Divfaktoru autentifikācija (2FA) vairs nav izvēles greznība — tā ir digitālās higiēnas pamatprasība. Tomēr lietotāji saskaras ar kritiskām dilemmām: Vai mākoņa sinhronizācija rada nekontrolētas aizmugurdurvis? Vai varat migrēt savus marķierus, pārejot no iPhone uz Android? Vai slēgtā koda komerciālās lietotnes ievāc telemetriju? Vai 2FA apvienošana paroļu pārvaldniekā iznīcina daudzfaktoru aizsardzības koncepciju?
Līdz ar Twilio Authy darbvirsmas lietotņu slēgšanu un plaši izskanējušajām API noplūdēm, autentifikatoru ekosistēma 2026. gadā ir būtiski mainījusies. Šajā visaptverošajā analīzē tiek vērtētas piecas noteicošās lietotnes — Aegis, 2FAS, Bitwarden, Google Authenticator un Microsoft Authenticator —, pārbaudot to kriptogrāfisko pamatu, dublēšanas ergonomiku un noturību pret draudiem.
01. Post-Authy ēra 2026. gadā: gūtās mācības
Gandrīz desmit gadus Twilio Authy bija noklusējuma ieteikums plašai auditorijai vairāku ierīču sinhronizācijas dēļ. Tomēr Authy attīstības gaita kiberdrošības sabiedrībai sniedza trīs skarbas mācības:
- Slēgtās ekosistēmas lamatas: Authy apzināti liedza lietotājiem eksportēt neapstrādātas Base32 slepenās atslēgas vai JSON glabātavas, iesprostojot miljoniem lietotāju slēgtā sistēmā;
- Pēkšņa darbvirsmas atbalsta pārtraukšana: 2024. gadā Twilio oficiāli pārtrauca Authy atbalstu operētājsistēmām Windows un macOS, atstājot darbvirsmas lietotājus bez risinājuma;
- Centralizēta mākoņa ievainojamība: Vairāki drošības pārkāpumi Twilio infrastruktūrā atklāja tālruņu numurus un marķieru metadatus, pierādot, ka centralizēta servera puses sinhronizācija ir uzbrukumu magnēts.
02. 5 vadošo pretendentu pārskats
Zelta standarts Android privātumam un drošībai. Darbojas pilnīgi bezsaistē (air-gapped) bez telemetrijas, ar spēcīgu AES-256-GCM glabātavas šifrēšanu un automatizētu Android Storage Access Framework (SAF) dublēšanu.
Jaunais atvērtā pirmkoda līderis operētājsistēmām iOS un Android. Nulle obligātu kontu, klienta puses pilnīga šifrēšana (E2EE) mākoņa dublējumiem (iCloud un Google Drive) un ērts darbvirsmas pārlūkprogrammas paplašinājums.
Integrēta paroļu un TOTP glabātava. Nodrošina tūlītēju automātisko aizpildi bez papildu klikšķiem visās galddatoru un mobilo ierīču platformās, ar pilnu pašmitināšanas (self-hosting) atbalstu, izmantojot Vaultwarden.
Visuresošais oriģināls. Tagad piedāvā Google konta mākoņa sinhronizāciju un minimālistisku saskarni, taču tam trūkst uzlabotas kategorizēšanas, biometriskās galvenās bloķēšanas un atvērtā pirmkoda pārbaudes.
Būtisks uzņēmuma infrastruktūrai un Office 365. Dziļi integrēts ar Microsoft Entra ID (Azure AD) un numuru saskaņošanu (number matching), lai novērstu MFA nogurumu, taču cieš no izolētas platformu dublēšanas.
03. Galvenā 12 dimensiju salīdzināšanas matrica
Mūsu pētniecības laboratorija auditēja visus piecus pretendentus pēc divpadsmit tehniskajiem un darbības kritērijiem:
| Novērtēšanas dimensija | Aegis | 2FAS | Bitwarden | Microsoft | |
|---|---|---|---|---|---|
| Programmatūras licence | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | Slēgta patentēta | Slēgta patentēta |
| Platformu pieejamība | Tikai Android | iOS / Android / Paplašinājumi | Universāla (Web/Desktop/Mobile) | iOS / Android / WearOS | iOS / Android / Apple Watch |
| Mākoņa sinhronizācijas arhitektūra | Nav (100% bezsaistē) | E2EE caur iCloud/GDrive | Nulles zināšanu mākoņa sinhronizācija | Google konta sinhronizācija | MS konta mākoņa dublējums |
| Lokālais šifrētais eksports | AES-GCM / JSON pilns eksports | Vietējais šifrētais .2fas | Šifrēts JSON eksports | Tikai pārsūtīšanas QR kods | Nav (pilnībā bloķēts) |
| Biometriskā galvenā slēdzene | Biometrija + glabātavas parole | Face ID / pirkstu nospiedums / PIN | Biometrija + galvenā atslēga | Tikai sistēmas bloķēšanas ekrāns | Tikai ierīces bloķēšanas ekrāns |
| Ekrānuzņēmumu aizsardzība | Piespiedu (FLAG_SECURE) | Iespējota pēc noklusējuma | Konfigurējams slēdzis | Atbalstīts | Atbalstīts |
| Darbvirsmas integrācija | Nav (manuāla ievade) | Pārlūka paplašinājuma paziņojums | Tūlītēja pārlūka automātiskā aizpilde | Manuāla pārrakstīšana no tālruņa | Manuāla pārrakstīšana no tālruņa |
| Migrācijas pārnesamība | Vienkārša (universāls JSON) | Vienkārša (importē visu) | Augsta (standarta JSON) | Vidēja (QR parsēšana) | Sarežģīta (nulle starp-OS iespēju) |
| Cenas / Monetizācija | 100% bez maksas uz visiem laikiem | 100% bez maksas uz visiem laikiem | Bezmaksas bāze; TOTP \$10/gadā | Bez maksas | Bez maksas |
04. Padziļināta lietotņu analīze un arhitektūra
1. Aegis Authenticator: Neatkarīgs Android drošības cietoksnis
Aegis saņem augstu drošības pētnieku novērtējumu nevainojamās kriptogrāfiskās arhitektūras dēļ. Glabātavas atslēga tiek iegūta, izmantojot Argon2id (Password Hashing Competition uzvarējušo atmiņas ietilpīgo algoritmu), un šifrēta ar AES-256 GCM režīmā. Pat ja uzbrucējs fiziskas ieguves ceļā iegūst ierīces krātuves attēlu, glabātavas paroles brutāla uzlaušana ir skaitļošanas ziņā neiespējama.
• Android Manifest nav pieprasītas interneta atļaujas;
• Automatizēta regulāra šifrēta dublēšana pielāgotā krātuvē vai Nextcloud;
• Bagātīgas ikonu pakotnes, pielāgotas etiķetes un marķieru meklēšana.
• Tikai Android (nav iOS vai darbvirsmas pavadoņa);
• Nepieciešama manuāla atbildība par mākoņa dublēšanas atrašanās vietām.
2. 2FAS Authenticator: Universālais starpplatformu standarts
2FAS savieno bezkompromisa drošību un ikdienas lietošanas ērtumu. Lietotnei nav nepieciešama konta izveide vai tālruņa numura reģistrācija. Mākoņa dublējumi izmanto vietējos iCloud vai Google Drive konteinerus, kas tiek šifrēti klienta pusē ar galveno paroli, pirms tie pamet ierīci.
• Konsekventa, noslīpēta vietējā saskarne iOS un Android;
• Novatorisks 2FAS pārlūkprogrammas paplašinājums: aicina tālruni apstiprināt marķieru automātisko aizpildi darbvirsmas vietnēs;
• Visaptverošas importēšanas iespējas no Google, Authy un Aegis.
• Mākoņa sinhronizācija darbojas operētājsistēmas ietvaros (nav tiešas reāllaika sinhronizācijas starp iPhone un Android ierīci bez manuālas failu eksportēšanas).
3. Bitwarden (Premium): Maksimāla darba efektivitāte un MFA debates
Bitwarden iebūvētais TOTP dzinējs ir lietotāja ergonomikas virsotne. Iesniedzot akreditācijas datus vietnē, Bitwarden automātiski nokopē aktīvo 6 ciparu TOTP kodu starpliktuvē vai tieši aizpilda 2FA ievades lauku.
Pirmā faktora (paroles) un otrā faktora (TOTP sēklas) glabāšana vienā datubāzē pārkāpj klasisko faktoru nošķiršanu. Ja jūsu galvenā glabātavas parole tiek kompromitēta bez aparatūras atslēgas barjeras, pretinieks vienā piegājienā iegūst abus faktorus. Pragmatisks risinājums: Aizsargājiet pašu Bitwarden glabātavu ar fizisku FIDO2 YubiKey.
4. Google Authenticator: Visuresošais gigants
Google Authenticator pievienotā Google konta mākoņa sinhronizācija novērsa vēsturisko problēmu ar pilnīgu datu zudumu, pazaudējot tālruni. Tomēr tā joprojām ir slēgtā pirmkoda patentēta programmatūra. Turklāt, ja jūsu primārais Google konts tiek apturēts, uzlauzts vai bloķēts, piekļuves atgūšana TOTP kodiem kļūst par ārkārtīgi sarežģītu pārbaudījumu.
5. Microsoft Authenticator: Korporatīvais cietoksnis ar platformu robežām
Korporatīvajās Microsoft 365 / Entra ID vidēs Microsoft Authenticator ir neaizstājams. Tā funkcija "Number Matching" (numuru saskaņošana) pieprasa lietotājiem ievadīt divciparu kodu no pieteikšanās ekrāna savā tālrunī, veiksmīgi neitralizējot MFA noguruma uzbrukumus. Tomēr tā patērētāju dublēšanas arhitektūra ir nepilnīga: iOS dublējumi nonāk personīgajā iCloud, savukārt Android dublējumi — personīgajā Microsoft kontā. Jūs nevarat atjaunot iOS dublējumu Android ierīcē vai otrādi!
05. Lietotāju tipi un pielāgoti spriedumi
Izvēlieties: Aegis Authenticator. Nepārspējama kriptogrāfiskā drošība, nulle interneta savienojumu, atvērtā koda caurspīdīgums un automatizēti vietējie dublējumi.
Izvēlieties: 2FAS Authenticator. Mūsdienīgs atvērtā koda dizains, ērts pārlūka paplašinājums un privāti, klienta pusē šifrēti mākoņa dublējumi.
Izvēlieties: Bitwarden (Premium). Par \$10/gadā jūs iegūstat universālu automātisko aizpildi visās pārlūkprogrammās un koplietojamās organizācijas kolekcijas.
Izvēlieties: Microsoft Authenticator (tikai darba kontiem). Obligāts uzņēmuma pieteikumiem, bet personīgo banku un kriptovalūtu marķierus glabājiet 2FAS vai Aegis.
05.1 Viedpulksteņi un atbilstība: Apple Watch pret Wear OS draudu modelēšana
Mobilajiem profesionāļiem autentifikācija no plaukstas locītavas ar viedpulksteņiem sniedz ievērojamu ērtību pieaugumu. Tomēr mainīgo TOTP marķieru rādīšana vai pašpiegādes paziņojumu apstiprināšana viedpulkstenī maina jūsu darbības draudu virsmu:
Apple nodrošina plaukstas locītavas noteikšanas biometriju: noņemot pulksteni no rokas, tas nekavējoties tiek bloķēts ar PIN kodu. Sazinoties caur šifrētu Bluetooth LE ar iPhone Secure Enclave, tādas lietotnes kā 2FAS un Microsoft Authenticator ļauj veikt ātru apstiprināšanu ar vienu pieskārienu. Galvenais drauds ir skatīšanās pār plecu (shoulder surfing) sabiedriskajā transportā, jo 6 ciparu kods tiek skaidri parādīts neaizsegtā ekrānā.
Wear OS ierīces sinhronizē logrīkus tieši ar Google Play pakalpojumiem. Lai gan tas ir ērti ikdienas pieteikšanās procesam, marķieri ir pieejami tik ilgi, kamēr pulkstenis ir atbloķēts. Ja strādājat augstas drošības vidē vai pārvaldāt kriptovalūtu kases operācijas, labākā prakse ir atspējot sinhronizāciju ar viedpulksteni, lai novērstu fiziskās tuvuma datu pārtveršanu.
Saskaņā ar NIST SP 800-63B standartiem uz programmatūru balstītas TOTP lietotnes (piemēram, Aegis un 2FAS) atbilst Authenticator Assurance Level 2 (AAL2) prasībām, ja tās ir aizsargātas ar ierīces biometrisko bloķēšanu vai galveno paroli. Organizācijām, kuras auditē saskaņā ar SOC 2 Type II vai ISO 27001, Bitwarden vai 2FAS ieviešana nodrošina auditējamu šifrēšanas atslēgu atvasināšanu, kas apmierina atbilstības auditorus, neradot atkarību no mobilo sakaru operatoriem.
06. 3-2-1 2FA dublēšanas un migrācijas rokasgrāmata
Neatkarīgi no tā, kuru lietotni izvēlaties, jūsu avārijas atjaunošanas plānam ir jāiztur aparatūras kļūmes, zādzība un konta bloķēšana. Pielietojiet 3-2-1 dublēšanas noteikumu savam 2FA dzīves ciklam:
Aktīvā marķieru datubāze galvenajā tālrunī, viens šifrēts eksporta fails un viens bezsaistes sekundārais dublējums.
Viens digitāls šifrēts fails (VeraCrypt USB diskdzinī vai E2EE mākonī) un viens fizisks datu nesējs (papīra žurnāls vai tērauda plāksne).
Glabājiet ar roku rakstītos galvenos ārkārtas atkopšanas kodus ugunsdrošā seifā vai bankas seifā.
07. Bieži uzdotie jautājumi (BUJ)
1. jautājums: Kāpēc dažas 2FA lietotnes operētājsistēmā Android bloķē ekrānuzņēmumus? ▼
Tādas lietotnes kā Aegis izmanto Android OS atribūtu FLAG_SECURE. Tas neļauj ļaunprātīgai programmatūrai, fona spiegprogrammatūrai un ļaunprātīgiem piekļūstamības pakalpojumiem uzņemt ekrānuzņēmumus vai ierakstīt ekrānu, kamēr tiek rādītas jūsu slepenās atslēgas vai kodi.
2. jautājums: Vai autentifikatoru lietotnēm koda ģenerēšanai ir nepieciešami mobilie dati vai Wi-Fi? ▼
Nē. RFC 6238 TOTP kodi tiek aprēķināti tikai un vienīgi pašā ierīcē, izmantojot lokālos procesora ciklus. Vienīgā ievade ir jūsu ierīces pulksteņa laika zīmogs un Base32 kopīgā slepenā atslēga. Autentifikatoru lietotnes lieliski darbojas lidmašīnas režīmā bez SIM kartes.
3. jautājums: Vai varu skenēt vienu un to pašu 2FA QR kodu divos dažādos tālruņos? ▼
Jā! Kad pakalpojums parāda 2FA QR kodu, skenējiet to vienlaikus gan primārajā tālrunī, gan sekundārajā rezerves tālrunī. Abas ierīces ģenerēs tieši tādus pašus 6 ciparu kodus sinhroni, nodrošinot tūlītēju aparatūras kļūmjpārlēci.
4. jautājums: Kā eksportēt savus kontus no Google Authenticator uz 2FAS vai Aegis? ▼
Lietotnē Google Authenticator pieskarieties izvēlnei un izvēlieties "Pārsūtīt kontus" -> "Eksportēt kontus". Google ģenerē eksporta QR kodu. Lietotnē 2FAS vai Aegis atlasiet "Importēt" -> "Google Authenticator" un noskenējiet šo QR kodu, lai dažu sekunžu laikā pārsūtītu visus savus kontus.
Ģenerējiet un pārbaudiet 2FA kodus tieši savā pārlūkprogrammā
Vai nepieciešams ātri aprēķināt autentifikācijas marķieri vai pārbaudīt slepenās sēklas precizitāti bez lietotnes instalēšanas? 2FA-Tool izpilda RFC 6238 algoritmu tieši jūsu pārlūkprogrammas atmiņā.