Tofaktorautentisering (2FA) er ikke lenger en valgfri luksus – det er grunnleggende digital hygiene. Likevel står brukere overfor vanskelige dilemmaer: Skaper skysynkronisering en uovervåket bakdør? Kan du migrere kodene dine hvis du bytter fra iPhone til Android? Samler lukkede kommersielle apper inn telemetridata? Ødelegger det konseptet med flerlagsforsvar å samle 2FA i en passordbehandler?
Etter at Twilio Authy la ned sine skrivebordsapper og ble rammet av høyprofilerte API-lekkasjer, har autentiseringsøkosystemet endret seg fundamentalt i 2026. Denne omfattende analysen evaluerer de fem definerende appene – Aegis, 2FAS, Bitwarden, Google Authenticator og Microsoft Authenticator – og stresstester deres kryptografiske fundament, sikkerhetskopiering og motstandsdyktighet mot trusler.
01. Post-Authy-æraen i 2026: Viktige lærdommer
I nesten et tiår var Twilio Authy standardanbefalingen for vanlige brukere takket være synkronisering på tvers av enheter. Authys utvikling ga imidlertid cybersikkerhetsmiljøet tre alvorlige advarsler:
- Fellen med proprietær innlåsing: Authy nektet bevisst brukere å eksportere rå Base32-hemmeligheter eller JSON-hvelv, og låste millioner av brukere inne i et lukket økosystem;
- Brå avvikling av skrivebordsapper: I 2024 avviklet Twilio offisielt Authy for Windows og macOS, noe som etterlot skrivebordsbrukere uten støtte;
- Sårbarhet ved sentralisert sky: Flere sikkerhetsbrudd mot Twilios infrastruktur eksponerte telefonnumre og metadata, og beviste at sentralisert synkronisering på serversiden er en magnet for angrep.
02. Oversikt over de 5 tungvekterne
Gullstandarden for personvern og sikkerhet på Android. Kjører 100 % frakoblet uten telemetri, med robust AES-256-GCM hvelvkryptering og automatiske sikkerhetskopier via Android Storage Access Framework (SAF).
Den nye åpne kildekode-favoritten for iOS og Android. Krever ingen konto, tilbyr klientside ende-til-ende-kryptert skysikkerhetskopiering (iCloud og Google Drive) og sømløse nettleserutvidelser.
Integrert passord- og TOTP-hvelv. Gir umiddelbar autofyll på tvers av alle plattformer, med full støtte for egenhosting via Vaultwarden.
Den velkjente originalen. Nå med skysynkronisering via Google-konto og lav bruksterskel, men mangler avansert kategorisering, biometrisk hovedlås og åpen kildekode-verifisering.
Uunnværlig for bedriftsinfrastruktur og Office 365. Dypt integrert med Microsoft Entra ID (Azure AD) og nummersamsvar (number matching) for å stoppe MFA-tretthetsangrep, men lider av isolerte plattformsikkerhetskopier.
03. Mastermatrise: 12-dimensjonal sammenligning
Vårt forskningslaboratorium gransket alle fem utfordrere på tvers av tolv tekniske og operasjonelle kriterier:
| Vurderingsdimensjon | Aegis | 2FAS | Bitwarden | Microsoft | |
|---|---|---|---|---|---|
| Programvarelisens | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | Proprietær lukket | Proprietær lukket |
| Plattformstøtte | Kun Android | iOS / Android / Utvidelser | Universell (Web/Skrivebord/Mobil) | iOS / Android / WearOS | iOS / Android / Apple Watch |
| Skysynkroniseringsarkitektur | Ingen (100 % frakoblet) | E2EE via iCloud/GDrive | Nullkunnskaps-skysynk | Google-kontosynkronisering | MS-konto skysikkerhetskopi |
| Lokal kryptert eksport | AES-GCM / JSON full eksport | Egen kryptert .2fas | Kryptert JSON-eksport | Kun overførings-QR-kode | Ingen (helt låst) |
| Biometrisk hovedlås | Biometri + hvelvpassord | Face ID / fingeravtrykk / PIN | Biometri + hovednøkkel | Kun systemlåseskjerm | Kun enhetslåseskjerm |
| Skjermbildebeskyttelse | Håndhevet (FLAG_SECURE) | Håndhevet som standard | Valgfri bryter | Støttet | Støttet |
| Skrivebordsintegrasjon | Ingen (manuell inntasting) | Push via nettleserutvidelse | Umiddelbar autofyll | Manuell avskrift fra telefon | Manuell avskrift fra telefon |
| Migreringsportabilitet | Enkel (universell JSON) | Enkel (importerer alt) | Høy (standard JSON) | Moderat (QR-tolking) | Ekstremt vanskelig (ingen kryss-OS) |
| Pris / forretningsmodell | 100 % gratis for alltid | 100 % gratis for alltid | Gratis kjerne; TOTP \$10/år | Gratis | Gratis |
04. Grundig appanalyse og arkitektur
1. Aegis Authenticator: Den suverene Android-sikkerhetsfestningen
Sikkerhetsforskere roser Aegis fordi den kryptografiske arkitekturen er uklanderlig. Hvelvnøkkelen utledes ved hjelp av Argon2id (den minnekrevende vinneralgoritmen fra Password Hashing Competition), og krypteres med AES-256 i GCM-modus. Selv om en angriper henter ut en fysisk kopi av enhetslagringen, er det beregningsmessig umulig å knekke hvelvpassordet med brute-force.
• Null internettillatelser i Android Manifest;
• Automatiske krypterte sikkerhetskopier til egendefinert lagring/Nextcloud;
• Rike ikonpakker, egendefinerte etiketter og tokensøk.
• Kun Android (ingen iOS- eller skrivebordsapp);
• Krever eget ansvar for skysikkerhetskopier.
2. 2FAS Authenticator: Den universelle kryssplattform-standarden
2FAS bygger bro mellom streng sikkerhet og hverdagsbekvemmelighet. Appen krever ingen brukerkonto eller registrering av telefonnummer. Skysikkerhetskopier bruker opprinnelige iCloud- eller Google Drive-områder, kryptert på klientsiden med en hovedpassfrase før dataene forlater enheten din.
• Gjennomført, elegant grensesnitt på iOS og Android;
• Innovativ nettleserutvidelse: ber telefonen din godkjenne automatisk utfylling av koder på datamaskinen;
• Omfattende importmuligheter fra Google, Authy og Aegis.
• Skysynkronisering skjer innenfor OS-spesifikke siloer (ingen direkte synkronisering mellom iPhone og Android uten manuell fileksport).
3. Bitwarden (Premium): Maksimal arbeidsflyteffektivitet og MFA-debatten
Bitwardens innebygde TOTP-motor representerer toppen av brukervennlighet. Når du fyller ut påloggingsopplysninger på et nettsted, kopierer Bitwarden automatisk den aktive 6-sifrede TOTP-koden til utklippstavlen, eller fyller ut 2FA-feltet direkte ved innsending.
Å lagre din første faktor (passord) og andre faktor (TOTP-nøkkel) i samme database bryter med det klassiske prinsippet om adskillelse av faktorer. Hvis hovedhvelvpassordet ditt blir kompromittert uten beskyttelse fra en maskinvarenøkkel, får angriperen begge faktorene samtidig. Praktisk tiltak: Beskytt selve Bitwarden-hvelvet ditt med en fysisk FIDO2 YubiKey.
4. Google Authenticator: Den allestedsnærværende giganten
At Google Authenticator la til skysynkronisering via Google-konto eliminerte det historiske problemet med tap av data ved mistet telefon. Det forblir imidlertid lukket proprietær programvare. Hvis den primære Google-kontoen din noen gang blir suspendert, kapret eller utestengt, blir det svært vanskelig å få tilbake tilgangen til TOTP-kodene dine.
5. Microsoft Authenticator: Bedriftsfestning med plattformmurer
I bedriftsmiljøer med Microsoft 365 / Entra ID er Microsoft Authenticator uunnværlig. Funksjonen for "Nummersamsvar" (Number Matching) krever at brukeren taster inn et tosifret tall fra påloggingsskjermen inn på telefonen, noe som effektivt stopper MFA-tretthetsangrep. Sikkerhetskopieringen for forbrukere er imidlertid fragmentert: iOS-sikkerhetskopier lagres i personlig iCloud, mens Android-sikkerhetskopier lagres på personlige Microsoft-kontoer. Du kan ikke gjenopprette en iOS-sikkerhetskopi på en Android-telefon, eller omvendt!
05. Brukerprofiler og skreddersydde vurderinger
Velg: Aegis Authenticator. Uovertruffen kryptografisk sikkerhet, null internettilkobling, åpen kildekode-innsyn og automatisk lokal sikkerhetskopiering.
Velg: 2FAS Authenticator. Moderne åpen kildekode-design, sømløs skrivebordsutvidelse og privat klientside-kryptert skysikkerhetskopiering.
Velg: Bitwarden (Premium). For \$10/år låser du opp universell autofyll på tvers av alle nettlesere og delte organisasjonshvelv.
Velg: Microsoft Authenticator (kun for arbeidskontoer). Obligatorisk for bedriftspålogginger, men behold private bank- og kryptotokener på 2FAS eller Aegis.
05.1 Smartklokker og samsvar: Apple Watch vs Wear OS trusselmodellering
For mobile profesjonelle representerer håndleddsbasert autentisering via smartklokker en stor forbedring i hverdagen. Å vise rullerende TOTP-koder eller godkjenne push-varsler på en smartklokke endrer imidlertid angrepsflaten din:
Apple håndhever biometrisk håndleddsgjenkjenning: straks klokken tas av håndleddet, låses den med PIN-kode. Gjennom kryptert Bluetooth LE-kommunikasjon med iPhones Secure Enclave gir apper som 2FAS og Microsoft Authenticator raske ettrykks-godkjenninger. Trusselvektoren er "shoulder surfing" på offentlig transport, da den 6-sifrede koden eller nummerforespørselen vises tydelig på skjermen.
Wear OS-enheter synkroniserer widgeter direkte med Google Play Services. Selv om dette er praktisk for daglige pålogginger, forblir koder tilgjengelige så lenge klokken er ulåst. Hvis du jobber i miljøer med høye sikkerhetskrav eller administrerer kryptomidler, er beste praksis å deaktivere smartklokkesynkronisering for å unngå fysisk avlytting i nærheten.
Under NIST SP 800-63B oppfyller programvarebaserte TOTP-apper (som Aegis og 2FAS) kravene til Authenticator Assurance Level 2 (AAL2) når de er beskyttet av enhetens biometriske lås eller hovedpassord. For virksomheter som revideres under SOC 2 Type II eller ISO 27001, gir innføring av Bitwarden eller 2FAS reviderbare krypteringsnøkkelutledninger som tilfredsstiller revisorer uten å innføre avhengighet til mobiloperatører.
06. 3-2-1-regelen for 2FA-sikkerhetskopi og migrering
Uansett hvilken app du velger, må beredskapsplanen din tåle maskinvaresvikt, tyveri og kontosperringer. Bruk 3-2-1-regelen på din 2FA-sikkerhetskopi:
Aktiv tokendatabase på hovedtelefonen din, én kryptert eksportfil og én sekundær sikkerhetskopi offline.
Én digital kryptert fil (på en VeraCrypt USB-stasjon eller E2EE-sky) og ett fysisk medium (papirnotatblokk eller stålplate).
Oppbevar håndskrevne nød- og gjenopprettingskoder i en brannsikker safe eller bankboks.
07. Ofte stilte spørsmål (FAQ)
Q1: Hvorfor blokkerer enkelte 2FA-apper skjermbilder på Android? ▼
Apper som Aegis håndhever Android-operativsystemets FLAG_SECURE-egenskap. Dette forhindrer skadevare, bakgrunnsspionprogramvare og ondsinnede tilgjengelighetstjenester fra å ta skjermbilder eller ta opp skjermen din mens hemmelige nøkler eller koder vises.
Q2: Krever autentiseringsapper mobildata eller Wi-Fi for å generere koder? ▼
Nei. RFC 6238 TOTP-koder beregnes utelukkende på enheten ved hjelp av lokale prosessorsykler. De eneste inndataene er enhetens klokketidsstempel og den delte hemmelige Base32-nøkkelen. Autentiseringsapper fungerer perfekt i flymodus uten SIM-kort.
Q3: Kan jeg skanne samme 2FA-QR-kode inn på to forskjellige telefoner? ▼
Ja! Når en tjeneste viser en 2FA-QR-kode, skanner du den samtidig på både din primære telefon og en sekundær reservetelefon. Begge enhetene vil generere nøyaktig de samme 6-sifrede kodene synkront, noe som gir en umiddelbar maskinvarereserve.
Q4: Hvordan eksporterer jeg kontoene mine fra Google Authenticator til 2FAS eller Aegis? ▼
I Google Authenticator trykker du på menyen og velger "Overfør kontoer" -> "Eksporter kontoer". Google genererer en eksport-QR-kode. I 2FAS eller Aegis velger du "Importer" -> "Google Authenticator" og skanner den QR-koden for å overføre alle kontoene dine på få sekunder.
Generer og verifiser 2FA-koder direkte i nettleseren din
Trenger du å beregne et autentiseringstoken raskt eller verifisere nøyaktigheten til en hemmelig nøkkel uten å installere en app? 2FA-Tool kjører RFC 6238-algoritmen direkte i nettleserminnet ditt.