Dvofaktorska avtentikacija (2FA) ni več le izbira — je temelj digitalne higiene. Vendar pa se uporabniki soočajo s ključnimi dilemami: Ali sinhronizacija v oblaku odpira nenadzorovan stranski vhod? Ali lahko prenesete svoje žetone, če preidete z iPhona na Android? Ali zaprte komercialne aplikacije zbirajo telemetrične podatke? Ali združevanje 2FA v upravitelju gesel uniči koncept večfaktorske zaščite?
Po ukinitvi namiznih aplikacij Twilio Authy in odmevnih vdorih v API leta 2024 se je ekosistem avtentifikatorjev v letu 2026 popolnoma preoblikoval. Ta obsežna analiza ocenjuje pet ključnih aplikacij — Aegis, 2FAS, Bitwarden, Google Authenticator in Microsoft Authenticator — ter temeljito preizkuša njihove kriptografske temelje, enostavnost varnostnega kopiranja in odpornost proti sodobnim grožnjam.
01. Obdobje po aplikaciji Authy v letu 2026: Pridobljena spoznanja
Skoraj celo desetletje je bil Twilio Authy privzeto priporočilo za večino uporabnikov zaradi priročne sinhronizacije med napravami. Vendar pa je usoda Authyja skupnosti za kibernetsko varnost prinesla tri resne nauke:
- Past lastniškega zaklepa (Lock-in): Authy je uporabnikom namerno onemogočil izvoz surovih skrivnih ključev Base32 ali trezorjev v zapisu JSON, s čimer je milijone ujel v zaprt ekosistem;
- Nenadna ukinitev namiznih aplikacij: Leta 2024 je Twilio ukinil Authy za sisteme Windows in macOS, kar je prizadelo številne strokovnjake, ki delajo na računalnikih;
- Ranljivost centraliziranega oblaka: Večkratni vdori v infrastrukturo družbe Twilio so razkrili telefonske številke in metapodatke žetonov, kar dokazuje, da je centralizirana strežniška sinhronizacija privlačna tarča za napadalce.
02. Pregled 5 vodilnih tekmecev
Zlati standard za zasebnost in varnost v sistemu Android. Deluje popolnoma brez internetne povezave (air-gapped) brez telemetrije, z močnim šifriranjem trezorja AES-256-GCM in samodejnim varnostnim kopiranjem prek sistema Android Storage Access Framework (SAF).
Vodilni odprtokodni prvak za iOS in Android. Ne zahteva registracije uporabniškega računa, ponuja varnostno kopiranje v oblak, šifrirano na strani odjemalca (iCloud in Google Drive), ter odlično razširitev za namizne spletne brskalnike.
Združen trezor gesel in ključev TOTP. Omogoča takojšnje samodejno izpolnjevanje z enim klikom na vseh namiznih in mobilnih platformah, s popolno podporo za lastno gostovanje prek sistema Vaultwarden.
Vseprisotni izvirnik. Zdaj vključuje sinhronizacijo z računom Google in preprost vmesnik, vendar mu manjkajo napredno razvrščanje, biometrični glavni zaklep in neodvisno revidirana odprta koda.
Bistven za poslovno infrastrukturo in zbirko Office 365. Močno povezan z Microsoft Entra ID (Azure AD) z ujemanjem številk za preprečevanje napadov z utrujanjem MFA, vendar ga bremenijo nezdružljive varnostne kopije med sistemoma iOS in Android.
03. Glavna primerjalna matrika z 12 merili
Naš raziskovalni laboratorij je preizkusil vseh pet aplikacij po dvanajstih tehničnih in operativnih merilih:
| Ocenjevalni vidik | Aegis | 2FAS | Bitwarden | Microsoft | |
|---|---|---|---|---|---|
| Licenca programske opreme | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | Zaprta lastniška | Zaprta lastniška |
| Podprte platforme | Samo Android | iOS / Android / Razširitve | Univerzalno (splet/namizje/mobilno) | iOS / Android / WearOS | iOS / Android / Apple Watch |
| Sinhronizacija v oblaku | Brez (100 % brez povezave) | E2EE prek iCloud/GDrive | Oblak z ničelnim znanjem | Prek računa Google | Varnostna kopija z računom MS |
| Lokalni šifrirani izvoz | AES-GCM / Poln JSON | Izvirna datoteka .2fas | Šifriran izvoz v JSON | Samo koda QR za prenos | Brez (Zaklenjeno) |
| Biometrični glavni zaklep | Biometrija + geslo trezorja | Face ID / Prstni odtis / PIN | Biometrija + glavni ključ | Samo zaklepanje naprave | Samo zaklepanje naprave |
| Zaščita pred posnetki zaslona | Uveljavljeno (FLAG_SECURE) | Privzeto uveljavljeno | Nastavljivo stikalo | Podprto | Podprto |
| Namizna integracija | Brez (Ročni vnos) | Potisno obvestilo brskalnika | Samodejno izpolnjevanje z 1 klikom | Ročni prepis s telefona | Ročni prepis s telefona |
| Prenosljivost ob migraciji | Enostavna (Univerzalni JSON) | Enostavna (Uvozi vse) | Visoka (Standardni JSON) | Zmerna (Branje kod QR) | Sovražna (Med OS nemogoča) |
| Model zaračunavanja | 100 % brezplačno za vedno | 100 % brezplačno za vedno | Osnova brezplačna; TOTP 10 $/leto | Brezplačno | Brezplačno |
04. Poglobljena analiza arhitekture aplikacij
1. Aegis Authenticator: Suverena varnostna trdnjava za Android
Varnostni strokovnjaki izjemno cenijo Aegis zaradi njegove neoporečne kriptografske zgradbe. Ključ trezorja je izpeljan z algoritmom Argon2id (zmagovalnim algoritmom tekmovanja Password Hashing Competition z visokimi zahtevami po pomnilniku) ter šifriran z AES-256 v načinu GCM. Tudi če napadalec pridobi posnetek pomnilnika naprave s fizičnim izpisom, je napad s surovo silo na geslo trezorja računsko neizvedljiv.
• Brez internetnih dovoljenj v manifestu za Android;
• Samodejne periodične šifrirane varnostne kopije na poljubno shrambo ali Nextcloud;
• Bogati paketi ikon, oznake po meri in hitro iskanje žetonov.
• Izključno za sistem Android (brez podpore za iOS ali namizne računalnike);
• Zahteva lastno skrb za lokacijo varnostnih kopij v oblaku.
2. 2FAS Authenticator: Univerzalno medplatformno merilo
2FAS uspešno premošča vrzel med popolno varnostjo in vsakodnevnim udobjem. Aplikacija ne zahteva uporabniškega računa ali registracije telefonske številke. Varnostne kopije v oblaku uporabljajo izvirna vsebnika iCloud ali Google Drive ter so šifrirane na strani odjemalca z vašim glavnim geslom, preden zapustijo napravo.
• Izbrušen, usklajen uporabniški vmesnik na sistemih iOS in Android;
• Inovativna razširitev za brskalnik 2FAS: pošlje poziv na telefon za odobritev samodejnega vnosa žetona na namiznih straneh;
• Široke možnosti uvoza iz Google Authenticator, Authy in Aegis.
• Sinhronizacija v oblaku deluje le znotraj istega operacijskega sistema (brez neposredne sprotne sinhronizacije med napravama iPhone in Android brez ročnega izvoza datoteke).
3. Bitwarden (Premium): Vrhunska delovna učinkovitost in razprava o MFA
Vgrajeni modul TOTP v sistemu Bitwarden predstavlja vrhunec ergonomske uporabnosti. Ko vnesete poverilnice na spletni strani, Bitwarden samodejno kopira veljavno 6-mestno kodo TOTP v odložišče ali pa jo ob oddaji neposredno samodejno izpolni v polje za 2FA.
Shranjevanje prvega faktorja (gesla) in drugega faktorja (začetnega ključa TOTP) v isti zbirki podatkov krši načelo ločevanja faktorjev. Če napadalec pridobi vaše glavno geslo brez strojne zaščite, z enim vdorom pridobi oba faktorja. Praktična rešitev: Zavarujte sam trezor Bitwarden s fizičnim varnostnim ključem FIDO2 YubiKey.
4. Google Authenticator: Vseprisotni velikan
Uvedba sinhronizacije z računom Google je rešila zgodovinsko težavo popolne izgube podatkov ob zamenjavi telefona. Vendar ostaja zaprta lastniška programska oprema. Poleg tega je v primeru blokade, preklica ali vdora v vaš primarni račun Google ponovna pridobitev dostopa do kod TOTP izjemno zapletena.
5. Microsoft Authenticator: Poslovna trdnjava z medplatformnimi zidovi
V poslovnih okoljih Microsoft 365 / Entra ID je Microsoft Authenticator nepogrešljiv. Njegov poziv za »ujemanje številk« (Number Matching) zahteva, da uporabnik v telefon vpiše dvomestno številko z zaslona, kar uspešno zaustavi napade z utrujanjem MFA. Vendar pa ima potrošniško varnostno kopiranje veliko slabost: varnostne kopije v sistemu iOS gredo v osebni iCloud, v sistemu Android pa v osebni račun Microsoft. Varnostne kopije iz sistema iOS ni mogoče obnoviti v sistemu Android in obratno!
05. Uporabniški profili in prilagojene razsodbe
Izberite: Aegis Authenticator. Neprekosljiva kriptografska varnost, delovanje povsem brez spleta, odprtokodna preglednost in samodejne lokalne varnostne kopije.
Izberite: 2FAS Authenticator. Sodoben odprtokoden videz, brezhibna integracija z namiznim brskalnikom in varne varnostne kopije v oblaku, šifrirane neposredno v napravi.
Izberite: Bitwarden (Premium). Za 10 $/leto dobite univerzalno samodejno izpolnjevanje v vseh brskalnikih in skupne organizacijske zbirke.
Izberite: Microsoft Authenticator (samo za službene račune). Obvezen za prijave v podjetju, osebne bančne in kriptožetone pa raje hranite v aplikacijah 2FAS ali Aegis.
05.1 Nosljive naprave in skladnost: Modeliranje groženj Apple Watch proti Wear OS
Za mobilne strokovnjake je preverjanje pristnosti na zapestju s pametno uro zelo priročno. Vendar pa prikazovanje kod TOTP ali potrjevanje potisnih obvestil na uri spreminja vaš profil tveganja:
Apple uveljavlja zaznavanje nošenja na zapestju: ko uro snamete z roke, se nemudoma zaklene s kodo PIN. Prek šifrirane povezave Bluetooth LE z varnostnim elementom Secure Enclave v iPhonu aplikacije, kot sta 2FAS in Microsoft Authenticator, omogočajo hitro potrditev z enim dotikom. Glavna nevarnost ostaja opazovanje čez ramo (shoulder surfing) na javnih mestih, saj je 6-mestna koda jasno prikazana na odprtem zaslonu.
Naprave z Wear OS sinhronizirajo gradnike neposredno prek storitev Google Play. Čeprav je to priročno pri vsakodnevnih prijavah, ostajajo žetoni dostopni ves čas, ko je ura odklenjena. Če delate v visoko varovanih okoljih ali upravljate kripto premoženje, je najbolje izklopiti sinhronizacijo z nosljivimi napravami, da preprečite prestrezanje kod v bližini.
V skladu s standardi NIST SP 800-63B programske aplikacije TOTP (kot sta Aegis in 2FAS) izpolnjujejo zahteve Authenticator Assurance Level 2 (AAL2), kadar so zaščitene z biometričnim zaklepom naprave ali glavnim geslom. Za organizacije, ki opravljajo presojo po standardih SOC 2 Type II ali ISO 27001, uporaba Bitwardna ali 2FAS omogoča revidirano izpeljavo šifrirnih ključev, ki ustreza revizorjem brez odvisnosti od mobilnih operaterjev.
06. Pravilo varnostnega kopiranja 2FA in migracijska strategija 3-2-1
Ne glede na izbrano aplikacijo mora vaš načrt za obnovo po nesreči prenesti okvaro strojne opreme, krajo in zaklepe računov. Uporabite pravilo varnostnega kopiranja 3-2-1 za celoten cikel 2FA:
Aktivna zbirka žetonov v primarnem telefonu, ena šifrirana izvozna datoteka in ena sekundarna varnostna kopija brez povezave.
Ena digitalna šifrirana datoteka (na ključu USB VeraCrypt ali v oblaku E2EE) in en fizični nosilec (papirni zvezek ali jeklena ploščica).
Svoje ročno zapisane zasilne obnovitvene kode shranite v ognjevarnem sefu ali bančnem sefu.
07. Pogosta vprašanja (FAQ)
V1: Zakaj nekatere aplikacije 2FA blokirajo posnetke zaslona v sistemu Android? ▼
Aplikacije, kot je Aegis, uveljavljajo sistemsko lastnost Androida FLAG_SECURE. To preprečuje zlonamerni programski opremi, vohunskim aplikacijam v ozadju in storitvam za ljudi s posebnimi potrebami, da bi zajele posnetke zaslona ali snemale zaslon med prikazom vaših skrivnih ključev ali kod.
V2: Ali aplikacije za avtentikacijo za ustvarjanje kod potrebujejo mobilne podatke ali Wi-Fi? ▼
Ne. Kode TOTP po RFC 6238 se izračunajo izključno v napravi z uporabo procesorja. Edina vhoda sta časovni žig ure naprave in deljeni skrivni ključ Base32. Aplikacije delujejo brezhibno tudi v letalskem načinu brez kartice SIM.
V3: Ali lahko isto kodo QR 2FA optično preberem v dveh različnih telefonih? ▼
Da! Ko spletna storitev prikaže kodo QR za 2FA, jo hkrati optično preberite s primarnim in sekundarnim telefonom. Obe napravi bosta usklajeno ustvarjali natanko enake 6-mestne kode, kar vam zagotavlja takojšnjo strojno zamenjavo.
V4: Kako lahko izvozim svoje račune iz Google Authenticator v 2FAS ali Aegis? ▼
V aplikaciji Google Authenticator odprite meni in izberite »Prenos računov« -> »Izvozi račune«. Google prikaže izvozno kodo QR. V aplikaciji 2FAS ali Aegis izberite »Uvozi« -> »Google Authenticator« in optično preberite to kodo. Vsi računi se bodo prenesli v nekaj sekundah.
Ustvarite in preverite kode 2FA neposredno v svojem brskalniku
Želite hitro izračunati overitveni žeton ali preveriti pravilnost skrivnega ključa brez namestitve aplikacije? 2FA-Tool izvaja algoritem RFC 6238 neposredno v pomnilniku vašega brskalnika.