Authy stopt in augustus met desktopapps en raadt mobiele apps aan

Tweetrapsauthenticatieplatform Authy stopt met zijn desktopapp. De Windows-, macOS- en Linux-apps stoppen in augustus. Maker Twilio raadt gebruikers aan de mobiele apps te gaan gebruiken.

De makers van de app schrijven in een supportdocument dat de desktopapps in augustus van dit jaar de end-of-lifestatus bereiken. Een exacte datum geven de makers niet. Het gaat om zowel de 32bit- als de 64bit-app voor Windows en om de apps voor macOS en Linux. De iOS-app blijft overigens wel bruikbaar voor Macs met een M1- of M2-processor.

Twilio, de eigenaar van Authy, zegt te stoppen met de apps 'om onze focus te stroomlijnen'. Het bedrijf wil ook meer aandacht geven aan bestaande producten. Twilio heeft de afgelopen jaren meer dan eens personeel ontslagen. Het bedrijf maakte op maandag ook al bekend dat er een verandering aan de top komt van zowel het bedrijf als het bestuur.

Gebruikers van de desktopapps moeten volgens Twilio overstappen naar de mobiele apps. Daarbij worden 2fa-tokens automatisch gesynchroniseerd tussen apparaten. De makers noemen ook enkele alternatieven voor de app, zoals Secrets en Keepass. Twilio raadt gebruikers van de api voor securityproducten aan 'hun klanten te adviseren naar de mobiele apps over te stappen'.

Reacties (87)

[moonlander]

Ik vond de kracht van Authy juist dat je niet alleen afhankelijk bent van je mobiel. Stel je mobiel is stuk, of raak je kwijt. Kun je toch nog snel inloggen met je pc/laptop.

Alhoewel de IOS versie op macos nog ondersteund wordt is het dus wel tijd om wat nieuws te zoeken, want als ze zo al omgaan met hun corebusiness producten, dan kan het ook maar zo zijn dat ze overal de stekker uit trekken.

[My Tec Master]

Zelfde hier desktop app als backup op 1 pc. Voor mij heeft authy nu geen voordelen meer ten opzichte van anderen authenticators

[Sando]

als ze zo al omgaan met hun corebusiness producten, dan kan het ook maar zo zijn dat ze overal de stekker uit trekken.

De core business van Twilio is telefonie. Authy is een gimmick. Stelt niet zo veel voor. Een reclamestunt. Bijna elke password manager die je kan bedenken doet 2FA erbij.

[pepsiblik]

En dat was voor mij nou juist net de USP! Tja, dan heeft het geen zin meer. Gaan we op zoek naar iets anders binnen de EU. Mobile apps zijn er 13 in a dozijn. Desktop apps is een ander verhaal. En codes copy/pasten is gewoon erg handig.

[R_Brow]

open source alternatief: 2FAS
https://2fas.com
iOS, Android en diverse browser extensions voor de desktop.
geen account benodigd.

[KVan]

Bitwarden (self hosted) combineerd password en 2FA perfect op zowel desktop als mobiel. Mijn alternatief sinds enige tijd.

[ASNNetworks]

Ok, dit is dan meteen een reden om een alternatief te zoeken. Het hele punt van Authy is dat je niet per se gelimiteerd bent tot je smartphone. Ik wil achter mn MacBook of PC gewoon snel inloggen zonder mn telefoon erbij te moeten pakken. Dat was juist de kracht van Authy. Nu het mobile only wordt, zie ik geen reden waarom het beter is dan de standaard tools zoals Google Authenticator.

Edit: ik gebruik al jaren 1Password voor mn wachtwoorden. Blijkbaar zit daar ook 2FA support ingebouwd, nooit geweten. Even dat testen en alles over daarnaartoe als het goed werkt.

[Reactie gewijzigd door ASNNetworks op 22 juli 2024 14:14]

[CyBeR]

Nu het mobile only wordt, zie ik geen reden waarom het beter is dan de standaard tools zoals Google Authenticator.

Als je voor een telefoon-app gaat zou ik je Google Authenticator afraden. Die hebben namelijk ook geen export-mogelijkheid waardoor je er aan vast zit en niet van app kunt overstappen.

Voor iOS raad ik Raivo aan.

[W00fer]

Er zijn bijna geen 2fa producten met Windows client (onderhuids Electron?)

[beerse]

Elke wachtwoord manager die mfa of 2fa ondersteunt. En als je ze niet in je huidige wachtwoord manager wilt opslaan, kan je de volgende gebruiken.

[Martinspire]

Mja wachtwoordmanagers wel, maar specifiek 2FA clients (om het apart te houden) is er vrijwel niks over.

[TheVivaldi]

Dat is vreemd. Iedereen zit altijd te klagen over de veiligheid op Windows, maar beschikbare 2fa-apps, ho maar.

[JorisM]

Misschien nog even wachten totdat Proton Pass desktop client naar Windows komt? 🙂

Geen idee wanneer dit zal gebeuren trouwens...

[LuciusOmen]

In Bitwarden kan je TOTP toevoegen aan een account. Die synct ook tussen alle platforms waar je Bitwarden op hebt draaien. En als je de cloud niet vertrouwd, kan je het ook middels Vaultwarden zelf hosten.

[Alfa1970]

Met de desktop variant ben je ook al gelimiteerd tot je telefoon.
Je moet perse je telefoon nummer invullen, en het hele opzetten gaat via de telefoon.

En Google is een no-go voor mij.

[Mifuki]

Op macbook met M chips kun je ios apps draaien toch? Volgens mij doe ik dat nu al met Authy

[moonlander]

Klopt, die app werkt ook 1000x sneller dan de app die Authy zelf aanbied op de website voor macs.

[Yggdrasil]

De enige reden dat we nog Authy nodig hebben is omdat SendGrid (een ander Twilio bedrijf) de langere 2FA codes vereist. Is gewoon klanten dwingen hun eigen app te gebruiken, want SendGrid ondersteunt geen standaard TOTP. Lekker onhandig dus dat we voor die ene site nu een mobiele app moeten installeren.

[cricque]

Onlangs bekeken om van sendgrid over te stappen naar "resend". En dat is iets dat hier op de planning staat om eens te testen

[Cyw00d]

Zijn er goede alternatieve? Ik vind het juist zo fijn dat ik de code op mijn PC en Mac kan koppieren vanuit de app. Telkens mijn telefoon moeten pakken meerdere keren per dag om die code op te zoeken vind ik vervelend.

[FreshMaker]

Zijn er goede alternatieve? Ik vind het juist zo fijn dat ik de code op mijn PC en Mac kan koppieren vanuit de app. Telkens mijn telefoon moeten pakken meerdere keren per dag om die code op te zoeken vind ik vervelend.

Volgens mij kan Bitwarden ( premium) dat wel

[Polderviking]

Of je je TOTP tokens samen met je wachtwoorden in dezelfde password manager wil hebben is op zich nog wel een sterk bediscussieerd onderwerp in het security landschap volgens mij.

Ik zit tegenwoordig zelf bij Proton Pass als wachtwoordenbeheerder, die kan ook TOTP tokens opslaan en autofillen wat echt wel handig is, maar ik hou dat voorlopig nog wel even apart van elkaar.

[NaN]

Ook als je Bitwarden thuis host?

[Reactie gewijzigd door NaN op 22 juli 2024 14:14]

[Polderviking]

Waar je wachtwoorden staan is in de basis niet zo relevant.

Het idee van two-factor authenticatie is dat je wachtwoord alleen niet voldoende is om in te loggen.
In het hypothetische geval dat die wachtwoord database uitlekt (eind 2022 gebeurd met lastpass) EN ze kunnen de encryptie kraken (volgens mij nog niet gebeurd) hebben ze in theorie dus zowel je wachtwoord als je two-factor token als die bij elkaar zijn opgeslagen en bied laatstgenoemde geen bescherming meer.

Als je die apart van elkaar opslaat, door bijvoorbeeld bitwarden voor je wachtwoorden te gebruiken en authy voor je two factor codes dan is dat op papier beter.

Of je dat het extra gedoe van two-factor codes opzoeken in een losse app wel of niet waard vind is allicht aan jezelf.
Maar ik vind het wel interessant dat wachtwoordmanagers je dus in de basis zonder schromen aanmoedigen om ook je tokens er in op te slaan terwijl dat eigenlijk helemaal niet zo'n no-brainer is.

[Reactie gewijzigd door Polderviking op 22 juli 2024 14:14]

[Accretion]

Wat heb je aan 2FA als het op hetzelfde apparaat draait?

De beveiliging zit hem juist in het feit dat je naast je PC/Laptop ook toegang moet hebben tot de telefoon.

[bantoo]

Wat je er aan hebt is dat je de login box voorbij komt. Lang niet voor iedere app die 2fa vereist boeit het me dat het beveiliging toevoegt, soms wil je gewoon het gemak.

[J44P]

Via je telefoon kan je toch ook bij het gros van de diensten die je op je PC kan benaderen? Dan is het toch ook hetzelfde apparaat? Ik zie die extra veiligheid niet.
Het extra gebruiksgemak van de desktop-app maakt dat ik eerder 2fa inschakelen. Dat maakt het dus veiliger.

[CyBeR]

De beveiliging zit hem juist in het feit dat je naast je PC/Laptop ook toegang moet hebben tot de telefoon.

Nee, de beveiliging zit 'm in dat je die aparte authenticatiefactor hebt (in de vorm van een tijdsgelimiteerde OTP adhv een cryptografische key) náást een wachtwoord.

Iemand die dat wachtwoord ergens vandaan krijgt (afgeluisterd, meegekeken met typen, geleaked uit een andere site, keylogger) kan zonder die cryptografische key niet inloggen. Hoe je aan de OTP komt maakt weinig uit.

Je telefoon is niet de 2e factor, die key is dat.

[moonlander]

Wat heeft het nu als het op je mobiel staat en je wilt op je mobiel inloggen met 2FA?
Je kunt Authy gewoon instellen dat je deze alleen met wachtwoord/biometrie kan openen. Dus ik zie het probleem niet zo.

[FPSUsername]

Dat vraag ik me ook af, en toch moet ik bij de PayPal app elke keer opnieuw inloggen met 2FA (die uiteraard op hetzelfde apparaat zit, namelijk mijn telefoon).

[Martinspire]

Klopt, ware het niet dat je ook dingen op je mobiel kunt doen en dan zit de 2FA dus ook op dezelfde device. Het enige verschil is dat je soms een aparte app gebruikt (en zelfs dat nog niet eens altijd bij iedereen).

Verder ben ik doorgaans banger toegang tot mijn telefoon te verliezen dan van mijn pc of laptop.

[ultimasnake]

Dat die 2FA niet op de telefoon/tablet/pc van de hacker geïnstalleerd staat zou ik zeggen..

[Sp3ci3s8472]

KeepassXC kan OTP. Voor mobiel kan ik Aegis aanraden.

[WorldWideWait]

Tnx voor de tip. Maar ligt het aan mij of is aegis niet te syncen? (Dus bijv. tussen mobiel en tablet). Alleen backup mogelijkheid zie ik (naar bijv. nextcloud). Dus na elke aanpassing handmatig op andere apparaat backup importeren?

[winkbrace]

Ik gebruik 1password voor al mijn 2FA. Heel fijn dat het automatisch de velden invult.

[Alfa1970]

Als je een alternatief zoekt, deze werkt voor de meeste zaken die ik gebruik:
https://github.com/2fast-team/2fast

Storage is wel lokaal, dus dat is wel een ding.

[GoBieN-Be]

WinAuth bestaat ook, maar dan moet je toch weer zelf lopen klooien met het XML bestand synchroniseren.

[TheVivaldi]

OneDrive? Nextcloud? Kun je gewoon als map aankoppelen in de verkenner. Plaats je het bestand erin en open je het voortaan vanaf die locatie, dan slaat ie het ook daar weer op en gaat de synchronisatie automatisch.

[Martinspire]

Kun je dat bestand gewoon op cloud storage tool (onedrive oid) zetten en dan op meerdere devices draaien of werkt ie echt maar op 1 device?

[Alfa1970]

Je kan het op cloud storage zetten.
Er is ook wat aangaande dat in ontwikkeling, maar ik weet niet in hoeverre dat al werkt.

[Polderviking]

Het is leuk dat ze alternatieven communiceren, maar je moet al je keys uitzetten en opnieuw aanmaken (op alle websites dus) in die nieuwe app omdat Authy export niet wil facaliteren.
Dus dat migreren doe je niet zomaar even.

[Reactie gewijzigd door Polderviking op 22 juli 2024 14:14]

[Wraldpyk]

Dacht dat juist het voordeel van Authy was, dat wanneer je een account hebt je je 2fa codes op al je devices kan zien zonder migratie

[Polderviking]

Authy slaat je prutteltje idd in de cloud op, dus in die zin handig en zo raak je nooit wat kwijt.
Maar ze laten je dat niet prutteltje exporteren om naar wat anders te gaan.

Bij open source alternatieven is dat wel gebruikelijk en kan je zo je eigen synchronisatie en/of backup realiseren.

Communiceren ze bij Twilio als een beveilingskeuze maar het is gewoon een verkapte vendor lock in.

[Reactie gewijzigd door Polderviking op 22 juli 2024 14:14]

[bn326160]

Inderdaad, heb ongveer een jaar geleden mijn 2FA eens in 1Password over gezet, moest ik door wat hoepels heen om de Authy PWA te kunnen openen in een browser en vervolgens door middel van een browser console script. Github Gist

[EstiematiesEnzo]

Das echt wreed.. doet me denken aan al die shady cloud VMs van vroeger. Kwam er pas achter hoe slecht een vendor was wanneer jij je machine moest exporteren naar elders. Weet het niet zeker maar volgens mij had zelfs Hetzner dat soort akkefietjes vroeger.

[Llopigat]

Je kon wel exporteren via de web app met een trucje. Dat heb ik destijds gedaan. Ik weet niet of het nog kan. Nu gebruik ik AndOTP.

Helaas wordt AndOTP niet meer gesupport en de "opvolger" Aegis ondersteunt geen OpenPGP / OpenKeyChain dus ik blijf het maar gewoon gebruiken.

[Reactie gewijzigd door Llopigat op 22 juli 2024 14:14]

[slommer]

Ik ben laatste overgegaan op aegis omdat authy niet meer wilde op me custom rom en er wel klaar mee was.
Hier de stappen om te doen zonder nieuwe codes overal in te stellen:
https://gist.github.com/g...1a6209c82418d01a59d958c93

[GoBieN-Be]

Deze linux-only export tool is zeer makkelijk.

https://github.com/alexzorin/authy

[vormulier]

Migreren is echt wel een klusje bij authy maar het "kan wel":

Zie deze how-to op github: https://gist.github.com/g...1a6209c82418d01a59d958c93

[NLatuny]

Mijn advies... stap over op Yubikey. Kost wel een beetje, maar veiliger. En als een site/app Yubikey native ondersteund, makkelijker ook nog.

Koop het wel bij een officiële retailer of direct bij Yubikey zelf. Ze hebben veel verschillende opties dus kijk wat het beste bij jou past.

[Reactie gewijzigd door NLatuny op 22 juli 2024 14:14]

[Martinspire]

Het probleem met yubikey is dat het lastig is om met meerdere devices in te loggen. En dan bedoel ik vooral de keys zelf. Het dupliceren van een 2FA is lastig (begrijpelijk, maar wel hinderlijk genoeg imo) en veel diensten staan maar 1x 2FA device toe. Met Authy kon ik gewoon 1 keer registreren en dan op meerdere devices gebruiken (bv ook op mijn tablet) en indien mijn mobiel (of key) stuk gaat, ben ik niet ineens overal buiten gesloten (herstel is ook altijd irritant).

Ik zou Yubikey ook gebruiken als er een manier was om die dingen tussen verschillende keys te synchroniseren zodat ik niet zomaar buitengesloten kan worden en ik op een paar plekken zo'n key kan leggen. Als ik thuis achter mijn pc zit, heb ik bv niet mijn sleutelbos bij me.

Tuurlijk, je levert wat veiligheid in, maar ik ben gewoon te vergeetachtig en te snel geërgerd als voor mijn gevoel ik erop achteruit ga qua gebruiksgemak. Zo vond ik het fijn om Authy op mijn thuispc te installeren zodat ik niet telkens mijn mobiel nodig had om ergens in te loggen.

[NLatuny]

Ik heb 2 yubikeys daarom. 1 thuis bij de PC en 1 aan me sleutelbos (voor op de mobiel bv. te gebruiken). Gaat prima al 2 jaar zo nu. Of sites laten me beide keys registreren of ik gebruik de Yubico app (basically hetzelfde als Authy, maar dan Yubikey). Zowel beschikbaar op telefoon als desktop. De app heb ik uiteraard ook beide keys op geregistreerd staan. Dan kan je per site die je daarop registreer bepalen of je wil dat je de Yubikey gebruikt of niet.

[moonlander]

Ik snap niet zozeer dat dit veiliger is. Want wat gebeurt er als je stick kwijt bent, en je niet kan inloggen op de omgevingen waar je dit voor nodig bent. Je komt er dan gewoon niet meer in!

[Martijntjeh]

Daarom raden ze ook aan om minimaal twee yubikeys te hebben. Eentje om mee te nemen en eentje die veilig thuis ergens ligt. Als het protocol goed geïmplementeerd is op een website kun je meerdere yubikeys registreren.

[moonlander]

De meeste websites die ik gebruik kan enkel maar 1 registreren. Dus dat gaat niet op.

[NLatuny]

Daar kan je dan de Yubico app (van Yubikey) voor gebruiken. En die app is zowel desktop als mobiel beschikbaar. Ze hebben ook daar aan gedacht.

[Reactie gewijzigd door NLatuny op 22 juli 2024 14:14]

[vespino]

Alternatief: KeePass...? Mij is altijd verteld:

• Something you are: user;
• Something you know: pass;
• Something you have: otp.

De eerste weet ik of is met het wachtwoord in KeePass opgeslagen. Als ik daar dan ook nog de OTP aan toevoeg, is het dan niet een zwakkere schakel creëren?