavaa oppituntia:
- Suljetun järjestelmän ansa (Vendor Lock-in): Authy esti tarkoituksellisesti käyttäjiä viemästä raakoja Base32-salaisuusavaimia tai JSON-holveja, lukiten miljoonat käyttäjät suljettuun ekosysteemiin;
- Äkillinen työpöytätuen lakkauttaminen: Vuonna 2024 Twilio lopetti virallisesti Authyn Windowsille ja macOS:lle, jättäen työpöytäpainotteiset tietotyöläiset pulaan;
- Keskitetyn pilven haavoittuvuus: Useat Twilion infrastruktuuriin kohdistuneet tietomurrot paljastivat puhelinnumeroita ja tunnisteiden metatietoja, mikä todisti, että keskitetty palvelinpään synkronointi on hyökkäysmagneetti.
02. Viiden raskaan sarjan kilpailijan katsaus
Android-tietoturvan ja -yksityisyyden kultainen standardi. Toimii täysin eristettynä (air-gapped) ilman telemetriaa, vankalla AES-256-GCM-holvisalauksella ja automatisoiduilla Android Storage Access Framework (SAF) -varmuuskopioilla.
Nouseva avoimen lähdekoodin mestari iOS:lle ja Androidille. Ei pakollisia käyttäjätilejä, asiakaspuolen päästä päähän salatut pilvivarmuuskopiot (iCloud ja Google Drive) ja saumattomat työpöytäselainten laajennukset.
Integroitu salasana- ja TOTP-holvi. Tarjoaa välittömän automaattisen täytön kaikilla työpöytä- ja mobiilialustoilla sekä täyden itseisännöintituen Vaultwardenin kautta.
Kaikkialla läsnä oleva alkuperäinen sovellus. Sisältää nyt Google-tilin pilvisynkronoinnin ja minimaalisen käyttöliittymäkitkan, mutta siitä puuttuvat edistynyt ryhmittely, biometriset päävalintalukot ja avoimen lähdekoodin varmennus.
Välttämätön yritysten infrastruktuurille ja Office 365:lle. Syvästi integroitu Microsoft Entra ID:hen (Azure AD) ja sisältää numeroiden täsmäytyksen (number matching) MFA-väsymyshyökkäysten estämiseksi, mutta kärsii eristetyistä alustakohtaisista varmuuskopioista.
03. 12 ulottuvuuden vertailumatriisi
Tutkimuslaboratoriomme auditoi kaikki viisi kilpailijaa kahdentoista teknisen ja toiminnallisen kriteerin osalta:
| Arviointiulottuvuus | Aegis | 2FAS | Bitwarden | Microsoft | |
|---|---|---|---|---|---|
| Ohjelmistolisenssi | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | Suljettu lähdekoodi | Suljettu lähdekoodi |
| Alustatuki | Vain Android | iOS / Android / Laajennukset | Universaali (Web/Työpöytä/Mobiili) | iOS / Android / WearOS | iOS / Android / Apple Watch |
| Pilvisynkronointiarkkitehtuuri | Ei lainkaan (100 % offline) | E2EE iCloudin/GDriven kautta | Nollatieto-pilvisynkronointi | Google-tilin synkronointi | MS-tilin pilvivarmuuskopio |
| Paikallinen salattu vienti | AES-GCM / JSON täysi vienti | Natiivi salattu .2fas | Salattu JSON-vienti | Vain siirto-QR-koodi | Ei lainkaan (täysin lukittu) |
| Biometrinen päävalintalukko | Biometrinen + holvin salasana | Face ID / Sormenjälki / PIN | Biometrinen + pääavain | Vain järjestelmän lukitusnäyttö | Vain laitteen lukitusnäyttö |
| Kuvakaappaussuojaus | Pakotettu (FLAG_SECURE) | Pakotettu oletuksena | Määritettävä kytkin | Tuettu | Tuettu |
| Työpöytäintegraatio | Ei lainkaan (manuaalinen kirjoitus) | Selainlaajennuksen push-ilmoitus | Välitön selaimen automaattitäyttö | Manuaalinen puhelimesta kopiointi | Manuaalinen puhelimesta kopiointi |
| Siirrettävyys (migraatio) | Vaivaton (universaali JSON) | Vaivaton (tuo kaikki) | Korkea (vakio-JSON) | Kohtalainen (QR-jäsentäminen) | Vihamielinen (ei eri käyttöjärjestelmien välillä) |
| Hinnoittelu / Kaupallistaminen | 100 % ilmainen aina | 100 % ilmainen aina | Ilmainen perusversio; TOTP \$10/vuosi | Ilmainen | Ilmainen |
04. Sovellusten syväanalyysi ja arkkitehtuuri
1. Aegis Authenticator: Itsenäinen Android-tietoturvalinnoitus
Tietoturvatutkijat ylistävät Aegista sen virheettömän kryptografisen arkkitehtuurin vuoksi. Holviavain johdetaan käyttämällä Argon2id-algoritmia (Password Hashing Competition -kilpailun voittanut muistiraskas algoritmi), ja se salataan käyttämällä AES-256-salausta GCM-tilassa. Vaikka hyökkääjä saisi laitteesi tallennustilasta levykuvan fyysisen uuttamisen kautta, holvin salasanan murtaminen raakavoimalla on laskennallisesti mahdotonta.
• Ei vaadi Internet-käyttöoikeuksia Android Manifestissa;
• Automatisoidut toistuvat salatut varmuuskopiot mukautettuun tallennustilaan/Nextcloudiin;
• Monipuoliset kuvakepaketit, mukautetut tunnisteet ja tunnistehaku.
• Vain Androidille (ei iOS- tai työpöytäkumppania);
• Vaatii käyttäjän oman vastuun pilvivarmuuskopion tallennuspaikoista.
2. 2FAS Authenticator: Universaali monialustainen mittapuu
2FAS yhdistää tinkimättömän tietoturvan ja arjen helppokäyttöisyyden. Sovellus ei vaadi käyttäjätiliä tai puhelinnumeron rekisteröintiä. Pilvivarmuuskopiot hyödyntävät natiiveja iCloud- tai Google Drive -säilöjä, jotka salataan asiakaspuolella pääsalasanalla ennen kuin ne poistuvat laitteeltasi.
• Johdonmukainen ja viimeistelty natiivi käyttöliittymä iOS:llä ja Androidilla;
• Innovatiivinen 2FAS-selainlaajennus: kehottaa puhelintasi hyväksymään tunnisteen automaattisen täytön työpöytäsivustoilla;
• Kattavat tuontivaihtoehdot Googlelta, Authylta ja Aegikselta.
• Pilvisynkronointi toimii käyttöjärjestelmäkohtaisissa siiloissa (ei suoraa reaaliaikaista synkronointia iPhonen ja Android-laitteen välillä ilman manuaalista tiedostovientiä).
3. Bitwarden (Premium): Työnkulun huipputehokkuus ja MFA-keskustelu
Bitwardenin sisäänrakennettu TOTP-moottori tarjoaa käyttäjäergonomian huipun. Kun lähetät kirjautumistiedot verkkosivustolla, Bitwarden kopioi automaattisesti aktiivisen 6-numeroisen TOTP-koodin leikepöydällesi tai täyttää 2FA-syöttökentän suoraan lähetyksen yhteydessä.
Ensimmäisen tekijän (salasana) ja toisen tekijän (TOTP-siemen) tallentaminen samaan tietokantaan rikkoo perinteistä tekijöiden erillään pitämisen periaatetta (separation of factors). Jos päähölvisi salasana vaarantuu ilman laitteistoavaimen suojaa, hyökkääjä saa molemmat tekijät yhdellä iskulla. Käytännön ratkaisu: Suojaa Bitwarden-holvisi fyysisellä FIDO2 YubiKey -avaimella.
4. Google Authenticator: Kaikkialla läsnä oleva jättiläinen
Google-tilin pilvisynkronoinnin lisääminen Google Authenticatoriin poisti historiallisen ongelman tietojen täydellisestä katoamisesta puhelimen kadotessa. Se on kuitenkin edelleen suljetun lähdekoodin omaisuutta. Lisäksi, jos ensisijainen Google-tilisi jäädytetään, kaapataan tai lukitaan, pääsyn palauttaminen TOTP-koodeihisi muodostuu raskaaksi prosessiksi.
5. Microsoft Authenticator: Yrityslinnoitus alustamuureilla
Yritysten Microsoft 365 / Entra ID -ympäristöissä Microsoft Authenticator on välttämätön. Sen "Number Matching" (numeroiden täsmäytys) -kehote edellyttää käyttäjiltä kirjautumisnäytössä näkyvän kaksinumeroisen koodin syöttämistä puhelimeensa, mikä neutraloi tehokkaasti MFA-väsymyshyökkäykset. Sen kuluttajille suunnattu varmuuskopiointiarkkitehtuuri on kuitenkin rikki: iOS-varmuuskopiot menevät henkilökohtaiseen iClaudiin, kun taas Android-varmuuskopiot menevät henkilökohtaisille Microsoft-tileille. Et voi palauttaa iOS-varmuuskopiota Android-laitteelle tai päinvastoin!
05. Käyttäjäprofiilit ja räätälöidyt suositukset
Valitse: Aegis Authenticator. Vertaansa vailla oleva kryptografinen tietoturva, nolla internetyhteyttä, avoimen lähdekoodin läpinäkyvyys ja automatisoidut paikalliset varmuuskopiot.
Valitse: 2FAS Authenticator. Nykyaikainen avoimen lähdekoodin suunnittelu, saumaton työpöytäselaimen kumppani ja yksityiset asiakaspuolella salatut pilvivarmuuskopiot.
Valitse: Bitwarden (Premium). Hintaan \$10/vuosi avaat universaalin automaattisen täytön kaikissa selaimissa ja jaetut organisaatiokokoelmat.
Valitse: Microsoft Authenticator (Vain työtileille). Pakollinen yrityskirjautumisissa, mutta säilytä henkilökohtaiset pankki- ja kryptotunnisteet 2FAS:ssa tai Aegiksessa.
05.1 Älykellot ja vaatimustenmukaisuus: Apple Watch vs Wear OS -uhkamallinnus
Liikkuville ammattilaisille ranteesta tapahtuva todennus älykelloilla on merkittävä arjen helpotus. Vaihtuvien TOTP-tunnisteiden näyttäminen tai push-ilmoitusten hyväksyminen älykellossa kuitenkin muuttaa toiminnallista uhkapinta-alaa:
Apple valvoo rannetunnistuksen biometriikkaa: kun kello irrotetaan ranteesta, se lukittuu välittömästi PIN-koodilla. Viestimällä salatun Bluetooth LE -yhteyden kautta iPhonen Secure Enclaven kanssa sovellukset kuten 2FAS ja Microsoft Authenticator mahdollistavat nopeat yhden napautuksen hyväksynnät. Uhkavektorina on "olan yli kurkkiminen" (shoulder surfing) ruuhkaisissa julkisissa kulkuneuvoissa, sillä 6-numeroinen koodi tai numerokehote näkyy selvästi suojaamattomalla näytöllä.
Wear OS -laitteet synkronoivat tiili-widgetit suoraan Google Play -palveluiden kanssa. Vaikka tämä on kätevää päivittäisissä kirjautumisissa, tunnisteet pysyvät saatavilla niin kauan kuin kello on lukitsematon. Jos työskentelet korkean turvallisuustason tiloissa tai hallinnoit kryptovarojen säilytystä, paras käytäntö on poistaa älykellosynkronointi käytöstä fyysisen lähiluennan estämiseksi.
NIST SP 800-63B -standardien mukaan ohjelmistopohjaiset TOTP-sovellukset (kuten Aegis ja 2FAS) täyttävät Authenticator Assurance Level 2 (AAL2) -vaatimukset, kun ne on suojattu laitteen biometrisilla lukoilla tai pääsalasanalla. SOC 2 Type II- tai ISO 27001 -auditointia suorittaville organisaatioille Bitwardenin tai 2FAS:n käyttöönotto tarjoaa auditoitavat salausavainten johdannaiset, jotka täyttävät vaatimukset ilman riippuvuutta teleoperaattoreista.
06. 3-2-1 2FA -varmuuskopiointi- ja siirtostrategia
Riippumatta siitä, minkä sovelluksen valitset, palautumissuunnitelmasi on kestettävä laitteistorikot, varkaudet ja tilien lukitukset. Sovella 3-2-1-varmuuskopiointisääntöä 2FA-elinkaareesi:
Aktiivinen tunnistetietokanta ensisijaisessa puhelimessasi, yksi salattu vientitiedosto ja yksi offline-tilassa oleva toissijainen varmuuskopio.
Yksi digitaalinen salattu tiedosto (VeraCrypt USB -asemalla tai E2EE-pilvessä) ja yksi fyysinen väline (paperiloki tai teräslevy).
Säilytä käsin kirjoitettuja hätäpalautuskoodejasi paloturvallisessa lukkolaatikossa tai turvallisessa tallelokerossa.
07. Usein kysytyt kysymykset (FAQ)
Q1: Miksi jotkin 2FA-sovellukset estävät kuvakaappaukset Androidissa? ▼
Sovellukset kuten Aegis käyttävät Android-käyttöjärjestelmän FLAG_SECURE-määritettä. Tämä estää haittaohjelmia, taustavakoiluohjelmia ja haitallisia esteettömyyspalveluita ottamasta kuvakaappauksia tai tallentamasta näyttöäsi salaisia avaimia tai koodeja näytettäessä.
Q2: Tarvitsevatko todennussovellukset mobiilidataa tai Wi-Fiä koodien luomiseen? ▼
Ei. RFC 6238 TOTP -koodit lasketaan puhtaasti laitteessa paikallisia suorittimen jaksoja käyttäen. Ainoat syötteet ovat laitteesi kellon aikaleima ja jaettu salainen Base32-avain. Todennussovellukset toimivat täydellisesti lentokonetilassa ilman SIM-korttia.
Q3: Voinko skannata saman 2FA-QR-koodin kahteen eri puhelimeen? ▼
Kyllä! Kun palvelu näyttää 2FA-QR-koodin, skannaa se samanaikaisesti sekä ensisijaiseen puhelimeesi että toissijaiseen varapuhelimeesi. Molemmat laitteet tuottavat täsmälleen samat 6-numeroiset koodit synkronoituna, mikä tarjoaa välittömän laitteistotason vikasietoisuuden.
Q4: Miten vien tilini Google Authenticatorista 2FAS- tai Aegis-sovellukseen? ▼
Napauta Google Authenticatorissa valikkoa ja valitse "Siirrä tilit" -> "Vie tilit". Google luo vienti-QR-koodin. Valitse 2FAS:ssa tai Aegiksessa "Tuo" -> "Google Authenticator" ja skannaa QR-koodi siirtääksesi kaikki tilisi muutamassa sekunnissa.
Luo ja vahvista 2FA-koodit suoraan selaimessasi
Haluatko laskea todennustunnisteen nopeasti tai vahvistaa salaisen siemenen tarkkuuden ilman sovelluksen asentamista? 2FA-Tool suorittaa RFC 6238 -algoritmin suoraan selaimesi muistissa.