Двофакторна автентифікація (2FA) більше не є опціональною функцією для ентузіастів — це базовий рівень особистої цифрової гігієни. Проте користувачі повсякчас постають перед дилемами: Чи створює хмарна синхронізація неконтрольовану лазівку для злому? Чи можна безперешкодно перенести токени у разі зміни iPhone на Android? Чи збирають закриті комерційні застосунки приховану телеметрію? Чи не руйнує об'єднання 2FA з менеджером паролів саму концепцію багатофакторного захисту?
Після того як Twilio Authy закрила десктопні версії та зазнала масштабних витоків даних через API, баланс сил в екосистемі автентифікаторів у 2026 році суттєво змінився. У цьому вичерпному матеріалі ми детально тестуємо п'ять ключових застосунків сучасності — Aegis, 2FAS, Bitwarden, Google Authenticator та Microsoft Authenticator, перевіряючи на практиці їхню криптографічну надійність, гнучкість бекапів та стійкість до актуальних кіберзагроз.
01. Епоха після Authy у 2026 році: головні уроки
Майже десять років поспіль Twilio Authy був головною рекомендацією для широкого кола користувачів завдяки зручній синхронізації між пристроями. Проте подальші події навколо Authy дали індустрії кібербезпеки три суворі уроки:
- Пастка пропрієтарної прив'язки: Authy свідомо заблокував можливість експорту відкритих ключів Base32 або незашифрованих баз у JSON, фактично зробивши мільйони людей заручниками власної закритої системи;
- Раптове припинення роботи десктопних програм: У 2024 році Twilio офіційно закрила застосунки Authy для Windows та macOS, створивши величезні труднощі для спеціалістів, які щодня працюють за комп'ютерами;
- Вразливість централізованих серверів: Серія успішних атак на інфраструктуру Twilio розкрила номери телефонів та метадані токенів мільйонів користувачів, ще раз довівши небезпеку зберігання чутливих даних на централізованих серверах.
02. Огляд 5 ключових претендентів
Еталон конфіденційності та надійності для платформи Android. Працює цілком автономно без доступу до інтернету, з нульовою телеметрією, криптографічним захистом сховища AES-256-GCM та автоматичним бекапом через Android Storage Access Framework (SAF).
Головний фаворит відкритого коду для iOS та Android. Не вимагає створення облікового запису, забезпечує надійне наскрізне E2EE-шифрування хмарних бекапів (iCloud та Google Drive) і пропонує зручне браузерне розширення для комп'ютера.
Єдине сховище для паролів і токенів TOTP. Надає безшовне автозаповнення в один дотик на всіх десктопних і мобільних платформах, а також підтримує розгортання на власному сервері за допомогою Vaultwarden.
Найвідоміший першопроходець ринку. Має автоматичну синхронізацію з обліковим записом Google та простий інтерфейс, але позбавлений гнучкого сортування, біометричного майстер-блокування та публічного аудиту коду.
Стандарт для корпоративних середовищ та екосистеми Office 365. Глибоко інтегрований з Microsoft Entra ID (Azure AD) та технологією підтвердження чисел проти атак виснаження push-запитами, але має несумісні сховища бекапів між різними операційними системами.
03. Головна матриця порівняння за 12 критеріями
Наша дослідницька лабораторія провела аудит усіх п'яти застосунків за ключовими технічними та практичними показниками:
| Критерій оцінки | Aegis | 2FAS | Bitwarden | Microsoft | |
|---|---|---|---|---|---|
| Ліцензія ПЗ | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | Закритий код | Закритий код |
| Підтримувані платформи | Лише Android | iOS / Android / Розширення | Усі (Web/Десктоп/Мобільні) | iOS / Android / WearOS | iOS / Android / Apple Watch |
| Хмарна синхронізація | Відсутня (100% офлайн) | E2EE через iCloud/GDrive | Zero-Knowledge хмара | Google-акаунт | Хмара MS Account |
| Локальний шифрований експорт | AES-GCM / JSON повний | Рідний шифрований .2fas | Шифрований експорт JSON | Лише QR-код міграції | Відсутній (Заблоковано) |
| Біометричний майстер-замок | Біометрія + Пароль сховища | Face ID / Відбиток / PIN | Біометрія + Майстер-пароль | Лише блокування екрана ОС | Лише блокування екрана ОС |
| Захист від скриншотів | Примусово (FLAG_SECURE) | Увімкнено за замовчуванням | Опція в налаштуваннях | Підтримується | Підтримується |
| Десктопна взаємодія | Відсутня (Введення вручну) | Пуш у розширення браузера | Миттєве автозаповнення | Ручне списування | Ручне списування |
| Переносимість бази (Portability) | Бездоганна (Стандартний JSON) | Бездоганна (Імпорт усього) | Висока (Стандартний JSON) | Середня (Зчитування QR) | Жахлива (Без перенесення між ОС) |
| Модель монетизації | 100% безкоштовно | 100% безкоштовно | Базовий безкоштовний; TOTP \$10/рік | Безкоштовно | Безкоштовно |
04. Глибокий аналіз архітектури застосунків
1. Aegis Authenticator: Незламна фортеця приватності на Android
Aegis здобув виняткове визнання серед експертів із кібербезпеки завдяки криптографічно чистій реалізації. Ключ доступу формується з використанням Argon2id (алгоритму, визнаного міжнародним стандартом захисту від апаратного перебору), а сховище шифрується стандартом AES-256 у режимі GCM. Навіть у разі створення повного цифрового зліпка накопичувача пристрою перебір пароля є обчислювально недосяжним завданням.
• Повна відсутність мережевих дозволів у файлі Android Manifest;
• Автоматичне регулярне створення зашифрованих копій на карту пам'яті чи у Nextcloud;
• Підтримка іконок сервісів, категорій та швидкого пошуку.
• Доступний виключно на платформі Android (немає версій для iOS або комп'ютера);
• Користувач мусить самостійно контролювати збереження резервних копій.
2. 2FAS Authenticator: Новий універсальний кросплатформний стандарт
2FAS вдало поєднує безкомпромісну безпеку зі щоденною простотою використання. Застосунок повністю анонімний: для початку роботи не потрібна реєстрація чи номер телефону. Резервне копіювання в хмару використовує системні середовища iCloud або Google Drive, при цьому дані шифруються на пристрої за допомогою майстер-пароля ще до початку вивантаження в мережу.
• Єдиний, відточений інтерфейс як на iOS, так і на Android;
• Зручне розширення для браузера: відправляє запит на телефон для схвалення автозаповнення коду на комп'ютері;
• Комплексний імпорт із Google Authenticator, Authy та Aegis.
• Хмарна синхронізація функціонує в межах однієї платформи (немає прямої живої реплікації між iPhone та Android без ручного експорту файлу).
3. Bitwarden (Premium): Максимальна продуктивність та дискусія про поділ факторів
Вбудований модуль TOTP у Bitwarden є вершиною зручності робочого процесу. Під час введення облікових даних на вебсайті Bitwarden або самостійно копіює поточний 6-значний код TOTP у буфер обміну, або відразу автоматично заповнює поле 2FA при відправці форми входу.
Зберігання першого фактора (пароля) та другого фактора (секретного ключа TOTP) в одній базі даних певною мірою суперечить класичному принципу розділення факторів. Якщо майстер-пароль від сховища скомпрометовано і немає апаратного захисту, зловмисник отримує доступ до обох факторів одночасно. Практичне рішення: захистіть доступ до самого сховища Bitwarden апаратним ключем FIDO2 YubiKey.
4. Google Authenticator: Всюдисущий гігант ринку
Додавання синхронізації з акаунтом Google вирішило багаторічну проблему втрати всіх кодів при пошкодженні або втраті смартфона. Водночас застосунок залишається закритим пропрієтарним продуктом. Окрім того, якщо ваш основний обліковий запис Google колись заблокують або зламають, відновлення доступу до токенів TOTP стане вкрай важким завданням.
5. Microsoft Authenticator: Корпоративна цитадель із платформовими обмеженнями
В інфраструктурі Microsoft 365 та Entra ID цей застосунок незамінний. Функція підтвердження чисел («Number Matching») змушує користувача ввести на телефоні двозначне число з монітора комп'ютера, що повністю нейтралізує спроби зламу через втому від сповіщень. Проте архітектура резервного копіювання має суттєву ваду: бекапи з iOS прямують до особистого iCloud, а з Android — до облікового запису Microsoft. Відновити копію з iPhone на Android (або навпаки) неможливо!
05. Профілі користувачів та персональні вердикти
Ваш вибір: Aegis Authenticator. Неперевершена стійкість шифрування, повна ізоляція від інтернету, аудитований відкритий код та автоматичні локальні бекапи.
Ваш вибір: 2FAS Authenticator. Сучасний дизайн, відкритий код, розширення для браузера на ПК та приватні хмарні зашифровані бекапи.
Ваш вибір: Bitwarden (Premium). Усього за \$10 на рік ви отримуєте кросплатформне автозаповнення в усіх веббраузерах та можливість спільного доступу в командах.
Ваш вибір: Microsoft Authenticator (виключно для робочих акаунтів). Необхідний для робочих входів, але персональні фінансові та криптографічні ключі краще довірити 2FAS чи Aegis.
05.1 Носимі пристрої та комплаєнс: Моделювання загроз для Apple Watch та Wear OS
Для активних спеціалістів перегляд кодів або схвалення запитів на зап'ясті — це вагоме покращення повсякденної зручності. Проте виведення токенів TOTP або схвалення запитів на смартгодиннику змінює модель загроз:
Apple реалізує апаратне розпізнавання зап'ястя: щойно годинник знімають із руки, він миттєво блокується PIN-кодом. Через захищений канал Bluetooth LE з модулем Secure Enclave на iPhone такі програми, як 2FAS та Microsoft Authenticator, дозволяють швидко підтверджувати вхід. Головним ризиком залишається підглядання сторонніми в громадському транспорті, оскільки 6-значний код добре помітний на яскравому екрані.
Пристрої з Wear OS синхронізують віджети безпосередньо через служби Google Play. Хоча це зручно для швидких авторизацій, токени залишаються доступними на екрані розблокованого годинника. Якщо ви працюєте з конфіденційною інформацією або криптокапіталом, рекомендується вимкнути синхронізацію з годинником для усунення загрози візуального перехоплення.
Відповідно до рекомендацій NIST SP 800-63B, програмні TOTP-клієнти (такі як Aegis та 2FAS) відповідають другому рівню довіри до автентифікатора (Authenticator Assurance Level 2, AAL2), якщо вони захищені біометрією або надійним системним паролем. Для підприємств, що проходять аудит за стандартами SOC 2 Type II або ISO 27001, впровадження Bitwarden або 2FAS забезпечує прозору та аудитовану схему криптографічного захисту без прив'язки до операторів зв'язку.
06. Правило 3-2-1 для бекапу та міграції 2FA
Який би застосунок ви не обрали, ваш план відновлення повинен витримувати вихід з ладу смартфона, крадіжку пристрою та блокування акаунтів. Застосовуйте перевірене правило резервування 3-2-1 до життєвого циклу ваших ключів 2FA:
Основна база у щоденному телефоні, один зашифрований файл експорту та одна ізольована копія про запас.
Один цифровий файл у зашифрованому вигляді (на закритому накопичувачі чи в E2EE-хмарі) та один фізичний носій (блокнот або метал).
Зберігайте аварійні коди відновлення у надійному вогнетривкому сейфі вдома чи в банківській комірці.
07. Часті запитання (FAQ)
В1: Чому деякі застосунки 2FA забороняють робити скриншоти на Android? ▼
Такі додатки, як Aegis, активують системний прапорець безпеки Android FLAG_SECURE. Це унеможливлює прихований запис екрана чи зняття скриншотів троянами, шпигунськими програмами або шкідливими службами спеціальних можливостей, коли на дисплеї показуються секретні ключі чи одноразові коди.
В2: Чи потрібне інтернет-з'єднання або Wi-Fi для роботи автентифікаторів? ▼
Ні. Коди TOTP за стандартом RFC 6238 розраховуються безпосередньо процесором пристрою. Алгоритму потрібні лише два параметри: точний поточний час і збережений секретний ключ Base32. Застосунки чудово працюють у режимі польоту та навіть на смартфонах без встановленої SIM-карти.
В3: Чи можу я відсканувати один і той самий QR-код 2FA на два різних телефони? ▼
Так! Під час підключення 2FA на сервісі відскануйте показаний QR-код одночасно основним і резервним телефоном. Обидва пристрої синхронно показуватимуть абсолютно однакові 6-значні коди, гарантуючи миттєвий апаратний резерв.
В4: Як перенести акаунти з Google Authenticator до 2FAS чи Aegis? ▼
У додатку Google Authenticator відкрийте бічне меню, виберіть пункт «Перенести облікові записи» -> «Експорт облікових записів». Програма створить експортний QR-код. У 2FAS або Aegis виберіть «Імпорт» -> «Google Authenticator» та проскануйте цей код — усі токени перенесуться миттєво.
Генеруйте та перевіряйте коди 2FA просто у браузері
Потрібно терміново згенерувати токен автентифікації або перевірити секретний ключ без встановлення додатків на пристрій? 2FA-Tool виконує розрахунки алгоритму RFC 6238 безпосередньо в оперативній пам'яті браузера.