Dvofaktorska autentifikacija (2FA) više nije opcionalni luksuz — ona je temelj digitalne higijene. Ipak, korisnici se suočavaju s ključnim dilemama: Stvara li sinkronizacija u oblaku nenadzirana stražnja vrata? Možete li prenijeti svoje tokene ako pređete s iPhonea na Android? Prikupljaju li komercijalne aplikacije zatvorenog koda telemetriju? Uništava li integracija 2FA unutar upravitelja lozinki sam koncept višefaktorske obrane?
Nakon što je Twilio Authy ukinuo aplikacije za stolna računala i pretrpio curenje podataka putem API-ja, ekosustav autentifikatora u 2026. doživio je temeljiti preokret. Ova sveobuhvatna analiza ocjenjuje pet vodećih aplikacija — Aegis, 2FAS, Bitwarden, Google Authenticator i Microsoft Authenticator — testirajući njihove kriptografske temelje, praktičnost izrade sigurnosnih kopija i otpornost na prijetnje.
01. Doba nakon Authyja u 2026.: Naučene lekcije
Gotovo cijelo desetljeće Twilio Authy bio je zadana preporuka za većinu korisnika zahvaljujući jednostavnoj sinkronizaciji na više uređaja. Međutim, razvojni put Authyja donio je tri teške lekcije zajednici za kibernetičku sigurnost:
- Zamka vlasničkog zatvaranja (Vendor Lock-in): Authy je namjerno onemogućio korisnicima izvoz izvornih Base32 tajnih ključeva ili JSON trezora, zarobivši milijune korisnika unutar zatvorenog sustava;
- Iznenadno ukidanje aplikacije za stolna računala: Tijekom 2024. godine Twilio je službeno ukinuo Authy za Windows i macOS, ostavivši brojne korisnike stolnih računala bez pristupa;
- Ranjivost centraliziranog oblaka: Višestruki sigurnosni proboji u Twiliovu infrastrukturu izložili su telefonske brojeve i metapodatke tokena, dokazavši da je centralizirana poslužiteljska sinkronizacija magnet za napadače.
02. Pregled 5 vodećih kandidata
Zlatni standard za privatnost i sigurnost na Androidu. Radi potpuno izolirano od interneta bez ikakve telemetrije, uz robusnu AES-256-GCM enkripciju trezora i automatizirane sigurnosne kopije putem Android Storage Access Frameworka (SAF).
Vodeći šampion otvorenog koda za iOS i Android. Ne zahtijeva registraciju računa, pruža klijentski šifrirane sigurnosne kopije u oblaku (iCloud i Google Drive) i besprijekorno proširenje za preglednike na radnoj površini.
Integrirani trezor za lozinke i TOTP kodove. Omogućuje trenutačno automatsko popunjavanje bez klika na svim platformama računala i mobitela, uz punu podršku za samostalno hostiranje putem Vaultwardena.
Sveprisutni začetnik kategorije. Sada nudi sinkronizaciju s Google računom u oblaku i jednostavno sučelje, ali mu nedostaju napredno razvrstavanje po kategorijama, biometrijsko glavno zaključavanje i provjera otvorenog koda.
Nezamjenjiv za korporativnu Microsoft infrastrukturu i Office 365. Duboko integriran s uslugom Microsoft Entra ID (Azure AD) uz provjeru podudaranja brojeva (Number Matching) za sprječavanje zamora od MFA obavijesti, ali pati od izoliranih sigurnosnih kopija među platformama.
03. Glavna matrica usporedbe u 12 dimenzija
Naš istraživački laboratorij analizirao je svih pet kandidata prema dvanaest tehničkih i operativnih kriterija:
| Kriterij ocjenjivanja | Aegis | 2FAS | Bitwarden | Microsoft | |
|---|---|---|---|---|---|
| Licenca softvera | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | Vlasnički zatvoreni kôd | Vlasnički zatvoreni kôd |
| Dostupnost platformi | Samo Android | iOS / Android / Proširenja | Univerzalno (Web/Desktop/Mobilno) | iOS / Android / WearOS | iOS / Android / Apple Watch |
| Arhitektura sinkronizacije u oblaku | Nema (100% izvan mreže) | E2EE putem iClouda/GDrivea | Zero-Knowledge sinkronizacija u oblaku | Sinkronizacija s Google računom | Sigurnosna kopija na MS računu |
| Lokalni šifrirani izvoz | AES-GCM / Puni JSON izvoz | Izvorni šifrirani .2fas format | Šifrirani JSON izvoz | Samo prijenosni QR kod | Nema (potpuno zaključano) |
| Biometrijsko glavno zaključavanje | Biometrija + Lozinka trezora | Face ID / Otisak prsta / PIN | Biometrija + Glavni ključ | Samo zaključavanje zaslona sustava | Samo zaključavanje zaslona uređaja |
| Zaštita od snimanja zaslona | Prisilno (FLAG_SECURE) | Zadano uključeno | Podesiva postavka | Podržano | Podržano |
| Integracija s radnom površinom | Nema (ručni unos) | Obavijest putem proširenja preglednika | Trenutačno automatsko popunjavanje | Ručni prijepis s telefona | Ručni prijepis s telefona |
| Prenosivost i migracija | Besprijekorna (univerzalni JSON) | Besprijekorna (uvozi sve formate) | Visoka (standardni JSON) | Umjerena (čitanje QR koda) | Neprijateljska (nema prijenosa među OS-ovima) |
| Cijena / Model monetizacije | 100% besplatno zauvijek | 100% besplatno zauvijek | Besplatna baza; TOTP 10 $/god | Besplatno | Besplatno |
04. Detaljna raščlamba i arhitektura aplikacija
1. Aegis Authenticator: Suverena sigurnosna utvrda za Android
Sigurnosni stručnjaci iznimno cijene Aegis jer mu je kriptografska arhitektura besprijekorna. Ključ trezora izvodi se pomoću algoritma Argon2id (pobjedničkog memorijski zahtjevnog algoritma natjecanja Password Hashing Competition) i šifrira pomoću AES-256 u GCM načinu rada. Čak i ako napadač fizičkim izvlačenjem dođe do slike memorije vašeg uređaja, probijanje lozinke trezora metodom grube sile računski je neizvedivo.
• Nema nikakvih internetskih dopuštenja u Android Manifestu;
• Automatizirane periodične šifrirane sigurnosne kopije na odabranu pohranu/Nextcloud;
• Bogati paketi ikona, prilagođene oznake i pretraživanje tokena.
• Isključivo za Android (nema verziju za iOS niti računala);
• Zahtijeva ručno postavljanje lokacija za sigurnosnu kopiju u oblaku.
2. 2FAS Authenticator: Univerzalni višeplatformski standard
2FAS uspješno spaja strogu sigurnost i svakodnevnu praktičnost. Aplikacija ne zahtijeva nikakvu registraciju korisničkog računa niti telefonskog broja. Sigurnosne kopije u oblaku koriste izvorne spremnike usluga iCloud ili Google Drive, šifrirane na strani klijenta glavnom zaporkom prije nego što napuste vaš uređaj.
• Konzistentno i dotjerano izvorno sučelje na sustavima iOS i Android;
• Inovativno 2FAS proširenje za preglednik: šalje upit na vaš telefon za potvrdu automatskog unosa koda na računalu;
• Sveobuhvatne mogućnosti uvoza iz Googlea, Authyja i Aegisa.
• Sinkronizacija u oblaku odvija se unutar pojedinog operativnog sustava (nema izravne sinkronizacije uživo između iPhonea i Android uređaja bez ručnog izvoza datoteke).
3. Bitwarden (Premium): Vrhunska produktivnost i rasprava o MFA načelima
Ugrađeni TOTP mehanizam unutar Bitwardena predstavlja vrhunac korisničke ergonomije. Kada pošaljete vjerodajnice na web stranici, Bitwarden automatski kopira aktivni 6-znamenkasti TOTP kod u vaš međuspremnik ili izravno popunjava polje za 2FA unos.
Pohranjivanje prvog faktora (lozinke) i drugog faktora (TOTP tajnog koda) unutar iste baze podataka krši klasično načelo razdvajanja faktora. Ako vaša glavna lozinka trezora bude kompromitirana bez zaštite hardverskim ključem, napadač u jednom potezu preuzima oba faktora. Praktično rješenje: Zaštitite sam Bitwarden trezor fizičkim FIDO2 YubiKey ključem.
4. Google Authenticator: Sveprisutni div
Dodavanje sinkronizacije s Google računom u oblaku uklonilo je povijesni problem potpunog gubitka podataka pri gubitku telefona. Ipak, aplikacija ostaje vlasnički softver zatvorenog koda. Nadalje, ako vaš primarni Google račun ikada bude suspendiran, otet ili zaključan, vraćanje pristupa vašim TOTP kodovima pretvara se u iznimno složen proces.
5. Microsoft Authenticator: Korporativna utvrda s platformskim zidovima
U poslovnim okruženjima s uslugama Microsoft 365 i Entra ID, Microsoft Authenticator je neophodan. Njegova funkcija „podudaranja brojeva” (Number Matching) zahtijeva od korisnika unos dvoznamenkastog koda sa zaslona računala u telefon, čime uspješno neutralizira napade zamorom od MFA obavijesti. Međutim, arhitektura sigurnosnih kopija za privatne korisnike je razdvojena: sigurnosne kopije s iOS-a idu na osobni iCloud, dok sigurnosne kopije s Androida idu na osobni Microsoft račun. Nije moguće vratiti iOS sigurnosnu kopiju na Android uređaj, niti obrnuto!
05. Korisnički profili i prilagođene preporuke
Odaberite: Aegis Authenticator. Nenadmašna kriptografska sigurnost, nula internetske povezanosti, transparentnost otvorenog koda i automatizirane lokalne sigurnosne kopije.
Odaberite: 2FAS Authenticator. Moderan dizajn otvorenog koda, glatka integracija s preglednikom na računalu i privatne klijentski šifrirane sigurnosne kopije u oblaku.
Odaberite: Bitwarden (Premium). Za 10 $/godišnje dobivate univerzalno automatsko popunjavanje na svim preglednicima i dijeljene organizacijske zbirke.
Odaberite: Microsoft Authenticator (isključivo za poslovne račune). Obvezan za poslovne prijave, ali privatne tokene za bankarstvo i kripto mjenjačnice držite na 2FAS-u ili Aegisu.
05.1 Pametni satovi i usklađenost: Modeliranje prijetnji za Apple Watch i Wear OS
Za profesionalce u pokretu autentifikacija putem pametnog sata predstavlja značajno poboljšanje svakodnevne praktičnosti. Međutim, prikazivanje rotirajućih TOTP tokena ili prihvaćanje push obavijesti na zapešću mijenja vašu operativnu površinu napada:
Apple primjenjuje biometrijsko otkrivanje zapešća: čim se skine sa zapešća, sat se odmah zaključava PIN kodom. Komunicirajući putem šifriranog Bluetooth LE protokola s podsustavom Secure Enclave na iPhoneu, aplikacije poput 2FAS-a i Microsoft Authenticatora omogućuju brzo odobravanje jednim dodirom. Vektor prijetnje predstavlja „gledanje preko ramena” u napučenom javnom prijevozu jer se šesteroznamenkasti kod ili brojčani upit jasno prikazuju na nezasjenjenom zaslonu.
Uređaji s Wear OS-om sinkroniziraju widgete izravno s uslugama Google Play. Iako je to prikladno za svakodnevne prijave, tokeni ostaju dostupni sve dok je sat otključan. Ako radite u visoko osiguranim, povjerljivim okruženjima ili upravljate riznicama kriptovaluta, najbolja je praksa onemogućiti sinkronizaciju s pametnim satom kako biste spriječili presretanje u fizičkoj blizini.
Prema standardima NIST SP 800-63B, softverske TOTP aplikacije (poput Aegisa i 2FAS-a) zadovoljavaju zahtjeve za razinu osiguranja autentifikatora 2 (AAL2) kada su zaštićene biometrijskim zaključavanjem uređaja ili glavnim lozinkama. Za organizacije koje prolaze revizije prema standardima SOC 2 Type II ili ISO 27001, uvođenje Bitwardena ili 2FAS-a osigurava revizibilne procedure izvođenja enkripcijskih ključeva koje zadovoljavaju revizore bez uvođenja ovisnosti o mobilnim operaterima.
06. Sigurnosno pravilo 3-2-1 i plan migracije
Bez obzira na to koju aplikaciju odaberete, vaš plan oporavka u slučaju katastrofe mora preživjeti kvar hardvera, krađu uređaja i zaključavanje računa. Primijenite pravilo izrade sigurnosnih kopija 3-2-1 na svoj 2FA životni ciklus:
Aktivna baza tokena na primarnom telefonu, jedna šifrirana izvozna datoteka i jedna sekundarna sigurnosna kopija izvan mreže.
Jedna digitalna šifrirana datoteka (na VeraCrypt USB pogonu ili E2EE oblaku) i jedan fizički medij (papirnata bilježnica ili čelična pločica).
Čuvajte svoje rukom zapisane kodove za hitan oporavak u vatrostalnom sefu ili sigurnosnom bankovnom pretincu.
07. Često postavljana pitanja (FAQ)
P1: Zašto pojedine 2FA aplikacije blokiraju snimanje zaslona na Androidu? ▼
Aplikacije poput Aegisa primjenjuju atribut FLAG_SECURE u sustavu Android. To sprječava zlonamjerne programe, špijunski softver u pozadini i maliciozne usluge pristupačnosti da snimaju zaslon ili bilježe sadržaj dok su vaši tajni ključevi ili kodovi prikazani.
P2: Zahtijevaju li autentifikacijske aplikacije mobilne podatke ili Wi-Fi za generiranje kodova? ▼
Ne. RFC 6238 TOTP kodovi izračunavaju se isključivo na samom uređaju pomoću procesora. Jedini ulazni podaci su trenutno vrijeme sa sata vašeg uređaja i Base32 zajednički tajni ključ. Autentifikacijske aplikacije besprijekorno rade u zrakoplovnom načinu rada (Airplane Mode) bez SIM kartice.
P3: Mogu li skenirati isti 2FA QR kod na dva različita telefona? ▼
Da! Kada vam servis prikaže 2FA QR kod, skenirajte ga istovremeno i primarnim i sekundarnim rezervnim telefonom. Oba uređaja generirat će potpuno jednake 6-znamenkaste kodove u savršenoj sinkronizaciji, što pruža trenutačnu hardversku redundanciju.
P4: Kako mogu izvesti svoje račune iz Google Authenticatora u 2FAS ili Aegis? ▼
U Google Authenticatoru dodirnite izbornik i odaberite „Prijenos računa” -> „Izvoz računa”. Google će generirati izvozni QR kod. U aplikaciji 2FAS ili Aegis odaberite „Uvoz” -> „Google Authenticator” i skenirajte taj QR kod kako biste prenijeli sve svoje račune u nekoliko sekundi.
Generirajte i provjerite 2FA kodove izravno u pregledniku
Trebate brzo izračunati autentifikacijski token ili provjeriti točnost tajnog ključa bez instalacije aplikacije? 2FA-Tool pokreće RFC 6238 algoritam izravno u radnoj memoriji vašeg preglednika.