Dotaz: Jakou 2FA aplikaci místo Google Autenticatoru a Authy?

[LuděkS]

Zdravím, rád bych se zeptal Jakou 2FA aplikaci místo Google Autenticatoru a Authy?

- mít autenticator jako doplněk prohlížeče mi nepřijde jako dobrý nápad.
- řada projektů je v ranné verzi (třeba Thauty 0.2.7)
- některé jsou (nejspíš) false pozitivní, což rozhodně nebudí důvěru (jinak by se mi Ente docela líbilo).
- nějaké autenthicatory je možné najít v repozitářích, zkusím je vyzkoušet,
ale hodila by se mi nějaká zkušenost.

Díval jsem se na diskuzi zde. Rád bych znal Váš názor.
Děkuji!

Odpovědi

[X]

Zadnou, mel jsem to v PHP a ted v JS na svych vlastnich strankach.

[Max]

Pokud chceš max bezpečnost, tak si kup Yubi 5C (nebo lepší, nebo menší) a používej Yubico Authenticator.
Další možnost je používat MFA jako součást password manageru. Třeba Bitwarden umožňuje nejen schraňovat přístupy, ale k nim i MFA. Dáš tedy login s MFA do Bitwardenu a máš přístup ke všemu. Doplněk do web prohlížeče a jiné věci jsou na dobrovolné bázi. Můžeš si tedy úroveň ochrany nastavit dle vlastní libosti. Nebo můžeš používat dva authenticatory. Bitwarden pro běžnou práci a Yubico jako backup (dělám něco podobného, kdyby se jeden vysral, abych neměl nějaký problém).
Pokud chceš Yubico, tak chceš verzi s NFC, aby jsi měl jednoduché ověřování přes telefon. Yubico app funguje tak, že musíš přes NFC přiložit token a ona se ti odemnke a pak teprve máš k dispozici MFA klíče.
Zdar Max

[LuděkS]

To vypadá hodně dobře! Zatím potřebuji něco menšího pro sebe, ale toto bych hodně zvažoval pro firemní prostředí. Díky!

[Max]

Já oboje používám ve firmě i v privátu. Token má tu výhodu, že u některých služeb se můžu ověřovat přes token a nemusím používat TOTP.
Jinak Bitwarden je zdarma, ale ve verzi zdarma nejdou nahrávat přílohy a ani nelze přidat TOTP. Já jedu firemní licenci, takže mně to netrápí. Yubi mám privátní.
Osobně si ale myslím, že Google Auth je v pohodě, obzvláště, když má člověk zabezpečený Google účet přes MFA.

Nebo další možnost, když chceš být super cool zabezpečený, tak možná jít do ProtonMail, mají krom vpn a dalších věcí i trezor na hesla (služba Pass) a tato služba podporuje TOTP i u verze zdarma. Takže slušná alternativa za Bitwarden. Ale nemám otestováno.
Zdar Max

[LuděkS]

Naposledy když jsem se zajímal o GA tak jsem zjistil, že u něj neexistuje export a poslední aktualizaci měl v roce 2017. Nevím, jestli se to změnilo, ale v takovém stavu bych to nechtěl :)

[Max]

Export umí + se zálohuje do cloudu, podobně jako třeba MS Auth.
Takže přenos mezi zařízeními je jednoduchý a přenos na jiné řešení taktéž.
Zdar Max

[LuděkS]

Tak to je dobrá zpráva!

[Max]

Tak update. Export to umí, ale jen pro import do jíného google účtu. Údajně to tak má většina TOTP app. Jde to ale vyřešit. Z exportovanéhé QR kódu lze secret key dostat. Exportovaný QR lze předhodit extract_otp_secrets a ten vrátí secret a další info.
Zdar Max

[Boban]

Nebo místo prasácky náročného Bitwardenu použít:

https://github.com/dani-garcia/vaultwarden

A jako bunus budou i v officiálním Bitwarden klientu fungovat enterprise věci, např. to MFA.

[Max]

Cena on-prem vs cloud je stejná, takže pak není moc důvodů to jako on-prem provozovat a tedy řešit i náročnost. Každopádně my v práci jedem on-prem z historických důvodů. Funguje online sync licencí a další věci, ale stále je to na bázi předplatného jako u cloudu, takže po vypršení smolík. Možná ten on-prem není limitován úložištěm, teď z hlavy nevím.
Dřív jsem vaultwardenu moc nevěřil, ale za tu dobu má už celkem dost spolubojovníků, takže už to snad není takový one-man-show.
Zdar Max

[LuděkS]

Děkuji, to vypadá zajímavě. Z principu se mi to líbí (komunitní projekt)

[A]

Existují i jiné aplikace implementující TOTP 2FA dle standardu RFC 6238. Google Authenticator je pouze jednou z mnoha.

[LuděkS]

Díky!

[Madmucho]

Offline bez čmoudů a serverovych služeb umí MFA také KeePassXC, pokud jste paranoidní jako já a chcete mít aspoň něco když lehnou servery tak tohle mohu doporučit, přidaly tam také passkey

[LuděkS]

Myslím, že KeePassXC jde napojit na freedesktop secret service, jestli se nepletu. Netuším jak moc je to použitelné.

[Max]

Třeba Bitwarden umí kešovat, takže funguje plně offline docela dlouho:

• Offline Vault sessions will expire after 30 days.
• Except for mobile client applications, which will expire after 90 days.
• Two-step Login Remember Me selections will expire after 30 days.

Tím chci jen říci, že "lehnout servery" není moc validní argument :).
Zdar Max

[Pavel 'TIGER' Růžička]

Mně v telefonu běží FreeOTP+.

[LuděkS]

Díky za odpověď. Já mám (zatím) iPhone. Ale hledám něco, co je multiplatformní, protože pracuju na tom, abych se vymanil z vendor lock-inu.
Právě jsem doloval kódy z Authy (taky "prima počin" zrušit desktopovou aplikaci) a hledám něco, co bude bezpečné, synchronizované
a bude to fungovat pokud možno všude a bez toho, aby to zase někdo bez mého souhlasu zrušil..

[Max]

No, pokud chceš mít i desktop app, nebo aspoň web app, nebo prostě mít možnost více zařízení, tak jsou offline projekty jako ten výše zmíněný docela nepohodlné. Rozhodoval bych se tedy mezi vlastním řešením (Vaultwarden), nebo cloudem (Bitwarden, Proton, Google Auth apod.)
Zdar Max

[Michal]

Používám Aegis jelikož lze zálohovat. Jelikož měním častěji Custom Rom se Swift backup dobrá volba.