2FA: Authy mit frischer Optik
von caschy | 15 Kommentare
Authy hatte ich in der Vergangenheit hier schon einmal vorgestellt. Eine App, die auf Wunsch Accounts verwaltet, die die Zwei-Faktor-Authentifizierung unterstützen. Authy nimmt den Stress bei mehreren Geräten, denn die App, die nach dem OTP-Verfahren arbeitet, kann die verschlüsselten Zwei-Faktor-Codes (Codes, keine Passwörter oder ähnliches!) zwischen Geräten synchronisieren und macht dabei nicht vor Chrome, Android und iOS halt.
[appbox googleplay com.authy.authy]Wer beispielsweise sein Google Konto mit der Zwei-Faktor-Authentifizierung absichert, der kann die Codes mit Authy synchronisieren, eine andere OTP-App für das Generieren der Codes muss dann ebenfalls nicht mehr eingesetzt werden. Jüngst hat Authy auf der Android-Plattform ein Update erhalten, bringt so das Material Design mit und unterstützt zudem nun auch die Gitter- oder Listenansicht für eure Accounts. Definitiv eine nützliche App, sofern man keinen Stress damit hat, lokal verschlüsselte Auth-Codes über die Cloud zu synchronisieren.
Wird geladen ...
Das Icon von Shazam?
Persönlich finde ich Authenticator Plus besser, vor allem die Backup-Möglichkeiten. Besonders nachdem mich Authy aus meinem Zweithandy ausgesperrt hatte, nach einer Neuinstallation, obwohl meine Handynummer korrekt war mache darum einen Bogen.
Also einen Bogen um Authy.
gute 4 Euro sind aber auch schon ein heftiger Anschaffungswiderstand fuer so ne App. Es ist die tatsaechlich wert, Timo? Danke dir
@Timo
Ich konnte deinem Beitrag zwar nicht ganz folgen, aber wenn ich es richtig verstehe, dann bemängelst du die BackUp Funktion von Authy.
Ich selbst hab diese „Sicherungsoption“ schon mehrfach verwendet und es hat bisher immer alles einwandfrei funktioniert.
Wichtig ist eben, dass man das auch aktiviert und die nötige Pin festlegt. Ansonsten schaut man wohl im Ernstfall tatsächlich in die Röhre.
Ich weiß nicht. Mir ist das grundsätzlich schon suspekt meine 2FA Codes auf mehren Geräten zu haben.
Ein einziger „Schlüssel“ ist mir da lieber.
2FA mit Software von dubiosen Herstellern verwalten… Klasse. Wozu dann überhaupt 2FA oder Passwörter. Am besten noch ein Backup der Passwörter in einer Cloud lagern. Geschützt durch eine Verschlüsslung die ein unterbezahlter Inder programmiert hat. Kommt eigentlich niemand in den Sinn das derlei Apps auch von Kriminellen oder Geheimdiensten stammen könnten. Ja ich weiß, ich habe Paranoia, darum setze ich nun auch meinen Aluhut auf.
Kann mir mal jemand sagen, ob das einigermaßen sicher ist?
Das ganze muss ja über die cloud synchronisiert werden, wäre somit ja ein leichtes, die Codes auf weitere (nicht mir gehörende) Geräte zu bringen.
Dann ist mein Schlüssel bekannt und der Sinn der 2 Faktoren weg….? Oder?
@Lion
Ich kann nur für die Authy Lösung sprechen.
Zunächst ist es so, dass ein Backup bzw. eine Rückspielung nur auf ein Gerät mit der selben Mobilnummer funktioniert. Möchtest du ein „Zweitgerät“ zur Authentifizierung hinzufügen, dann bekommst du auf dem „Hauptgerät“ ein Pop Up, dass du bestätigen musst. Ganz simple abzugreifen ist es also nicht.
Du hast aber natürlich auch recht…die Cloud Sync Lösung birgt ein gewisses Risiko, in meinen Augen ist es aber die beste Lösung was den Kompromiss zwischen „reiner 2 Factor Security“ und Komfort angeht.
Authy mit Sync ist auf jeden Fall sicherer als der klassische Login.
Geht das nicht ein wenig gegen den Sinn einer 2FA?
@SuperPit: Für mich ist die App jeden Cent wert. Bei mir war sie glaub noch günstiger 😉 Was mir sehr gut gefällt sind die Backup-Funktionen. Man kann sich entweder ein Backupfile der Datenbank in welcher die App die Infos speichert sichern lassen und diese dann z. B. auf den PC übertragen oder ein ZIP-File mit JavaScript-Dateien die einem dann die QR-Codes etc. nochmals anzeigen, um sie erneut zu scannen – falls man eine andere App nutzen will die QR-Codes aber nicht gesichert hat. Wenn man z. B. wie ich die App auf Tablet und Smartphone nutzt kann man für jeden Accounts sich in der App den QR-Code generieren lassen und diesen dann mit der App des zweiten Geräts scannen ohne aufwendig den gespeicherten QR irgendwo zu suchen oder die Website aufzurufen. Für den Fall, dass man die Cloud-Sync nicht nutzen will (was ich nicht mache, was aber geht). Die App kann auch Hardware-Keys zur Verschlüsselung verwenden wenn vorhanden. Und last but not least: der Entwickler ist super freundlich, schnell beim Antworten und für jeden Tip dankbar und antwortet sehr ausführlich auf Fragen. Hatte mit ihm mal versucht heraus zu finden, ob am Symantec VIP nicht auf einfügen kann und ich hab lange Mails mit Erklärungen bekommen in der er erklärt hatte wieso das nicht geht, nachdem er recherchiert hatte.
Für Gamer evtl. interessant: man kann auch seinen battle.net Account damit absichern (ich hab dafür jedoch einen HW-Token 🙂 ).
Alles in allem für mich die deutlich bessere Wahl als Authy mit mehr Funktionen. Und das ist mit der Preis wert. Viele geben an einem Tag mehr für einen Starbucks-Kaffee aus 😉
@GusGus: ich habe nicht die Funktion an sich kritisiert. Ich hatte das eingerichtet, aber das wurde bei der Neuinstallation des Smarphones von der Authy-App nicht erkannt. Vielleicht bei der Einrichtung was schief gelaufen. War mir aber zu heiß, das dann auf meinem „echten“ Smartphone zu riskieren.
PS: nein, ich bekomme keine Provision vom Entwickler und bin auch nicht dieser 😀
Welche App könnt ihr denn für iOS bedingungslos empfehlen? 🙂 Persönliche Erfahrungen sind mir immer lieber 😉
@Thomas R
Da diese Apps eine relativ simple Aufgabe erfüllen, gibt es da keine Geheimtipps. Ich nutze auch sehr zufrieden Authy. Für Leute die nur Google Konten verwalten würde ich aus theoretisch Sicherheitsgründen vll eher zum Google Authentificator raten. Dann schließt man eine Firma weniger in seinen Sicherheitskreis ein.
Prinzipiell finde ich die Situation hier auch schwierig. Man muss einer Firma schon trauen können, damit man sie diese Codes managen lässt. Sonst kann man 2FA auch gleich lassen.
Stellt sich die Frage wie man das umsetzen kann 🙂
@pietz…das ist doch das gute an 2FA, die App-Entwickler könnten mit den Codes nichts anfangen, da ihnen ja das Passwort fehlt 😉
@pietz: Den Google Authenticator kann man mit jeglichen OTP-fähigen Codes nutzen. Also nicht nur Google-Accounts. 😉 Der braucht im übrigen auch keine seltsamen zusätzlichen Rechte. Klar, der hat keine Backup-Funktion, aber ich würde mir auch meine 2FA-Codes sicherlich nicht in der Cloud sichern… 🙂