A kétlépcsős azonosítás (2FA) többé nem opcionális luxus – ez az alapvető digitális higiénia része. A felhasználók azonban kritikus dilemmákkal szembesülnek: Vajon a felhőszinkronizálás észrevétlen kiskaput nyit? Átvihetők a tokenek, ha iPhone-ról Androidra váltunk? Gyűjtenek-e telemetriai adatokat a zárt forráskódú kereskedelmi appok? Lerombolja-e a többtényezős védelem elvét, ha a 2FA-t egy jelszókezelőbe integráljuk?
A Twilio Authy asztali alkalmazásainak megszüntetésével és a nagy visszhangot kiváltó API-szivárgásokkal a hitelesítő alkalmazások ökoszisztémája 2026-ra alapjaiban rendeződött át. Ez az átfogó elemzés az öt meghatározó alkalmazást – az Aegis, 2FAS, Bitwarden, Google Authenticator és Microsoft Authenticator – értékeli, alapos tesztnek vetve alá kriptográfiai alapjaikat, biztonsági mentési kényelmüket és fenyegetésekkel szembeni ellenálló képességüket.
01. A Post-Authy korszak 2026-ban: Tanulságok
Csaknem egy évtizeden át a Twilio Authy volt az alapértelmezett választás az átlagfelhasználók számára a többeszközös szinkronizálás miatt. Az Authy pályafutása azonban három súlyos leckét adott a kiberbiztonsági közösségnek:
- A zárt ökoszisztéma csapdája (Vendor Lock-in): Az Authy szándékosan megakadályozta, hogy a felhasználók exportálják a nyers Base32 titkos kulcsokat vagy a JSON-tárolókat, felhasználók millióit zárva egy zárt rendszerbe;
- Az asztali appok hirtelen megszüntetése: 2024-ben a Twilio hivatalosan leállította az Authy Windows és macOS verzióját, cserben hagyva az asztali környezetet preferáló felhasználókat;
- Központosított felhőbeli sebezhetőség: A Twilio infrastruktúráját ért többszörös incidensek telefonszámokat és token-metaadatokat fedtek fel, bizonyítva, hogy a központosított szerveroldali szinkronizáció vonzza a támadókat.
02. Az 5 élvonalbeli versenyző áttekintése
Az Androidos adatvédelem és biztonság etalonja. Teljesen hálózatfüggetlenül (air-gapped) működik, nulla telemetriával, robusztus AES-256-GCM tárolótitkosítással és automatizált Android Storage Access Framework (SAF) mentésekkel.
A feltörekvő nyílt forráskódú bajnok iOS-re és Androidra. Kötelező fiókregisztráció nélkül, kliensoldali végpontok közötti titkosított felhőmentéssel (iCloud és Google Drive), valamint gördülékeny asztali böngészőbővítményekkel.
Integrált jelszó- és TOTP-tároló. Azonnali, egykattintásos automatikus kitöltést biztosít minden asztali és mobil platformon, teljes saját üzemeltetési (Self-Hosting) támogatással a Vaultwarden segítségével.
A mindenütt jelen lévő klasszikus. Most már támogatja a Google-fiókos felhőszinkronizálást és minimális kezelőfelületet kínál, de hiányoznak a fejlett kategóriák, a biometrikus mesterzár és a nyílt forráskódú ellenőrizhetőség.
Elengedhetetlen a vállalati infrastruktúrákhoz és Office 365-höz. Szorosan integrálva a Microsoft Entra ID-val (Azure AD), számpárosítással (Number Matching) védekezik az MFA fáradtságos támadások ellen, viszont a platformfüggő biztonsági mentések korlátozzák.
03. Mester 12-Dimension Comparison Matrix
Kutatólaboratóriumunk mind az öt versenyzőt tizenkét technikai és működési szempont szerint vizsgálta meg:
| Értékelési szempont | Aegis | 2FAS | Bitwarden | Microsoft | |
|---|---|---|---|---|---|
| Szoftverlicenc | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | Zárt forráskódú | Zárt forráskódú |
| Platform elérhetőség | Csak Android | iOS / Android / Bővítmények | Univerzális (Web/Asztali/Mobil) | iOS / Android / WearOS | iOS / Android / Apple Watch |
| Felhőszinkronizációs architektúra | Nincs (100% offline) | E2EE iCloud/GDrive-on át | Zero-Knowledge felhőszinkron | Google-fiók szinkronizáció | MS fiók felhőmentés |
| Helyi titkosított export | Teljes AES-GCM / JSON export | Natív titkosított .2fas | Titkosított JSON export | Csak átviteli QR-kód | Nincs (Teljesen zárt) |
| Biometrikus mesterzár | Biometria + tárolójelszó | Face ID / Ujjlenyomat / PIN | Biometria + mesterkulcs | Csak képernyőzár | Csak képernyőzár |
| Képernyőkép-védelem | Kikényszerített (FLAG_SECURE) | Alapértelmezett védelem | Konfigurálható kapcsoló | Támogatott | Támogatott |
| Asztali integráció | Nincs (Kézi gépelés) | Böngészőbővítmény Push | Azonnali böngészős automatikus kitöltés | Kézi telefonos leolvasás | Kézi telefonos leolvasás |
| Migrációs hordozhatóság | Könnyű (Univerzális JSON) | Könnyű (Mindent importál) | Kiváló (Szabványos JSON) | Közepes (QR beolvasás) | Elutasító (Nincs OS-ek közötti átvitel) |
| Árazás és monetizáció | 100% ingyenes örökre | 100% ingyenes örökre | Ingyenes alap; TOTP \$10/év | Ingyenes | Ingyenes |
04. Részletes alkalmazás-architektúra elemzés
1. Aegis Authenticator: Az Androidos biztonság megingathatatlan bástyája
Az Aegis a biztonsági kutatók kedvence, mert kriptográfiai architektúrája hibátlan. A tárolókulcs levezetése az Argon2id (a Password Hashing Competition győztes, memóriaintenzív algoritmusa) segítségével történik, és AES-256-tal GCM módban van titkosítva. Még ha a támadó fizikai kinyeréssel le is másolja az eszköz tárhelyét, a tárolójelszó brute-force feltörése számításilag kivitelezhetetlen.
• Nulla internet-engedély az Android Manifestben;
• Automatikus ütemezett titkosított mentések egyéni tárhelyre/Nextcloudra;
• Gazdag ikonkészletek, egyéni címkék és gyors tokenkeresés.
• Csak Androidra érhető el (nincs iOS vagy asztali változat);
• Kézi felelősséget igényel a felhőbeli biztonsági mentések helyének kezelésében.
2. 2FAS Authenticator: Az univerzális keresztplatformos mérce
A 2FAS hidat képez a paranoid biztonság és a mindennapi kényelem között. Az alkalmazás használatához nincs szükség felhasználói fiókra vagy telefonszám regisztrációjára. A felhőmentések a natív iCloud vagy Google Drive tárolókat használják, amelyeket a rendszer kliensoldalon egy mesterjelszóval titkosít, mielőtt elhagynák a készüléket.
• Egységes, kifinomult natív felület iOS-en és Androidon;
• Innovatív 2FAS böngészőbővítmény: értesítést küld a telefonra az asztali webhelyeken való automatikus kitöltés jóváhagyásához;
• Széleskörű importálási lehetőségek Google-ból, Authy-ból és Aegis-ből.
• A felhőszinkronizálás operációsrendszer-specifikus silókban működik (nincs közvetlen élő szinkronizáció egy iPhone és Android készülék között kézi fájlexport nélkül).
3. Bitwarden (Premium): Csúcsidőbeli munkafolyamat-hatékonyság és az MFA-vita
A Bitwarden beépített TOTP motorja a felhasználói kényelem csúcsát jelenti. Amikor bejelentkezési adatokat küld be egy webhelyen, a Bitwarden automatikusan a vágólapra másolja az aktív 6 számjegyű TOTP kódot, vagy a beküldéskor közvetlenül kitölti a 2FA beviteli mezőt.
Az első tényező (jelszó) és a második tényező (TOTP titkos kulcs) ugyanabban az adatbázisban történő tárolása sérti a tényezők szétválasztásának (Separation of Factors) klasszikus elvét. Ha a mesterszéf jelszava hardverkulcsos védelem nélkül kompromittálódik, a támadó mindkét tényezőt egyszerre szerzi meg. Pragmatikus védekezés: Védje magát a Bitwarden széfet egy fizikai FIDO2 YubiKey-vel.
4. Google Authenticator: A mindenütt jelenlévő óriás
A Google Authenticator felhőszinkronizációs funkciója megszüntette a telefon elvesztésekor tapasztalható teljes adatvesztés korábbi problémáját. Mindazonáltal zárt forráskódú, védett szoftver marad. Továbbá, ha az elsődleges Google-fiókját bármilyen okból felfüggesztik, feltörik vagy kizárják Önt, a TOTP kódokhoz való hozzáférés visszaszerzése rendkívül nehéz feladattá válik.
5. Microsoft Authenticator: Vállalati erőd platformfalakkal
A vállalati Microsoft 365 / Entra ID környezetekben a Microsoft Authenticator elengedhetetlen. A „Számpárosítás” (Number Matching) felszólítása megköveteli a felhasználóktól, hogy a bejelentkezési képernyőn megjelenő kétjegyű kódot írják be a telefonjukba, hatékonyan semlegesítve az MFA kimerültségi támadásokat. Fogyasztói biztonsági mentési architektúrája azonban hibás: az iOS biztonsági mentések a személyes iCloudba, míg az Android mentések a személyes Microsoft-fiókba kerülnek. Egy iOS mentést nem lehet visszaállítani Androidos eszközre, és fordítva!
05. Felhasználói típusok és testreszabott ajánlások
Válassza ezt: Aegis Authenticator. Páratlan kriptográfiai biztonság, nulla internetkapcsolat, nyílt forráskódú átláthatóság és automatikus helyi mentések.
Válassza ezt: 2FAS Authenticator. Modern, nyílt forráskódú felépítés, zökkenőmentes asztali böngészőkiegészítő és privát, kliensoldalon titkosított felhőmentések.
Válassza ezt: Bitwarden (Premium). Évi \$10-ért univerzális automatikus kitöltést kap minden böngészőben, valamint megosztott szervezeti gyűjteményeket.
Válassza ezt: Microsoft Authenticator (Csak munkahelyi fiókokhoz). Kötelező a vállalati bejelentkezésekhez, de a személyes banki és kripto tokeneket tartsa 2FAS-ban vagy Aegis-ben.
05.1 Okoseszközök és megfelelőség: Apple Watch vs Wear OS fenyegetettségi modellezés
A sokat utazó szakemberek számára a csuklón alapuló hitelesítés okosórán keresztül jelentős kényelmi előnyt jelent. A folyamatosan változó TOTP tokenek megjelenítése vagy a push értesítések jóváhagyása az okosórán azonban módosítja a működési fenyegetettségi felületet:
Az Apple csuklóérzékelési biometriát alkalmaz: amint leveszi a csuklójáról, az óra azonnal zárolódik egy PIN-kóddal. Az iPhone Secure Enclave-jával folytatott titkosított Bluetooth LE kommunikáció révén az olyan alkalmazások, mint a 2FAS és a Microsoft Authenticator gyors, egyérintéses jóváhagyást tesznek lehetővé. A fenyegetési vektor a zsúfolt tömegközlekedési eszközökön történő „váll feletti kukucskálás” (Shoulder Surfing), mivel a 6 számjegyű kód árnyékolatlan kijelzőn jelenik meg.
A Wear OS eszközök közvetlenül a Google Play Szolgáltatásokkal szinkronizálják a widgeteket. Bár kényelmes a mindennapi belépésekhez, a tokenek mindaddig elérhetők maradnak, amíg az óra fel van oldva. Ha szigorúan titkos környezetben dolgozik, vagy kriptokincstári műveleteket végez, a legjobb gyakorlat a viselhető eszközök szinkronizálásának letiltása a fizikai közelségből fakadó lehallgatás megakadályozása érdekében.
A NIST SP 800-63B szabványok szerint a szoftveres TOTP alkalmazások (mint az Aegis és a 2FAS) teljesítik az Authenticator Assurance Level 2 (AAL2) követelményeket, amennyiben eszközszintű biometrikus zár vagy mesterjelszó védi őket. A SOC 2 Type II vagy ISO 27001 auditot végző szervezetek számára a Bitwarden vagy 2FAS bevezetése auditálható titkosítási kulcslevezetést biztosít, kielégítve a megfelelőségi ellenőröket mobilhálózat-függőség nélkül.
06. A 3-2-1 2FA biztonsági mentési és áttelepítési stratégia
Bármelyik alkalmazást is választja, a vészhelyzeti helyreállítási tervének túl kell élnie a hardverhibát, a lopást és a fiókok zárolását. Alkalmazza a 3-2-1 biztonsági mentési szabályt a 2FA életciklusára:
Élő adatbázis az elsődleges telefonon, egy titkosított exportált fájl, és egy offline másodlagos biztonsági mentés.
Egy digitális titkosított fájl (VeraCrypt USB-meghajtón vagy E2EE felhőben) és egy fizikai hordozó (papír napló vagy acéllap).
Tartsa a kézzel írt vészhelyzeti helyreállítási kódokat tűzálló széfben vagy biztonságos banki letéti rekeszben.
07. Gyakran Ismételt Kérdések (GYIK)
1. kérdés: Miért blokkolja néhány 2FA app a képernyőképeket Androidon? ▼
Az olyan alkalmazások, mint az Aegis, kikényszerítik az Android operációs rendszer FLAG_SECURE attribútumát. Ez megakadályozza, hogy a kártékony programok, háttérbeli spyware-ek vagy rosszindulatú kisegítő lehetőségek képernyőképet készítsenek vagy rögzítsék a képernyőt, miközben a titkos kulcsok vagy kódok megjelennek.
2. kérdés: Szükségük van a hitelesítő appoknak mobilnetre vagy Wi-Fi-re a kódgeneráláshoz? ▼
Nem. Az RFC 6238 TOTP kódokat a rendszer szigorúan az eszközön, a helyi processzor használatával számítja ki. Az egyedüli bemeneti adatok a készülék órájának időbélyege és a megosztott Base32 titkos kulcs. A hitelesítő appok tökéletesen működnek Repülőgép üzemmódban, SIM-kártya nélkül is.
3. kérdés: Beolvashatom ugyanazt a 2FA QR-kódot két különböző telefonra? ▼
Igen! Amikor egy szolgáltatás 2FA QR-kódot jelenít meg, olvassa be egyszerre az elsődleges és a tartalék telefonján is. Mindkét eszköz pontosan ugyanazokat a 6 számjegyű kódokat fogja generálni egymással szinkronban, azonnali hardveres tartalékot biztosítva.
4. kérdés: Hogyan exportálhatom a fiókjaimat a Google Authenticatorból a 2FAS-ba vagy az Aegis-be? ▼
A Google Authenticatorban érintse meg a menüt, majd válassza a „Fiókok átvitele” -> „Fiókok exportálása” lehetőséget. A Google létrehoz egy exportálási QR-kódot. A 2FAS-ban vagy az Aegis-ben válassza az „Importálás” -> „Google Authenticator” lehetőséget, és olvassa be a QR-kódot, hogy másodpercek alatt átvigye az összes fiókját.
Generáljon és ellenőrizzen 2FA kódokat közvetlenül a böngészőjében
Gyorsan ki kell számítania egy hitelesítési tokent vagy ellenőriznie kell a titkos kulcs pontosságát alkalmazás telepítése nélkül? A 2FA-Tool közvetlenül a böngésző memóriájában hajtja végre az RFC 6238 algoritmust.