Dviejų veiksnių autentifikavimas (2FA) nebėra pasirenkama prabanga – tai esminė skaitmeninė higiena. Visgi naudotojai susiduria su kritinėmis dilemomis: Ar debesies sinchronizavimas sukuria nekontroliuojamas galines duris (backdoor)? Ar galite perkelti savo žetonus, jei pereinate iš „iPhone“ į „Android“? Ar uždarojo kodo komercinės programėlės renka telemetriją? Ar 2FA sujungimas slaptažodžių tvarkyklėje nesunaikina daugiafaktorinės gynybos koncepcijos?
Po to, kai „Twilio Authy“ nutraukė kompiuteriams skirtų programėlių palaikymą ir patyrė didelio atgarsio sulaukusius API nutekėjimus, autentifikavimo ekosistema 2026 m. iš esmės persitvarkė. Šioje išsamioje analizėje vertinamos penkios pagrindinės programėlės – Aegis, 2FAS, Bitwarden, Google Authenticator ir Microsoft Authenticator –, atliekant jų kriptografinių pamatų, atsarginių kopijų ergonomikos ir atsparumo grėsmėms testavimą nepalankiausiomis sąlygomis.
01. Post-Authy era 2026 m.: išmoktos pamokos
Beveik dešimtmetį „Twilio Authy“ buvo numatytoji rekomendacija daugeliui vartotojų dėl kelių įrenginių sinchronizavimo. Tačiau „Authy“ raida kibernetinio saugumo bendruomenei suteikė tris griežtas pamokas:
- Uždaros ekosistemos spąstai: „Authy“ sąmoningai neleido naudotojams eksportuoti grynųjų Base32 slaptųjų raktų ar JSON saugyklų, įkalindama milijonus naudotojų uždaroje sistemoje;
- Netikėtas darbalaukio programos nutraukimas: 2024 m. „Twilio“ oficialiai nutraukė „Authy“ palaikymą „Windows“ ir „macOS“, palikdama darbalaukio naudotojus be išeities;
- Centralizuotos debesies infrastruktūros pažeidžiamumas: Keli „Twilio“ infrastruktūros saugumo pažeidimai atskleidė telefonų numerius ir žetonų metaduomenis, įrodydami, kad centralizuotas serverio sinchronizavimas yra atakų magnetas.
02. 5 pagrindinių pretendentų apžvalga
Auksinis „Android“ privatumo ir saugumo standartas. Veikia visiškai izoliuotai (air-gapped), nerenka jokios telemetrijos, naudoja patikimą AES-256-GCM saugyklos šifravimą ir automatizuotas „Android Storage Access Framework“ (SAF) atsargines kopijas.
Kylantis atvirojo kodo lyderis „iOS“ ir „Android“ platformoms. Nereikalauja jokių privalomų paskyrų, naudoja kliento pusėje galutinai šifruotas (E2EE) atsargines kopijas debesyje („iCloud“ ir „Google Drive“) bei patogius naršyklių plėtinius.
Integruota slaptažodžių ir TOTP saugykla. Užtikrina momentinį automatinį užpildymą be papildomų paspaudimų visose darbalaukio ir mobiliosiose platformose, pilnai palaiko savarankišką prieglobą (self-hosting) per „Vaultwarden“.
Visur esantis originalas. Dabar palaiko „Google“ paskyros sinchronizavimą debesyje ir minimalią vartotojo sąsają, tačiau stokoja pažangaus skirstymo į kategorijas, biometrinio pagrindinio užrakto ir atvirojo kodo patikrinamumo.
Būtinas įmonių infrastruktūrai ir „Office 365“. Glaudžiai integruotas su „Microsoft Entra ID“ („Azure AD“) ir skaičių sutapdinimu (number matching), kad užkirstų kelią MFA nuovargio atakoms, tačiau kenčia dėl izoliuotų platformų atsarginių kopijų.
03. Pagrindinė 12 dimensijų palyginimo matrica
Mūsų tyrimų laboratorija įvertino visus penkis pretendentus pagal dvylika techninių ir operacinių kriterijų:
| Vertinimo dimensija | Aegis | 2FAS | Bitwarden | Microsoft | |
|---|---|---|---|---|---|
| Programinės įrangos licencija | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | Uždarasis kodas | Uždarasis kodas |
| Platformų palaikymas | Tik Android | iOS / Android / Plėtiniai | Universali (Web/Desktop/Mobile) | iOS / Android / WearOS | iOS / Android / Apple Watch |
| Debesies sinchronizavimo architektūra | Nėra (100% neprisijungus) | E2EE per iCloud/GDrive | Nulinio žinojimo debesies sinchronizavimas | Google paskyros sinchronizavimas | MS paskyros debesies atsarginė kopija |
| Vietinis šifruotas eksportavimas | AES-GCM / JSON pilnas eksportas | Gimtasis šifruotas .2fas | Šifruotas JSON eksportas | Tik perkėlimo QR kodas | Nėra (visiškai užrakinta) |
| Biometrinis pagrindinis užraktas | Biometrija + saugyklos slaptažodis | Face ID / piršto atspaudas / PIN | Biometrija + pagrindinis raktas | Tik sistemos užrakto ekranas | Tik įrenginio užrakto ekranas |
| Darbalaukio integracija | Nėra (nepriklausoma programėlė) | Naršyklės plėtinys + suporavimas | Gimtosios programos + naršyklės plėtiniai | Nėra oficialios darbalaukio programos | Tik Edge naršyklės automatinis užpildymas |
| Automatinis užpildymas kompiuteryje | Rankinis nurašymas iš telefono | Pranešimas patvirtinimui telefonu | Momentinis naršyklės automatinis užpildymas | Rankinis nurašymas iš telefono | Rankinis nurašymas iš telefono |
| Migravimo perkeliamumas | Paprasta (universalus JSON) | Paprasta (importuoja viską) | Didelis (standartinis JSON) | Vidutinis (QR nuskaitymas) | Priešiškas (jokio kryžminio OS palaikymo) |
| Kaina / Monetizavimas | 100% nemokama visada | 100% nemokama visada | Nemokama bazė; TOTP \$10/metams | Nemokama | Nemokama |
04. Išsami programėlių analizė ir architektūra
1. Aegis Authenticator: Suvereni Android saugumo tvirtovė
„Aegis“ yra ypač vertinama saugumo tyrėjų, nes jos kriptografinė architektūra yra nepriekaištinga. Saugyklos raktas išvedamas naudojant Argon2id (Password Hashing Competition laimėjusį atmintyje imlų algoritmą) ir užšifruojamas naudojant AES-256 GCM režimu. Net jei užpuolikas gautų jūsų įrenginio saugyklos atvaizdą per fizinį išgavimą, saugyklos slaptažodžio atranka (brute-force) yra skaičiavimo požiūriu neįgyvendinama.
• Jokių interneto prieigos leidimų „Android Manifest“ faile;
• Automatizuotos periodinės šifruotos atsarginės kopijos į pasirinktą saugyklą arba „Nextcloud“;
• Gausūs piktogramų rinkiniai, pasirinktinės etiketės ir žetonų paieška.
• Tik „Android“ platformai (nėra „iOS“ ar kompiuterio versijos);
• Reikalinga asmeninė atsakomybė už atsarginių kopijų saugojimo vietą debesyje.
2. 2FAS Authenticator: Universalus kelių platformų etalonas
„2FAS“ sujungia bekompromisį saugumą ir kasdienį patogumą. Programėlė nereikalauja vartotojo paskyros ar telefono numerio registracijos. Atsarginės kopijos debesyje naudoja „iCloud“ arba „Google Drive“ konteinerius, užšifruotus kliento pusėje pagrindiniu slaptažodžiu prieš išsiunčiant iš įrenginio.
• Vieninga, moderni vartotojo sąsaja „iOS“ ir „Android“ sistemose;
• Inovatyvus „2FAS“ naršyklės plėtinys: išsiunčia pranešimą į telefoną žetono patvirtinimui kompiuteryje;
• Išsamios importavimo galimybės iš „Google Authenticator“, „Authy“ ir „Aegis“.
• Debesies sinchronizavimas veikia atskirose OS ekosistemose (nėra tiesioginio tiesioginio sinchronizavimo tarp „iPhone“ ir „Android“ įrenginio be rankinio failo eksportavimo).
3. Bitwarden (Premium): Didžiausias darbo efektyvumas ir MFA dilema
„Bitwarden“ integruotas TOTP variklis yra vartotojo ergonomikos viršūnė. Įvedant prisijungimo duomenis svetainėje, „Bitwarden“ automatiškai nukopijuoja aktyvų 6 skaitmenų TOTP kodą į iškarpinę arba automatiškai užpildo 2FA įvesties laukelį pateikimo metu.
Pirmojo veiksnio (slaptažodžio) ir antrojo veiksnio (TOTP pradinės reikšmės) saugojimas toje pačioje duomenų bazėje pažeidžia klasikinį veiksnių atskyrimo principą. Jei pagrindinis saugyklos slaptažodis būtų pažeistas be aparatinio rakto apsaugos, užpuolikas gautų abu veiksnius vienu metu. Praktinis sprendimas: Apsaugokite pačią „Bitwarden“ saugyklą fiziniu FIDO2 „YubiKey“ raktu.
4. Google Authenticator: Visur paplitęs gigantas
„Google Authenticator“ įdiegtas „Google“ paskyros sinchronizavimas debesyje panaikino istorinę visiško duomenų praradimo problemą pametus telefoną. Visgi tai išlieka uždarojo kodo patentuota programinė įranga. Be to, jei jūsų pagrindinė „Google“ paskyra kada nors būtų sustabdyta, užgrobta ar užblokuota, atgauti prieigą prie TOTP kodų taptų itin sudėtinga.
5. Microsoft Authenticator: Korporacinė tvirtovė su platformų barjerais
Įmonių „Microsoft 365“ / „Entra ID“ aplinkose „Microsoft Authenticator“ yra nepakeičiamas. Jo „Number Matching“ užklausa reikalauja, kad vartotojas įvestų prisijungimo ekrane rodomą dviženklį kodą į savo telefoną, sėkmingai neutralizuojant MFA nuovargio atakas. Tačiau jo vartotojų atsarginių kopijų architektūra turi trūkumų: „iOS“ atsarginės kopijos siunčiamos į asmeninį „iCloud“, o „Android“ – į asmeninę „Microsoft“ paskyrą. Negalite atkurti „iOS“ atsarginės kopijos „Android“ įrenginyje ir atvirkščiai!
05. Naudotojų tipai ir pritaikytos išvados
Rinkitės: Aegis Authenticator. Neprilygstamas kriptografinis saugumas, nulis interneto leidimų, visiškas duomenų perkeliamumas ir atvirojo kodo skaidrumas.
Rinkitės: 2FAS Authenticator. Šiuolaikinis atvirojo kodo dizainas, sklandus naršyklės plėtinys kompiuteriui, E2EE debesies atsarginės kopijos ir visiškas nepriklausomumas nuo paskyrų.
Rinkitės: Bitwarden (Premium). Už \$10 per metus atrakinsite visuotinį automatinį užpildymą visose platformose su greita prieiga prie TOTP.
Rinkitės: Microsoft Authenticator (tik darbo paskyroms). Privaloma organizacijoms, palaikančioms „Entra ID“ be slaptažodžio ir griežtą skaičių sutapdinimo politiką.
05.1 Nešiojami įrenginiai ir atitiktis: „Apple Watch“ vs „Wear OS“ grėsmių modeliavimas
Mobiliems profesionalams autentifikavimas nuo riešo per išmaniuosius laikrodžius suteikia didelį gyvenimo kokybės pagerėjimą, tačiau įveda naujų grėsmių vektorių:
„Apple“ taiko riešo aptikimo biometriją: nuėmus laikrodį nuo riešo, jis akimirksniu užsirakina, o kriptografiniai raktai „Secure Enclave“ tampa neprieinami. Tai užtikrina aukštą fizinės vagystės apsaugą.
„Wear OS“ įrenginiai sinchronizuoja valdiklių plyteles tiesiogiai per „Google Play Services“. Nors tai patogu, programėlės saugumas priklauso nuo bazinės gamintojo PIN apsaugos, kuri gali būti labiau pažeidžiama.
Pagal NIST SP 800-63B standartus, programine įranga pagrįstos TOTP programėlės (tokios kaip „Aegis“ ir „2FAS“) atitinka Authenticator Assurance Level 2 (AAL2) reikalavimus, kai yra apsaugotos įrenginio biometriniu užraktu arba pagrindiniu slaptažodžiu. Organizacijoms, atliekančioms SOC 2 Type II arba ISO 27001 auditą, „Bitwarden“ arba „2FAS“ pritaikymas suteikia audituojamą šifravimo raktų išvedimą, tenkinantį atitikties auditorius be priklausomybės nuo ryšio operatorių.
06. 3-2-1 2FA atsarginių kopijų ir migravimo vadovas
Nepriklausomai nuo to, kurią programėlę pasirinksite, jūsų avarinio atkūrimo planas privalo išlikti veiksmingas aparatūros gedimo, vagystės ar paskyros blokavimo atveju. Pritaikykite 3-2-1 atsarginių kopijų taisyklę savo 2FA ciklui:
Aktyvi žetonų duomenų bazė jūsų pagrindiniame telefone, vienas šifruotas eksporto failas ir viena antrinė atsarginė kopija neprisijungus.
Vienas skaitmeninis šifruotas failas („VeraCrypt“ USB laikmenoje arba E2EE debesyje) ir viena fizinė laikmena (popierinis žurnalas arba plieno plokštelė).
Saugokite ranka surašytus pagrindinius avarinio atkūrimo kodus ugniai atspariame seife arba saugioje banko dėžutėje.
07. Dažniausiai užduodami klausimai (DUK)
1 klausimas: Kodėl kai kurios 2FA programėlės blokuoja ekrano kopijas „Android“ sistemoje? ▼
Tokios programėlės kaip „Aegis“ naudoja „Android OS“ FLAG_SECURE atributą. Tai neleidžia kenkėjiškai programinei įrangai, foninėms šnipinėjimo programoms ir nesaugioms pritaikymo neįgaliesiems paslaugoms daryti ekrano kopijų ar įrašyti ekrano vaizdo, kol rodomi jūsų slaptieji raktai ar kodai.
2 klausimas: Ar autentifikavimo programėlėms reikia mobiliųjų duomenų arba „Wi-Fi“, kad generuotų kodus? ▼
Ne. RFC 6238 TOTP kodai apskaičiuojami griežtai pačiame įrenginyje, naudojant vietinius procesoriaus resursus. Vieninteliai įvesties duomenys yra jūsų įrenginio laikrodžio laiko žyma ir Base32 bendrasis slaptasis raktas. Autentifikavimo programėlės nepriekaištingai veikia skrydžio režimu (Airplane Mode) net ir be SIM kortelės.
3 klausimas: Ar galiu nuskenuoti tą patį 2FA QR kodą į du skirtingus telefonus? ▼
Taip! Kai paslauga parodo 2FA QR kodą, nuskenuokite jį vienu metu tiek savo pagrindiniu telefonu, tiek antriniu atsarginiu telefonu. Abu įrenginiai sinchroniškai generuos identiškus 6 skaitmenų kodus, užtikrindami momentinį aparatinį dubliavimą.
4 klausimas: Kaip eksportuoti paskyras iš „Google Authenticator“ į „2FAS“ arba „Aegis“? ▼
Programėlėje „Google Authenticator“ bakstelėkite meniu ir pasirinkite „Perkelti paskyras“ -> „Eksportuoti paskyras“. „Google“ sugeneruos eksporto QR kodą. „2FAS“ arba „Aegis“ programėlėje pasirinkite „Importuoti“ -> „Google Authenticator“ ir nuskenuokite tą QR kodą, kad per kelias sekundes perkeltumėte visas paskyras.
Generuokite ir tikrinkite 2FA kodus tiesiog savo naršyklėje
Reikia greitai apskaičiuoti autentifikavimo žetoną arba patikrinti slaptosios pradinės reikšmės tikslumą neįdiegiant programėlės? 2FA-Tool vykdo RFC 6238 algoritmą tiesiogiai jūsų naršyklės atmintyje.