11 лучших аутентификаторов для Android, iOS, Windows и macOS | Блог Касперского

[KL FC Bot]

Если вы пользуетесь двухфакторной аутентификацией с помощью одноразовых кодов, генерируемых в приложении, вовсе не обязательно использовать Google Authenticator. За десятилетие существования этого метода аутентификации появилось немало альтернатив, которые превосходят оригинал от Google по удобству и функциональности.

И если еще три года назад приложения-аутентификаторы можно было сосчитать по пальцам, то сейчас их существует несколько десятков, так что в этом многообразии немудрено и заблудиться. В этом посте мы расскажем про 11 наиболее интересных приложений. А чтобы было проще выбрать аутентификатор для интересующих вас операционных систем, мы разбили приложения на соответствующие группы.

• Приложения-аутентификаторы для Android: andOTP, Twilio Authy, Google Authenticator, Microsoft Authenticator, Яндекс.Ключ, Cisco Duo Mobile, FreeOTP
• Приложения-аутентификаторы для iOS 15: OTP auth, Step Two, Twilio Authy, Google Authenticator, Microsoft Authenticator, Яндекс.Ключ, Cisco Duo Mobile, FreeOTP, встроенный аутентификатор iOS
• Приложения-аутентификаторы для Windows: WinAuth, Twilio Authy
• Приложения-аутентификаторы для macOS: Step Two, OTP auth (только платная версия), Twilio Authy, встроенный аутентификатор macOS

Теперь поговорим о каждом из перечисленных приложений-аутентификаторов отдельно и разберемся, какие у них плюсы, минусы и индивидуальные особенности.


 

View the full article

[Umnik]

Смешались в кучу кони, люди.

 

1. Синхронизация TOTP через _сторонние сервисы_ - это такое же вредное действие, как использование менеджеров паролей с облачной синхронизацией или 2FA через SMS. Ну то есть это получше, чем ничего совсем, но всё ещё недопустимо к использованию. Потому не понятно, почему правильные возможности - полный оффлайн - отнесли к минусам. Это должно быть особенностью, но точно не минусом

2. Экспорт токенов увеличивает поверхность атак. Это очень спорное действие и такую возможность нельзя вносить в плюсы. Во-первых злоумышленник может, получив телефон на несколько секунд, отправить токены себе. Во-вторых токены надо где-то хранить и теперь надо думать ещё и об их защите. Особенно "понравилось" предложение держать TOTP приложения на разных устройствах одновременно в слинкованной статье. Это значит, что теперь каждое из устройств является равнозначным каналом утечки. Если уж что и бекапить, то одноразовые коды. В общем, экспорт - это особенность, а не плюс

3. Почему-то пропущены действительно полезные возможности типа TOPT внутри KeePassXC/DX

4. Не понятно сходу, какие из приложений умеют не только по QR, но и по тексту работать. У меня на компе нет камеры и я не занимаюсь распознаванием скриншотов, я просто скармливаю в KeePassXC строку

5. Зачем в общей куче TOTP, завязанные только на конкретные платформы? Они ведь не дают выбора

6. Если приложение использует системную же блокировку, то это не плюс, а особенность. Чтобы блокирование было в плюс, приложение должно уметь не только системный вариант вызывать. Тот же KeePassDX умеет работать и с системными, и с не системными способами входа. И для менеджера паролей и 2FA крайне важно уметь поддерживать не системные способы

 

Если статья рассчитана на домохозяек, то тут много инфы, которой они не поймут. Если статья рассчитана на меня, то нет, я недоволен.

 

P. S.: Судя по скриншоту, Яндекс предлагает не 8 букв, а набор словарных слов, длиной в 8 символов, что совсем не тоже самое. Впрочем, 6 цифр, жизнью по 30 секунд, и так достаточно безопасны. Нужно осознавать, что TOPT - это _второй_ фактор, а не единственный.