Authy stopt al op 19 maart met ondersteunen desktopapps, niet in augustus

Authy stopt op 19 maart al met de ondersteuning van de desktopapplicatie voor Windows, macOS en Linux. Oorspronkelijk zou de end-of-lifestatus van het tweestapsauthenticatieplatform pas in augustus bereikt worden. Het is niet duidelijk waarom de datum is aangepast.

Het bedrijf raadt gebruikers aan om de smartphoneapp te gebruiken, die naar eigen zeggen 'dezelfde of betere functies heeft' voor het opslaan van authenticatortokens. Als alternatief raadt Authy verschillende derden aan, waaronder 1Password, Authenticator.cc en Step Two. Er is daarentegen geen exportfunctie beschikbaar, dus gebruikers moeten tweestapsverificatie handmatig op websites en diensten uitschakelen, alvorens zij de beveiligingslaag via een andere aanbieder weer in kunnen schakelen.

De end-of-lifestatus van de desktopapps werd oorspronkelijk begin januari 2024 aangekondigd; toen zouden de apps nog tot een niet nader beschreven moment in augustus ondersteund worden. Authy geeft geen uitleg over waarom dit proces versneld is. Voor Macs met een M1- of M2-processor blijft er de mogelijkheid om de iOS-versie te gebruiken.

De aanbieder van de Authy-dienst, Twilio, zei eerder dat support voor de desktopapp gestopt werd om de focus te kunnen richten op andere bestaande producten. De laatste jaren moest het bedrijf meermaals werknemers ontslaan en kondigde begin dit jaar veranderingen aan de bestuurslaag aan.

Reacties (154)

[Just Me Or Tha One]

Ik hoorde pasgeleden in de podcast Security Now https://2fas.com/. Is een opensource app. Voor mobiel en desktop, inclusief een export functie. Heb er zelf geen ervaring mee.

[GEi]

Omdat hij nog niet is genoemd doe ik graag een duit in het zakje van een alternatief waar ik zelf erg tevreden over ben: Enpass. Kan geïnstalleerd worden op Windows, macOS, iOS, Android, Linux, als portable, vele browserextensies en syncen naar een zelfgekozen cloud. Mag ook een door jezelf gehoste cloud zijn. Ondersteund 2FA en KeyPass. Zelf werk met Windows, macOS en iOS. En altijd en overal toegang tot mijn credentials. Kan het onoprecht iedereen aanraden.

[Preaper]

Oei, dit stemt mij toch niet gerust. Ik gebruik Authy naast bitwarden om niet al mijn credenties op dezelfde plek te hebben.

ik vind het belangrijk dat de tokens worden gebackupt in de cloud om te voorkomen dat ik dagen bezig ben met het instellen van een nieuw apparaat.

Welke 2nd factor dienst zou hiervoor een goed alternatief zijn?

[S1NN3D]

Zelf heb ik goede ervaringen met 2FAS. Beschikbaar op iOS, Android en via browser extensies. Open source en voorzien van sync mogelijkheid. Biedt alles wat ik nodig heb.

[Falcon]

Authenticator van Microsoft kan dit.

[Sanchaz12]

Een nadeel van Microsoft Authenticator is dat een backup herstellen bij een switch van Android naar iOS of andersom niet mogelijk is. Op Android wordt de backup in het Microsoft account opgeslagen, en bij iOS in iCloud. Vanaf het ene OS kun je dan niet een backup vanuit het andere herstellen.
Recent achter gekomen toen ik naar een iPhone was overgestapt, daarna overgegaan op Authy omdat daar wel een backup hersteld kan worden welke met een ander OS is gemaakt.

[michaelkamen]

Een ander nadeel van Microsoft Authenticator is dat na het herstellen van een backup alle accounts en TOTP codes wel terug zijn, maar accounts met Microsoft Login moet je opnieuw allemaal bevestigen.
(Dus inloggen op je profiel en het apparaat opnieuw toevoegen via QR code).
Als je accounts bij tientallen klanten hebt is dit een enorm gedoe.

[TheVMaster]

eh, volgens mij hoef je alleen Azure AD accounts echt te bevestigen. Mijn Microsoft account doet het out of the box (net zoals alle andere TOTP codes).

[MrFax]

Is het mogelijk om de private keys uit Authy te halen en deze over te zetten naar een andere OTP? Ik kan er namelijk niks over vinden. Ik heb iets van 50 accounts op de Authy app, en ben bang dat ik die straks allemaal opeens kwijt ben.

[Reactie gewijzigd door MrFax op 23 juli 2024 14:42]

[zordaz]

Ja, dat kan. Is wel wat hackerig. Je moet een oudere versie van de Desktop applicatie installeren en aan de slag volgens deze instructies:
https://gist.github.com/g...1a6209c82418d01a59d958c93

Ik heb Authy jaren gebruikt, maar het blijft toch een lock-in dat er geen export mogelijkheid is. Het zou mij niets verbazen als ze er binnenkort geld voor gaan vragen, het uitfaseren van de Desktop app lijkt me een eerste stap. Ben daarom bezig met het omzetten van mijn TOTP tokens naar wat anders.

[NIK0]

@zordaz wat heb je gekozen zonder lock-in?

[zordaz]

Vooralsnog Aegis en Bitwarden.

[GoBieN-Be]

Met die oude desktop applicatie lukte het mij niet, ik werd iedere keer direct geforceerd om te updaten.

Deze linux tool werkte wel zeer makkelijk om te exporteren.
https://github.com/alexzorin/authy

Ik heb die gebruikt en mijn OTP codes geimporteerd in een Bitwarden client.
Ik gebruik nu trouwens self-hosted Vaultwarden als Bitwarden server, werkt goed.

[Reactie gewijzigd door GoBieN-Be op 23 juli 2024 14:42]

[zordaz]

Ja, had ik ook last van. Je moet Update.exe in de directory waar ook Authy.exe staat hernoemen naar iets anders, dan lukt het wel.

[Reactie gewijzigd door zordaz op 23 juli 2024 14:42]

[MrFax]

Er staat dat ik mijn Authy-account moet behouden, maar al mijn accounts gebruiken niet de Authy-service, maar zijn gewoon de standaard 6-cijferige TOTP-tokens. In mijn geval is het dus niet nodig om mijn Authy-account te behouden, toch?

[Reactie gewijzigd door MrFax op 23 juli 2024 14:42]

[MrFax]

Dit werkte perfect, behalve voor Twitch.tv. Die pakt Microsoft Authenticator niet om een of andere reden.

[WhiteAss]

Bedankt erg handig. Overzetten naar Aegis stond al een tijdje op m'n ToDo-list. De combi van nu moeten, deze makkelijke manier en 30 min tijd was alles dat nodig was.

[Alfa1970]

Dat is het probleem met deze applicatie, en waar diversen het hier over hebben.
Die optie bestaat niet.

[Zenomyscus]

Handmatig de backup downloaden en uploaden gaat niet?

[nelizmastr]

Je kunt in iCloud niet in een mappenstructuur de back-up ophalen, dat is met WhatsApp net zo. Hij parkeert zichzelf "buiten beeld" dus dat zal niet gaan.

[pbruins84]

Microsoft Authenticator heeft toch geen desktop variant?

[Falcon]

Persoonlijk zou ik een desktop variant ook niet willen, wat heeft dan 2FA nog als nut als de eerste en 2e authenticatie factor op hetzelfde device gebeurt? Even los van TPM, fingerprints, faceid lagen die er zijn.

Per definitie dat het op een ander device is, geeft een extra laag aan bescherming die we niet moeten onderschatten.

[Reactie gewijzigd door Falcon op 23 juli 2024 14:42]

[JKP]

Het nut blijft dan dat een hacker die je wachtwoord bij een andere dienst (dus niet via malware op je pc) heeft buitgemaakt, daar nog steeds niets mee kan.

Bovendien geldt ook voor je telefoon in veel gevallen hetzelfde bezwaar als voor de desktop. Authy staat op je smartphone geïnstalleerd en wordt gebruikt om met 2FA in te loggen op allerlei apps die op diezelfde smartphone staan.

[Reactie gewijzigd door JKP op 23 juli 2024 14:42]

[Blokker_1999]

Waarom denk je dat Authy er mee stopt op de desktop? Dat is net de bedoeling.

[lenwar]

Het artikel suggereert dat ze er mee stoppen om geld te besparen?
(Of in hun woorden: Focussen op andere producten)

[zordaz]

Ik kan mij niet voorstellen dat het de belangrijkste reden is. De desktop applicatie is zo'n log Electron blob, dat is allemaal vrij standaard. Daarnaast is Auhty qua functionaliteit wel uitontwikkeld, waarmee alleen het implementeren/updaten van nieuwe Electron versies nog aan de orde is. En daarvan mag je anno 2024 toch aannemen dat dat geautomatiseerd gaat.

[lenwar]

De aanbieder van de Authy-dienst, Twilio, zei eerder dat support voor de desktopapp gestopt werd om de focus te kunnen richten op andere bestaande producten. De laatste jaren moest het bedrijf meermaals werknemers ontslaan en kondigde begin dit jaar veranderingen aan de bestuurslaag aan

Dit is wat er in het artikel staat. Dus dat doet suggereren dat het een centenkwestie is.

Maar eventjes in hypothese-stand.... Heb jij een ander idee waarom ze zouden stoppen als het toch zo simpel bij te houden is? (ik geloof je uiteraard direct, want ik heb echt geen idee over dit soort dingen )

[zordaz]

Ja, het is mogelijk de opmaat voor een betaalde mobiele app. Voor een desktop app kun je wat lastiger geld vragen omdat de distributie lastiger te controleren / kanaliseren is. In de mobiele wereld heb je daar de appstores voor.

[pepsiblik]

Authy is voor Twilio geen core-business dus vandaar.

[Martinspire]

Toch blijf ik het raar vinden. Ik log ook op mijn mobiel op diensten in en die kan ik niet met mijn desktop bevestigen met andere 2FA apps. Dan heb je toch ook maar 1 factor? Of is het dan ineens niet meer geldig?

[Anoniem: 718943]

Ik moet zeggen dat, tot het lezen van reacties op dit bericht, het hebben van TOTP op mijn desktop eigenlijk nooit in mij is opgekomen. (Ben opgegroeid met het hebben van losse (RSA) hardware tokens). Volgens mij wordt het 'iets wat je hebt' dan een 'iets wat op je device staat waar je je wachtwoord op intypt". Daarmee zet je het al een stuk dichter bij het vuur.

[localhost]

Authenticator van Microsoft (met gebruik van LiveID/Micrsoft Account) is voor mij "onbegrijpelijk" hoe dit werkt. Dus dan hou je het gevoel van onveiligheid en achterdeurtjes over.

[Blokker_1999]

Wat begrijp je er niet aan?

[Qck]

Ik zit in dezelfde situatie. Volgens mij kunnen de authenticators van Microsoft en Google hetzelfde. Ik zal overstappen naar een van deze twee.

[Lennyz]

Dan moet Google Authenticator een update hebben gehad de laatste jaren, want ik heb daarvoor nooit enige backupfunctie kunnen ontdekken.

[nhaandrikman]

Klopt. Dit is afgelopen jaar toegevoegd.

[Anoniem: 1576590]

Echter, volgens volgens het laatste dat ik erover gelezen heb (Duitstalig), worden de TOTP secrets niet met een eigen wachtwoord versleuteld.

Als een aanvaller toegang krijgt tot jouw Google account kan zij/hij waarschijnlijk ook al jouw TOTP secrets kopiëren - waamee het geen 2FA meer is.

M.b.t. TOTP "apps" onder Windows + Chrome: ook niet zonder risico's.

En sowieso helpt TOTP niet tegen "evil proxies"; check dus altijd eerst de volledige domeinnaam voordat je een website vertrouwt!

[Sand0rf]

Mijn Google Authenticator app heeft rechtsbovenin het venster naast mijn profielfoto een icoontje van een wolk met een vinkje. Als ik daar op klik krijg ik de melding 'Je codes worden opgeslagen in je Google-account'

[btodsk]

Dus als je Google account wordt gehackt hebben ze gelijk al je tokens. Mooi toch

[localhost]

En daarom was Authy perfect, simpel, transparant.

[maevian]

Google Authenticator heeft hiervoor inderdaad een update gehad. Heeft nu en optie backup naar drive.

[C-dude]

Na hun vorige berichtgeving overgestapt op Aegis (https://getaegis.app/). Foss alternatief.

[elmuerte]

Aegis heeft ook geen desktop variant. Net zoals Google's en Microsoft's authenticators.

[pepsiblik]

Ja, maar als ik dan toch de USP van Authy niet meer kan gebruiken, dan mogen ze er in stikken van mij

[jurroen]

Dat is juist goed, vanuit een security perspectief. Dus dat niet alles op een en hetzelfde apparaat draait (TOTP tokens van bijvoorbeeld telefoon, WebAuthn/FIDO2 met een hardware key). Anders voegt het alsnog weinig toe, stel dat een aanvaller volledige toegang heeft tot de desktop.

[elmuerte]

Mensen loggen ook in op verschillende zaken op hun telefoon waar hun authenticator applicatie draait.

[jurroen]

Een telefoon met een recente iOS of Android versie (zonder jailbreak of root!) heeft best goede sandboxing en isolatie - waar een PC dat zelf niet of minder heeft.

[lamlion]

En geen iOS versie…

[jcbvm]

Voor iOS gebruik ik Raivo, werkt ook zeer prettig en is gemaakt door een bekende Nederlandse security expert

[lamlion]

Ziet er goed uit. Migreren is een overweging waard. Jammer dat zo’n migratie best omslachtig is. Het zou mooi zijn als er een soort “sync standaard” zou zijn zodat je niet voor al je apps mfa opnieuw hoeft te configureren. TOTP en HOTP zijn mooie standaarden maar voor de opslag van HOTP waarden is helaas geen standaard.

[iqcgubon]

Ik kreeg even schrik bij het lezen van dit nieuwsbericht, maar dan besefte ik dat inderdaad al lang naar Aegis was overgeschakeld Was indertijd wel niet super evident om alles over te zetten. Ik heb uiteindelijk deze guide gevolgd: https://gist.github.com/g...1a6209c82418d01a59d958c93

[evanraalte]

Ik vind zelf 2fas prettig, draait ook op iOS: https://2fas.com/

Heeft ook een goede export functie.

[Desiler]

Draai hier ook 2FAS, ben tevreden.

[Prosperot]

Bij 2fas kan je alleen geen eigen website iconen aanmaken, tenminste mij lukt het niet. Bij Aegis wel.

[evanraalte]

Nee klopt, je kan ze wel aanpassen (en requesten), maar niet zelf tekenen.

[Martinspire]

Hmm. Ik weet niet of ik het idee van een browser extension wel zo handig vind in deze. Verder is open source leuk, maar als iemand een bug vind en deze niet meldt, ben je alsnog je codes kwijt.

Daarnaast wordt het opgeslagen bij Google. Wat gebeurt er als je google account om wat voor reden wordt geblokkeerd?

[Reactie gewijzigd door Martinspire op 23 juli 2024 14:42]

[evanraalte]

Daarvoor heb je een handmatige export. Browser extension hoef je niet te gebruiken. Voor ieder wat wils, toch?

[bonyuri]

Hoe is Aegis een alternatief als die OOK geen desktop app aanbieden?!

[StephanBruijnis]

Ze hebben een browser extensie. Niet hetzelfde als een desktop app, maar maakt de het wel toegankelijker op desktop dan bijv. een Virtual Android device draaien.
-edit: ik zie dat je op Aegis reageert, ik doel op 2fas. Excuus.

[Reactie gewijzigd door StephanBruijnis op 23 juli 2024 14:42]

[moonlander]

jammer dat dit alleen voor android is. dat was de kracht van authy namelijk dat je het op ieder platform kan gebruiken

[Ririshi]

Ik gebruik zelf 1Password. Mijn 2FA codes staan daar niet in, maar het is wel mogelijk om dat te doen. Voor 2FA gebruik ik zelf Authenticator Pro, een FOSS app op mijn telefoon, met smartwatch companion. Backups moet je weliswaar zelf maken, maar je kunt de export file versleuteld op je Google Drive (of andere cloud storage naar keuze) neerzetten, en later weer importeren, zolang je het master wachtwoord niet vergeet.

[Phusebox]

Die is niet beschikbaar in Nederland? Althans via de Play Store kan ik die niet installeren op mijn S23 Ultra.

[CH4OS]

Ik denk dat het in F-Droid staat, een alternatief voor Play Store.

[PaulHelper]

Huh, wat is niet beschikbaar de 2FA?
https://play.google.com/s...d=me.jmh.authenticatorpro
Wat is dit dan? Of zie ik het verkeerd. Daar kwam ik via de GitHub ervan.

[localhost]

Ook voor mij dit. Ik gebruik Authy omdat het de enige is dit can syncen tussen twee apparaten (Android en iPhone) zodat ik er altijd 1 beschikbaar heb. En het heel simpel te begrijpen: Username/password en een complexe passphrase voor de encryptie die nergens opgeslagen wordt.
Alle anderen zijn heel complex, hebben security problemen (als je kan "recoveren" van lost passphrase, is dat juist een zwakte), kosten veel geld of kosten veel tijd omdat je het zelf moet onderhouden op eigen infra.

[beerse]

Tussen die 2 verandert er niets Het is alleen de desktop variant die er mee stopt.

[bed76]

Dat is voor veel mensen juist het probleem. Authy is uniek in het bieden van een desktop app. Ideaal als je voor veel verschillende accounts niet elke keer je smartphone erbij hoeft te pakken.

Edit: typo

[Reactie gewijzigd door bed76 op 23 juli 2024 14:42]

[franknk]

Klopt helemaal, ik heb geen volwaardig alternatief kunnen vinden.
Eigenlijk best wel gek dat Twilio stopt met dit product misschien overstappen
naar een betaalmodel ipv. gratis.

[cricque]

Tsja wie gaat er voor betalen ? Dat zal echt wel een minderheid zijn. En als het betalend is dan verwachten mensen uiteraard net iets meer en ook support. Als het gratis is, hebben ze ook geen verplichtingen. Werkt het voor jou niet ... dan heb je pech bijvoorbeeld.

[Caseum]

Ikzelf gebruik naar aanraden Aegis. (Gratis en Open Source)
https://getaegis.app/
Maar wel een mobiele app en is niet voor IOS apparaten.

[pbruins84]

Een mobiele app is toch geen vervanging voor een desktop programma?

[Caseum]

Met omwegen is het op je desktop te gebruiken XD, maar in zekere zin heb je gelijk.
Daarom heb ik specifiek aangegeven dat het een mobiele app is.

[Anoniem: 407645]

Android for Windows werkt anders prima voor dit soort simpele apps.

[Reactie gewijzigd door Anoniem: 407645 op 23 juli 2024 14:42]

[Cambionn]

Aegis Authenticator, kan auto-backupen naar elke cloudstorage op je telefoon (die van mij gaat rechtstreeks naar mijn NextCloud) of via Androids eigen cloud back-up systeem. Is opensource, weinig permissies, en doet wat het moet doen.

[Reactie gewijzigd door Cambionn op 23 juli 2024 14:42]

[Phusebox]

Ook een desktop optie? Ik heb een hekel aan telkens mijn telefoon te moeten pakken als ik op een desktop/laptop aan het werk ben.

[Memori]

Er is geen Aegis desktop optie, hoewel je Android wel kunt emuleren. Maar volgens mij zijn de Aegis sleutels wel compatibel met de vault van Keepass 2. Zelf nooit getest, maar je kan het proberen. Ik raad het echter niet aan om 2FA op je PC te hebben.

[Phusebox]

Why not?

[Memori]

Je kan het wel doen, maar daarmee verwijder je een niveau van beveiliging. Je verplaatst het "iets wat je hebt" naar hetzelfde device waar je "iets wat je weet" intypt. Wordt je gehacked, dan kan 2FA jou niet meer beschermen.

[Phusebox]

Zelfde toch als je gsm gehacked wordt dan? Als daar je 2FA op staat.

[Cambionn]

Klopt. Het liefst heb je daarom een los MFA apparaat. Maar dat is vaak niet haalbaar. Maar dan nog is 1 device met hoger risico minder erg dan 2 devices met hoger risico. Door het op je PC te hebben heb je het als je GSM gehacked wordt én als je PC gehacked wordt.

Zelfde reden dat ik mijn MFA codes niet in mijn passwordmanager geintegreerd wil hebben.

[Anoniem: 150119]

Dan begrijp je duidelijk het idee van MFA/2FA niet ?

[Phusebox]

Denk dat er maar weinig mensen zijn die op hun mobiel inloggen op diensten waarvan ze de 2FA niet op hun mobiel hebben.

Is praktisch onhaalbaar om een apart device te hebben voor 2FA codes.

[ajaxalex]

Ik ben n.a.v. dit bericht ook aan het overgaan van Authy naar een andere app. Ik heb Safe in Cloud voor mijn wachtwoorden en deze ondersteund ook 2fa codes.

Je kan via webdav je database opslaan en app is er voor Android, Windows en ios.

[PaulHelper]

Is wel risky met alles in 1 app maar ziet er verder goed uit

[Andreas01]

Mocht je iets meer privacy willen (vergeleken met Google en Microsoft) en/of voor een open source oplossing willen gaan, zou ik zeker Aegis aanraden. Naar mijn weten ondersteunt deze gewoon cloud-backups.

[beerse]

Voorlopig heb ik de laatste authy gedownload voor msWindows. Daarmee, en de authy op de telefoon blijf ik authy gewoon gebruiken. De dienst en de apps op de telefoons/laptops blijven gewoon bestaan en draaien.

De desktop app blijf ik ook gebruiken tot ze niet meer wil koppelen, ik verwacht een paar jaar. Dat zie ik als veilig genoeg.

[CrimInalA]

Ik blijf ook gewoon hun android en ios app gebruiken . Die werkt goed .
Of hebben ze aangekondigd om daar ook mee te stoppen ?

De desktop authy app , die gebruik ik eigenlijk nooit .

[Reactie gewijzigd door CrimInalA op 23 juli 2024 14:42]

[Martinspire]

Ik denk dat als ze hem al in maart omgooien, ze ook wel snel iets gaan uitrollen wat dan niet naar desktop gaat. En ze kunnen nog altijd een killswitch erin maken

[beerse]

Mijn tip aan de redactie was dat authy op de desktop een paar dagen geleden is bijgewerkt. Ze laten de desktop versie dus niet gewoon los of zo iets.

En ook de apps voor mobliele apparaten blijft ook gewoon bestaan, daar veranderd niets aan.

[Jazco2nd]

Aegis Authenticator.
Die is open source. Werkt ontzettend eenvoudig en slaat je codes niet op in een cloud van een 3e partij:

Google Play Store:
https://play.google.com/s...com.beemdevelopment.aegis

Project pagina op GitHub:
https://github.com/beemdevelopment/Aegis

En voor backups kan je bijvoorbeeld een lokale map kiezen via de app en die map synchroniseren, bijvoorbeeld via de gratis FolderSync app, naar je persoonlijke cloud (webDAV, Nextcloud) of iets anders.

[okkies]

Zoals meerdere keren in dit topic en het nieuwsbericht. Geen desktop app die op meerdere plekken synct

[PaulHelper]

Toch vind ik het lastig, lokaal dan is nog steeds 1 apparaat heel belangrijk vaak dus je telefoon.
En sync naar persoonlijke cloud is leuk, maar zet je dan de cloud toegang niet in je wachtwoordmanager anders is het heel leuk 1FA want manager naar cloud naar 2FA backup met mogelijk importen in de Authenticator en klaar is kees.
Ik ben nu zelf ook niet veel beter bezig met 2FAS denk ik maar dat betekent niet dat ik het eigenlijk beter wil.
Als je het kan versleutelen heb je sowieso nog een los tweede wachtwoord nodig dat je moet onthouden en nergens mag staan.

[Jazco2nd]

Je 2e punt geldt toch algemeen: je 2FA niet in je wachtwoord manager zetten? Staat geheel los van in welke cloud je het opslaat?
Ik draai Bitwarden zelf op mijn homeserver.
Los daarvan draait er ook een file cloud op, wachtwoord daarvan staat in Bitwarden, 2FA in Aegis. File cloud en Bitwarden hebben elk hun eigen database met eigen authenticatie en eigen versleuteling (2 aparte services).

Wanneer je je encrypted backup van Aegis in je file cloud op slaat (ieder in zn eigen account), is er dus nog steeds 2FA.
Toegang tot je file cloud geeft je immers geen mogelijkheid om de Aegis backup te ontsleutelen.
Je zal dan toegang tot Bitwarden moeten hebben Plus nog de backup passphrase van Aegis (die je natuurlijk niet in Bitwarden moet bewaren).

[Reactie gewijzigd door Jazco2nd op 23 juli 2024 14:42]

[SilentLucidity]

Mocht je met Windows werken, WSA + Authy draait als een trein hier.

[Rowin2507]

Binnen het Apple kamp zou ik StepTwo aanraden. Al je codes worden gesynchroniseerd via iCloud en de applicaties zijn beschikbaar op iPhone, iPad, Mac en Apple Watch, ideaal!

[foppe-jan]

Aegis

[grizzlywilde]

Kun je twee authenticators tegelijk gebruiken of heb je dan bepaalde diensten in de ene, en andere in de ander?

[FvdM]

Voor TOTP kan je de hash in principe naar verschillende apps kopiëren. Bij sommige diensten kan je meerdere hashes genereren, waardoor elke app een eigen hash krijgt. Maar er zijn ook diensten die met een cloud koppeling werken. Dan wordt het een stuk lastiger.

[prutsger]

Aegis bevalt mij erg goed. Ook te vinden in F-Droid, en bij wijzigingen maakt het automatisch een backup naar een lokale folder, maar dat kan ook een map in bijvoorbeeld Nextcloud of andere WebDav zijn. Handmatig im- of exporteren kan ook.

[zordaz]

Ik zou eens naar Aegis kijken. Gratis, open source, actief onderhouden en met export/import en backup mogelijkheden.

[KouweZakkie]

Ik ben overgestapt naar ente. Werkt prima (en eigenlijk beter, als ik eerlijk ben). Stelletje onbetrouwbare r*kkers bij Authy. Blij dat ik weg ben.

[PaulHelper]

In de reddit van bitwarden is 2FAS samen met aegis volgens mij het advies voor mensen die iets anders zoeken.
Zelf overgestapt van Authy naar 2FAS en vind het eigenlijk misschien wel gebruiksvriendelijker dan Authy. Je kunt met de extensie een soort autofillen door middel van telefoon melding en het is beter open-source en ook import export dan Authy.

[Llopigat]

Gewoon zelf doen met AndOTP of Aegis en zelf je backupjes bewaren. Je hebt helemaal geen dienst nodig.

Ik gebruik zelf nog steeds AndOTP omdat Aegis geen PGP export aan kan, maar Aegis is nog actief onderhouden dus dat is een betere optie als je die vereiste niet hebt.

Uiteindelijk hoop ik van die hele OTP zooi af te zijn en gewoon naar self-hosted passkeys toe te kunnen trouwens. Dat is nog veel beter dan die OTP nummers in te moeten voeren (en veel beter bestand tegen phishing)

[Reactie gewijzigd door Llopigat op 23 juli 2024 14:42]

[FRoSTy]

Ik gebruik ook nog steeds AndOTP, alleen maar om het feit dat de nummertjes rood worden op het moment dat ze bijna verlopen. Zou mooi zijn als Aegis ook zoiets zou krijgen

[Teun!]

Ik gebruik zelf voor op de telefoon aegis, weet niet of deze ook een desktop appt heeft, maar de 2fa tokens kan je er wel mee backup-en, zowel encrypted als unencrypted (succesvol gebruikt om tokens over te zetten tussen 2 android telefoons). Misschien helpt dit (wel allemaal lokaal, voor mij een plus, voor anderen misschien juist niet).

[[Yellow]]

Als je iOS en macOS gebruikt: Strongbox is een alternatieve password manager waarin je (ook) TOTP codes kan opslaan: https://strongboxsafe.com/

[Joao]

Wellicht Yubikey? Eentje als main en die andere ergens bewaren als backup?

[renandstimpy]

Voor iOS/MacOS is Raivo (https://raivo-otp.com/) ook een bekende OTP applicatie, gemaakt door security expert Tijme Gommers. Overzetten is altijd hassle, bij deze applicatie kun je iig eenvoudig een encrypted export maken met de seeds.

[Kaizen]

De app is overgenomen door Mobime.

https://github.com/raivo-...9#issuecomment-1662898925

[Dacuuu]

Aegis (voor Android)

[pbruins84]

En dan moet je een Android emulator gebruiken ofzo?

[maie]

Windows Subsystem for Android

[MoiZie]

Er is wel een export functie, maar geen officiele. Deze heb ik zelf gebruikt om alles te exporteren: https://gist.github.com/g...1a6209c82418d01a59d958c93

[beerse]

En waar heb je dat dan in geïnporteerd?

[MoiZie]

Bitwarden

[sfinx]

Maar om in Bitwarden OTP te gebruiken heb je een Premium abonnement nodig (maar $10 per jaar, maar toch)

[Llopigat]

Niet per se. https://github.com/dani-garcia/vaultwarden

Ik zou hem zelf draaien maar er zijn ook publieke instances ervan: https://vaultwarden.us/

[Reactie gewijzigd door Llopigat op 23 juli 2024 14:42]

[Cybergamer]

Important: You can NOT delete your Authy account, even after migrating your TOTP tokens to another software! If you do, you could be locking yourself out of all the accounts that require Authy!

Enig idee hoe ik dit moet interpreteren? Ik blijf afhankelijk van Authy als ik op een andere authenticator overstap?

[Reactie gewijzigd door Cybergamer op 23 juli 2024 14:42]

[Sorcix]

Naast de authenticator biedt Authy ook aan websitebeheerders een validatie service aan. Ik gebruik Authy al enkele jaren niet meer, maar destijds kon je deze sites herkennen aan TOTP codes van 7 tekens in plaats van 6. Wanneer je je Authy account wist zal je op deze websites niet meer kunnen inloggen. Dat komt omdat Authy op dat moment ook aan hun kant jouw gegevens wist. De websites vragen dan aan Authy om je TOTP te valideren maar die is er niet meer. (En gewoonlijk kan je die 2FA dan ook niet disablen..)

Voor het grootste deel van je 2FA codes (waarbij de website aan de achterkant geen gebruik maakt van Authy, maar gewoon standaard TOTP) is er geen probleem.

[Cybergamer]

Dank je wel voor de uitleg, ik ga mijn accounts dan maar 1 voor 1 overzetten naar Aegis voor de zekerheid.

[KouweZakkie]

Nee, maar uiteraard wel zolang je je authenticator niet hebt uitgeschakeld, en weer hebt ingesteld op iets anders. Eenmaal overgestapt ben je overgestapt.

[RAJH]

Vanmorgen https://github.com/token2/authy-migration gebruikt om de MFA codes over te zetten naar een andere app.

Voor zolang dit nog werkt is dit een simpelere oplossing dan via de oude desktop client.

[Horla]

Bedankt. Via die tool was het heel eenvoudig om de tokens over te zetten. Een aanrader!

[Llopigat]

Nice, ik heb destijds via de web interface van Authy met de hand alles overgezet . Was een hoop gedoe, dit is een stuk handiger. Maar ik ben allang al van Authy af.

[OLED]

“ik vind het belangrijk dat de tokens worden gebackupt in de cloud om te voorkomen dat ik dagen bezig ben met het instellen van een nieuw apparaat.

Welke 2nd factor dienst zou hiervoor een goed alternatief zijn?”

iCloud sleutelhanger; het werkt op mijn iPads, iPhones en ook al mijn Mac, en Windows computers. Je hoeft er niets voor in te stellen, je kunt gewoon overal inloggen met FaceID of TouchID of als je apparaat dat niet heeft zoals Windows, je wachtwoord of toegangscode.
Het is een betrouwbare partij die de gegevens niet analyseert of verwerkt om met derden te delen, het werkt altijd en overal, je kunt 7 dagen per week, van 8 uur ‘s ochtends tot 8 uur ‘s avonds de gratis helpdesk bellen, ook op zondag dus, mocht het je niet lukken om het in te stellen of als je hulp wilt bij het beheren van je wachtwoorden.

Een voorbeeld; ik kocht onlangs een extra iPad mini, ik logde in met mijn Apple ID en Wachtwoord, en dat was het, ik heb nooit meer sleutels of tokens of wat dan ook hoeven te doen, als ik naar x.com ga kan ik op die iPad inloggen met de 2FA sleutel en alles terwijl ik alleen mijn vingerafdruk hoefde in te voeren.
Overigens kan je zelfs wachtwoorden met vrienden of familie of collega’s delen via iCloud sleutelhanger, mocht je dat willen.

Handige bron voor de windows iCloud sleutelhanger: https://support.apple.com...ndows/icwa812f1681/icloud

Al met al bestaat er naar mijn weten geen enkel alternatief voor de iCloud sleutelhanger, als je het eenmaal gebruikt dan lijkt al het andere helaas hobbyproject clunky en amateuristisch waarbij het alleen gratis is als jouw tijd geen waarde heeft.

[Llopigat]

Dat werkt alleen als je op Apple zit. Op mijn Android, Linux en BSD desktops kan ik er niks mee En het kopen van Apple apparatuur maakt het dan opeens toch een hele dure oplossing.

[Reactie gewijzigd door Llopigat op 23 juli 2024 14:42]

[OLED]

Al mijn Unix certified BSD desktops werken hier thuis allemaal gewoon met de iCloud keychain
Bron: https://www.opengroup.org/openbrand/register/

[PaulHelper]

Wow, oke mooi betoog. Het is leuk dat het op een aantal platforms ondersteunt wordt maar bijvoorbeeld Android niet wat voor mij vrij belangrijk is, daarnaast wil ik niet afhankelijk zijn van Apple. Alleen al dat je eigenlijk niks kan beheren als je geen Apple apparaat hebt staat me niet aan.
Bitwarden en volgens mij ook anderen hebben dezelfde support alleen dan nog android en Linux en extensies voor alle grote browsers erbij.
Ik weet niet of je ooit andere dingen hebt geprobeerd maar hobby projecten of clunk zou ik het niet noemen maar misschien is jouw Apple visie daar anders op.
Helpdesk heb ik eigenlijk nog nooit horen voorbij komen maar ik zie niet in waarom je die nodig hebt dus weet niet goed hoe nuttig dat is.
Als het voor jou werkt dan is dat mooi. Ik zelf zou nooit daarop rekenen. Nog iets moois, als je een Mac hebt dan kun je die mooi sleutelhanger niet gebruiken in iets anders dan safari, bijvoorbeeld chromium browsers maar wel op windows op chrome. Make it make sense, nog een zeer goede reden voor mij om niet op zoiets gesloten en walled te vertrouwen voor zoiets cruciaals.

[OLED]

Je weet zelf hoe je eigen managers werken toch? Hoeveel tijd en handelingen het kost om een nieuw apparaat toe te voegen. Of wat te denken als je langere tijd op vakantie bent en je enige apparaat wordt gestolen, kan jij in die situatie überhaupt nog bij je wachtwoorden komen als je een vervangend apparaat ter plaatse configureert?

Het is geen verwijt, maar alleen een toelichting. Alles dat niet altijd op al mijn apparaten overal werkt zonder dat ik er niets voor hoef te doen (geen typfout), is voor mij niets meer dan een hobby.

De telefonische Nederlandstalige gratis helpdesk noemde ik alleen omdat de andere partijen er helemaal geen hebben, maar er is ook een punt voor te maken; zelfs je oma en opa kunnen de iCloud sleutelhanger gebruiken en je hoeft er helemaal niets voor te doen behalve zeggen dat je even geen tijd hebt en ze het telefoonnummer van Apple geven

[PaulHelper]

Klinkt allemaal heel goed. In zulke gevallen heb ik daar andere oplossingen voor die niet veel langer duren dan een telefoongesprekken met Apple.
Ook zou ik Indien ik lang weg ga een backup naast mijn telefoon mee nemen zodat ik niet een single point of failure heb zelfs al zou het alleen op mij aankomen.
Daarnaast klinkt dit niet alleen als een voordeel maar ook een mogelijk nadeel. Wat is de verificatie die ze gebruiken aan de telefoon. Zeg je dat alleen een telefoonnummer genoeg is om alles in handen te krijgen? Zoals ik al zei fijn dat het voor jou goed werkt en een meerwaarde heeft. Ik heb andere oplossingen inclusief backup die niet alleen in mijn handen zijn maar ook niet zomaar op straat liggen.

[FairPCsPlease]

2FA gebruikte ik altijd via de telefoon, maar het fijne vond ik wel van Authy, dat je inloggen ook via de desktop zou kunnen doen, als er met je telefoon wat mis is (stuk, gestolen) om de tijd te overbruggen tot je een nieuwe telefoon hebt. Wat is dan het alternatief om 2FA in te loggen zonder telefoon, als de desktop app stopt?

Het zou eigenlijk wel heel fijn zijn als bedrog niet bestond, zodat wij niet met zijn allen zo vreselijk ingewikkeld hoefden te doen, om gewoon aan te geven 'dit ben ik en dit is mijn account'.

[Reactie gewijzigd door FairPCsPlease op 23 juli 2024 14:42]

[btodsk]

Je kunt ook nog een ander android apparaat voorzien van authy. En stel dat je maar 1 apparaat hebt en die werkt niet meer, dan kun je authy opnieuw installeren en contact opnemen met Twilio. Ze gaan je daar wel allerlei vragen stellen maar helpen u normaal wel verder. Ik heb die vraag ook eens aan hun gesteld en toen zeiden ze dat ze dat dan zo oplossen. Maar dat gaat dan wel een paar dagen duren vrees ik vooraleer het effectief is opgelost.

[FairPCsPlease]

Dank, dat is ook wel een goed idee: Authy op de tablet die ik heb.

[Ethirty]

Ik kreeg gisteren een mail van ze, maar een eerdere mail over het uitfaseren heb ik nooit gehad.
Bijzonder als je zo'n beveiligingsproduct uitfaseert.

[josh-hill]

Dat was ook meteen mijn gedachte. Gisteren is pas de eerste keer dat ik er iets over las, en het was inderdaad de eerste mail die ik hierover van hun heb ontvangen, slechts 5 weken voordat het stopt.