Gebruikers van Raivo-2fa-app zijn tokens kwijt na recente iOS-update

Gebruikers van de Raivo-otp-app voor iOS klagen dat ze na een update hun data kwijt zijn. Daardoor kunnen ze hun tweetrapsauthenticatietokens niet meer gebruiken. De nieuwe eigenaar van Raivo, Mobime, raadt gebruikers aan om een offline- of iCloud-back-up te herstellen.

Verschillende gebruikers zeggen op platformen zoals HackerNews dat ze alle tokens in de Raivo-app kwijt zijn. Raivo is een iOS-app waarin gebruikers Time-based One-Time Passwords of totp-codes voor tweetrapsauthenticatie kunnen opslaan. Na een recente update zijn die tokens verdwenen, schrijven gebruikers. Opvallend is dat Mobime, het bedrijf achter de app, de mogelijkheid om issues te bespreken heeft uitgezet in zijn eigen GitHub-repo. Die zijn via de Wayback Machine nog te achterhalen. In dat issue schrijven gebruikers dat ze na de update geen toegang meer hebben tot hun tokens.

Mobime raadt gebruikers aan een offline back-up te herstellen, of een back-up uit iCloud te halen. Dat is een mogelijkheid in de app, maar er zullen ook veel gebruikers zijn die de totp-tokens niet synchroniseerden en die tokens daarmee kwijt zijn. Het bedrijf zegt verder in een discussie dat het een update wil uitbrengen van de app waarmee gebruikers hun tokens kunnen importeren en exporteren. Op dit moment zou Apple die update aan het bekijken zijn. Maar, merken sommige gebruikers op, het importeren van die tokens kost in de nieuwe update ineens geld, alsof Ravio plotseling een freemiumverdienmodel heeft geïntroduceerd.

Raivo werd een jaar geleden overgenomen door Mobime. Dat bedrijf maakt verschillende soorten software, maar zet daarin verschillende trackers van bijvoorbeeld Facebook. Mobime zegt nu op GitHub dat het probeert het probleem op te lossen. Het bedrijf zegt verder dat het 'beter was geweest als de error in de app-update eerder aan ons was doorgegeven'. Op kritiek van gebruikers zegt het bedrijf dat het 'er makkelijk voor had kunnen kiezen de volledige repo offline te halen', maar dat het ervoor 'heeft gekozen die open te houden' om met klanten te communiceren.

Update: Mobime lijkt issues te hebben uitgeschakeld, en niet verwijderd zoals eerder in het artikel stond.

Reacties (80)

[graceful]

This is 100% not Tijme's mistake, but ours 1000%. If you are genuinely interested in understanding what caused the significant migration, it is based on a system over which neither we nor you have control.

Unfortunately, the signing mechanism of applications using the iCloud ecosystem is based on the developer team ID. Once the app has been acquired and transferred to the Mobime developer account, it automatically receives a new identifier as long as the application does not get updated. This is impossible if we want to maintain our user base and push more updates in the future.

We currently have a pending version that should help users recover some, if not all, of their lost keys. We will keep working to satisfy each of our users with no exceptions.

https://github.com/raivo-...discussioncomment-9618305

Heeft blijkbaar te maken met feit dat als je in iOS de developer account switcht, je nieuwe identifier krijgt voor je iCloud Keychain. Klinkt nog niet helemaal zo gek, wel erg balen dat ze dit niet vooraf tijdens het testen gezien hebben.

Altijd zo mooi dat mensen willen dat devs testen met dev-data, maar vervolgens de dev dus nooit de productie testing doet.

[- peter -]

Blijkbaar een test probleem dus. Bij zo'n belangrijke app zou je toch verwachten dat alle scenario's wel doorgetest worden.

[JKP]

Het lijkt haast een doelbewuste actie. Voor het terugzetten van je tokens heb je nu ineens een abonnement nodig. Mijn advies: Ver wegblijven van deze app en maak gebruik van het gratis en open source 2FAS Auth (ook geschikt voor iOS).

[Reactie gewijzigd door JKP op 22 juli 2024 16:37]

[Remc0_]

Weinig hulp voor iOS gebruikers, maar voor wie Android gebruikt is er aegis https://getaegis.app/, een opensource app waarmee je automatische encrypted back-ups kan maken naar je eigen targets in je filesystem. Dus bijvoorbeeld Nextcloud of syncthing.

[TijsZonderH]

Zou er onder tweakers behoefte zijn aan een vergelijking van wat populaire totp-apps? Ik twijfel er wel eens over maar ik heb het idee dat ze wel allemaal grotendeels hetzelfde zijn en doen, en dat je dan niet zo'n spannend artikel krijgt.

[Quad]

Wel wachtwoordmanagers!

[TijsZonderH]

say no more fam review: Vijf wachtwoordmanagers onder de loep - Waarin verschillen ze?

[Quad]

Is al weer 3 jaar geleden.

[TijsZonderH]

Er is volgens mij niet zo heel veel veranderd bij die managers. Ik denk er wel eens over nieuwe te bekijken, maar vind het nog steeds moeilijk een onderscheid te maken dat niet arbitrair voelt.

[Yggdrasil]

Sommige password managers ondersteunen nu ook Passkeys. Voor mij wel een onderscheidende factor.

[Quad]

Eens, en een vergelijk met TOTP apps zie ik zelf niet zitten. Ze doen teveel hetzelfde.

Alleen hebben sommige een sync functie zodat je die ook op desktop bijvoorbeeld kan inzien. Maar ja, dan heb je een half A4 gevuld.

[Blokker_1999]

De manier van potentieel syncen/backuppen tussen devices lijkt me zeker wel een artikeltje waard te zijn. De basisfunctie is overal hetzelfde natuurlijk, al zitten daar ook weer verschillen tussen als je de heel grote platforms bekijkt. Zit je veel in de MS wereld te werken, is de MS authenticator al bijna onoverkomelijk. Ook Google heeft meer mogelijkheden dan TOTP met zijn eigen authenticator, En ik verwacht dat er daarbuiten ook nog vele alternatieven zijn met wat extra mogelijkheden.

Maar even interessant kan zijn voor vele gebruikers om te lezen waarom het een slecht idee is om je wachtwoorden en tokens in dezelfde app op te slaan.

[boyd91]

Geen enkele 2FA app doet echt wat ik wil.. Authy kwam in de buurt maar was nog steeds erg gesloten. Toen Authy stopte met de desktop app ben ik maar zelf aan het knutselen gegaan.

Mijn wensen;
- No nonsense mobile app
- Sync via simpele file storage -> WebDav, SFTP, Google Drive, OneDrive, etc.
- Desktop app / autofill via browser extensie (Ik ga toch niet telkens m'n telefoon er bij pakken)
- Geen vendor lock in (ik wil gewoon toegang tot de TOTP secrets)
- Geen account/cloud/enshitification risico

Onmogelijk is het niet en toch biedt geen enkele app dit aan, dus is het mijn huidige avonduren project geworden. De sync is klaar (e2e encryption, multi device met join/approve flow en puur file based). Ik ben nu redelijk gevorderd met de iOS App (React Native) en hoop snel aan de desktop app en/of browser extensie te werken want dat is waar de andere apps het vaak aan ontbreekt.

[bazzi]

Ben benieuwd! Heb je een git repo ofzo?

[boyd91]

Nog niet openbaar gezet, hopelijk heb ik komende week wat tijd om eea op te poetsen en dan zet ik hem open!

[boyd91]

Here you go https://github.com/Webbits/power-auth. De implementatie van de sync staat in https://github.com/Webbits/power-auth/tree/main/app/services

[Reactie gewijzigd door boyd91 op 22 juli 2024 16:37]

[JKP]

De sync is klaar (e2e encryption, multi device met join/approve flow en puur file based).

Hoe heb je die sync vormgegeven? Gebruik je hiervoor een eigen vps of iets dergelijks?

2FAS lijkt met een browserextensie ook in de buurt te komen van wat je wilt. Nadeel is echter dat de sync niet cross-platform is. Authy is voorzover ik weet de enige die dat wel kan.

[boyd91]

Ik vond het belangrijk om geen eigen server nodig te hebben dus heb de hele sync ontworpen op generieke cloud file storage.

Als je je eerste device synced maakt ie een gedeelde symmetrische key aan om al je gedeelde data mee te versleutelen. Vervolgens maakt ie ook een asymmetrische key pair aan om de symmetrische key mee te versleutelen, daarvan blijft de private key on device zodat alleen dat device de gedeelde sleutel kan ontsleutelen.

Als je een nieuw device wilt toevoegen dan genereert die ook weer een asymmetrische key pair en zet zn eigen public key op de gedeelde file storage (dat is dan de join request). Om het nieuwe device goed te keuren ga je naar een reeds joined device en keur het nieuwe device goed. Het bestaande device gebruikt dan de public key van het nieuwe device om de gedeelde sleutel met de nieuwe public key te versleutelen en zo krijgt het nieuwe device toegang tot de gedeelde symmetrische key en daarmee dus ook alle gedeelde versleutelde data.

Ik had nog geen ervaring met het zo gedetailleerd werken met versleuteling dus het was erg interessant om daar eens in te duiken.

[GEi]

Deze reactie bedoeld als reactie op een andere post. Hier verwijderd.

[Reactie gewijzigd door GEi op 22 juli 2024 16:37]

[GEi]

En Enpass, die kan dat ook. En meer.

[xats6nl]

Heb ik (jaren geleden) https://qr4.tf voor gemaakt.
In mijn keepass heb ik entries met https://qr4.tf?{TITLE}:{USERNAME}#{PASSWORD} (in de URL)

[GEi]

Al naar Enpass gekeken?

[boyd91]

Ja, er zijn verschillende password managers die het kunnen. Maar omdat die primair een password manager zijn is de UX daarvan toch niet ideaal. Zo is het bijvoorbeeld omslachtig(er) om nieuwe TOTP accounts toe te voegen of de tokens te zien (aangenomen dat je de password manager functionaliteit helemaal niet gebruikt, om passwords en TOTP gescheiden te houden).

Maar het lijkt inderdaad op wat ik wil bereiken (maar dan alleen voor 2FA). Buttercup is ook zo'n voorbeeld van een password manager die puur met een filesystem als backend werkt.

[Reactie gewijzigd door boyd91 op 22 juli 2024 16:37]

[johanneslol]

Mij lijkt het wel handig, vooral als er zijn die je offline kan backuppen. Ik gebruik alleen die Google authenticatie

[SiC123]

Nou dat Microsoft authenticator goed is voor Microsoft dingen maar daarbuiten af te raden is, is iets dat ik eerder had willen weten. Net zoals dat sommige(?) password managers ook totp kunnen regelen. En misschien de gevaren daarvan, want ik vind het dan geen 2 aparte factoren meer.
Ik vind "2fas" een geweldige app, die kan ook de volgende code previewen.
Mocht je meer uitleg willen, mijn DMs staan open.

[TijsZonderH]

Nou dat Microsoft authenticator goed is voor Microsoft dingen maar daarbuiten af te raden is

Wat bedoel je daarmee?

[SiC123]

Voor Microsoft logins kun je (ook) dat je login pagina 2 cijfers geeft die je in de app moet invullen. Dat werkt geweldig.
Ik loop er alleen te vaak tegenaan dat overdragen van de ene telefoon naar de andere niet goed gaat. Hij geeft dan aan dat de account is overgezet, maar de codes werken niet om in te loggen.
Daarbij is er voor zover ik weet geen mogelijkheid om bij de URL te komen, welke ik in 2fas wel kan benaderen en kopiëren naar een andere totp app.

[Blokker_1999]

De reden dat je niet bij de URL kunt komen is omdat er in essentie geen URL meer is. Je account is gekoppeld aan die authenticator app, dat maakt de push meldingen mogelijk met cijfers. De optie voor TOTP is er nog, maar niet meer standaard te zien en enkel bedoeld voor wanneer je telefoon zelf geen internetverbinding heeft. Heb daarnaast ook nog nooit de behoefte gehad om een token naar een andere app te kopieren. Lijkt me dat 1 app voldoende is. Wat ik wel mis bij de MS authenticator is de mogelijkheid om niet enkel te backuppen naar de cloud, maar ook naar eigen storage.

Met het overzetten van persoonlijke MS accounts heb ik nog nooit problemen gehad, die komen altijd netjes direct in de authenticator app en werken ook gewoon. Wat ik wel spijtig vindt is dat wanneer je ook Azure accounts hebt, dat deze niet hersteld worden, maar dat je daarbij opnieuw de MFA setup moet doen voor dat account. Dat is dan weer wel vervelend.

[divvid]

zelfs het eigen MacOS keychain kan TOTP nog regelen,
Ik moete eerlijk zeggen, nog nooit problemen gehad met de MS authenticator en er is bitter weinig MS spul hier.

[Niet Henk]

Dat klinkt of we inderdaad een review nodig hebben, ik gebruik Microsoft Authenticator voor een hoop niet-Microsoft services en heb tot nu toe nooit ergens last van gehad.

Als ik iets mis hoor ik het graag, als Tweaker zou ik misschien Nextcloud op een home servertje moeten draaien maar die heb ik niet dus vertrouw ik (met enige tegenzin) mijn TOTP codes aan Microsoft.

Moet de uitleg via DM, of kan er ook publiek iets gedeeld worden?

[SiC123]

Zie mijn reactie op Tijs. Hoeft uiteraard niet via DM, maar converseren gaat makkelijker op die manier vind ik.

[crunchytail]

Zeker behoefte aan!

[xxs]

Nou, hier een tevreden Okta Verify gebruiker, zowel zakelijk als privé.

[tom.cx]

Zeker!

[SgtElPotato]

Ja, eentje die bijvoorbeeld gegarandeerd werkt als de servers offline zijn. Eentje met multiplatform bijvoorbeeld, goede backup mogelijkheden. Gebruik zelf al sinds het begin Authy, maar heb nu een klein deel overgezet op 1Password bijvoorbeeld omdat dat net wat makkelijker werkt soms.

[supersterk]

Zeker doen. Heel veel lui, ook hier, begrijpen niet eens de basis van totp en dat ze met een veilige backup van de secrets al een heel eind zijn.

[Jeroen]

Ik zou het combineren met de wachtwoordmanagers aangezien die de totp-functionaliteit soms ook hebben. Als je daarnaar op zoek bent, kun je dus soms beter meteen een (andere) wachtwoordmanager nemen. En ik zou focussen op de technische security en randgevallen zoals in dit artikel.

[GEi]

Neem dan gelijk de wachtwoordmanagers in het algemeen mee, en alstublieft ook Enpass (www.enpass.io). Dit is echt een geweldig product, gebruik het al jaren maar wordt nooit meegenomen in vergelijkingen.

[Zidane007nl]

Daar ben ik onlangs ook naar gemigreerd vanaf Google Authenticator.

[MarnickS]

Ik gebruik nu deze icm Nextcloud nadat Authy stopte met de desktop-app.

[laurxp]

Dat zegt dus vrij weinig. Raivo is ook open-source, en kan ook lokaal encrypted backups maken. Met een app as Aegis is het dus net zo goed een kwestie van een enkele update tot je aan een heel pijnlijk recovery-proces voor je 2FA-tokens kan beginnen.

[n9iels]

Een zeer goede reminder dat een back-up van je 2FA tokens (of de restore-tokens die de meeste websites/apps/services ook uitgeven) zeer belangrijk is. Niet alleen in dit geval, maar ook als je telefoon het onverwacht begeeft.

[DonJunior]

Om die reden bewaar ik mijn oude telefoon en start ik deze 1x per maand (of twee maanden) even op. Synchroniseer ik de TOTP codes tussen beide toestellen en zet ik de oude telefoon weer uit. Mocht mijn telefoon onverhoopt een keer verdwijnen in de toiletpot dan is er in ieder geval daarover geen man overboord.

[Baardmeester]

Gewoon de seed codes in een aparte wachtwoord/totp kluis opslaan wanneer 2fa aanmaakt lijkt mij toch veel makkelijker?

[DonJunior]

Dat heb ik óók

[Blokker_1999]

Zelf laat ik ze vanuit mijn authenticator syncen met de cloudservice. Op een ander apparaat zijn ze dan altijd snel te herstellen. Zo moet ik de apparaten niet in sync houden.

[TheVivaldi]

Interessant ook, want bij het artikel over Infomedics waren er nog wat tweakers die claimden dat zoiets als dit niet mogelijk was bij TOTP omdat het lokaal draait, en dat TOTP daarom beter was dan sms. Nu, er valt heus wel wat te zeggen voor TOTP boven sms (al geef ik de voorkeur aan sms), maar blijkbaar is zoiets als dit dus wél mogelijk.

[Reactie gewijzigd door TheVivaldi op 22 juli 2024 16:37]

[Ramon]

Ik denk dat je die tweakers niet helemaal goed hebt begrepen, want dat een software update data kwijtmaakt is iets wat kan gebeuren en van alle tijden is. Het grote verschil tussen 2fa tokens en SMS is vooraleer dat SMS tokens afgekeken kunnen worden tijdens het versturen en 2fa tokens niet.

[TheVivaldi]

Ik denk dat je mij niet helemaal goed begrepen hebt, want dat is niet waar het over ging.

[watercoolertje]

Nu, er valt heus wel wat te zeggen voor 2FA boven sms (al geef ik de voorkeur aan sms), maar blijkbaar is zoiets als dit dus wél mogelijk.

Ik snap niet hoe 2FA met SMS vergeleken wordt, SMS (als 2de factor naast je login) is precies wat 2FA is

Je kan dus wel SMS met TOTP vergelijken en mogelijk doel je daarop.

Voor mezelf heeft SMS (ook) de voorkeur boven TOTP, wel minder veilig maar wel makkelijker dan TOTP (doormiddel van push dus hoef niet te zoeken, komt gewoon binnen zoals steam authenticatie), en het werkt op je telefoonnummer dus bij een nieuwe telefoon met hetzelfee nummer werkt het instant. TOTP heeft ook voordelen, makkelijker multidevice en veiliger.

[TheVivaldi]

Excuses, ik had per ongeluk 2FA getypt in plaats van TOTP. Bedankt voor het opmerken - bij deze gecorrigeerd!

[Pendora]

2FA is een berekening waarbij er een variabele voor jouw uniek is. Maar de formule kan je natuurlijk wel zo kopiëren en daarmee overzetten.

[Omolomel]

Sinds de laatste update vereist het importeren en exporteren van 2FA codes inderdaad een abonnement: $4,99 per maand of $19,99 per jaar. Absurd.

Raivo was mijn favoriete 2FA app totdat de app werd verkocht aan Mobime. Toen ben ik overgestapt op de aanbeveling van Privacy Guides: Ente Auth. Erg te spreken over de e2ee cloud sync en cross-platform apps. Vergelijkbaar met Authy, alleen dan wel privacy-friendly en gebruiksvriendelijk.

[TijsZonderH]

$4,99 per maand of $19,99 per jaar

Heb je daar een screenshot van? Kan het op de site niet vinden, maar wat een rare prijsstelling is dat...

[SirLenncelot]

https://tweakers.net/i/P9...eYoLxJi1.png?f=user_large

[Eris]

https://tweakers.net/i/_4...Y9vdX2Mu.png?f=user_large

[Blokker_1999]

Lijkt me niet zo vreemd, anders gaan vele mensen 1 of 2 keer per jaar een abbo van 1 maand nemen, enkel en alleen voor de backup, met dan het plan van een abbo te nemen mocht een restore ooit noodzakelijk zijn. Of men neemt 1 maand voor een transfer van het ene naar het andere toestel.

Met die 20 per jaar hoopt men vermoedelijk meer mensen te overtuigen van direct een jaarabbonement te nemen wat voor hen weer meer omzet betekend.

[Horatius]

Belachelijke reactie van het bedrijf, ik zou gelijk opzoek gaan naar een andere app en ze voor niks meer willen gebruiken. Wat een manier om je gebruikers boos te maken

[DigitalExorcist]

Waarom zou je een 2FA-app gebruiken van een partij waar nog nooit iemand van gehoord heeft..?

[TheVivaldi]

Ik heb van zoveel partijen niet gehoord. Zo kan ik niks meer gebruiken.

[Eris]

Was tot gisteren een happy user.. Heb vandaag al mijn 2FA token gemigreerd naar https://2fas.com/ App en Apple Keychain.

Ook de geplande monthly feee van 5 euro / maand of 20 euro / jaar is het mij niet waard.

Jammer om te zien dat weer een goede app kapot gaat aan commercie..

[Kazu]

Oh wauw, de reacties van dat bedrijf in het Github issue zijn echt waardeloos. Hoe arrogant en egocentrisch kun je zijn. Als ik hun app had zou ik meteen vertrekken, ongeacht of je geraakt bent of niet.

[Floris4970]

iOS systeem update of App update op iOS device?

[DigitalExorcist]

App update via de App Store

[haagsepracht]

Het betreft een app update.