Beste Europese alternatieven voor Authy

Waarom mensen Authy verlaten

Authy kost niets, dus de gebruikelijke vergelijking (Europees product, vergelijkbare functies, betere prijs) heeft hier geen houvast. Niemand betaalt te veel voor Authy. Wat mensen betalen is iets anders.

In augustus 2024 heeft Twilio de Authy-desktopapplicaties voor Windows, macOS en Linux beëindigd. Mensen die hun codes op een laptop genereerden, verloren de client die ze gebruikten, en over bleven de Android- en iOS-apps. Het product is niet slechter geworden; een deel ervan is verwijderd door het bedrijf dat er eigenaar van is.

Dat zou een kleine ergernis zijn als je je codes ergens anders naartoe kon brengen. Dat kan niet: Authy heeft nooit een exportfunctie gehad. Vertrekken betekent inloggen bij elke dienst die je hebt beveiligd, tweefactorauthenticatie uitschakelen en die weer inschakelen met een nieuwe app, één account tegelijk. Hoe langer je blijft, hoe duurder dat wordt, en dat is de werkelijke prijs van een gratis product.

• Er is geen export, dus de uitweg wordt elke maand duurder Elke andere app op deze pagina geeft je je seeds in een bestand. Authy doet dat niet. Dat betekent dat de overstapkosten geen download zijn, maar een middag tweefactorauthenticatie uitschakelen en opnieuw inschakelen voor dertig of tachtig accounts, elk met een eigen instellingenpagina en eigen herstelcodes om op te schrijven. Niets daarvan is toeval, en niets daarvan gaat veranderen.
• Twilio heeft de desktopclient verwijderd De apps voor Windows, macOS en Linux zijn in augustus 2024 stopgezet, waardoor telefoons de enige plek zijn waar Authy nog draait. Voor wie de hele dag op een desktop inlogt op interne systemen, veranderde een copy-paste van twee seconden daarmee in tientallen keren per dag de telefoon pakken. Het toont ook het algemene punt: de client waar je op vertrouwt, bestaat op beslissing van de leverancier.
• Het account is een telefoonnummer, en de telefoonnummers lekten In juli 2024 gebruikten aanvallers een niet-geauthenticeerd Twilio-eindpunt om de telefoonnummers te bevestigen die bij 33 miljoen Authy-accounts horen. Er zijn geen codes of seeds buitgemaakt. Wat wel buitgemaakt is, is een lijst met nummers waarvan bekend is dat ze bij mensen met tweefactorauthenticatie horen. Dat is precies het publiek voor een SIM-swap of een smishingcampagne, en een nummer is veel moeilijker te wijzigen dan een wachtwoord.
• Het is een nevenproduct van een communicatiebedrijf Twilio Inc. in San Francisco verkoopt bericht- en spraak-API's aan ontwikkelaars; een authenticatie-app voor consumenten is niet de kernactiviteit. Dat is de context voor de desktopsluiting en voor een eindpunt dat niet geauthenticeerd was. Het valt ook onder Amerikaanse jurisdictie, wat hier minder zwaar weegt dan elders: de seeds zijn end-to-end versleuteld met je back-upwachtwoord, maar het telefoonnummer, het e-mailadres en de lijst van diensten waarvoor je bent ingeschreven, horen niet in dezelfde categorie geheimen.

Wat je moet vervangen, niet alleen evenaren

Bepaal welke Authy je gebruikt, want de twee versies belanden op verschillende plekken.

De ene is Authy als gewone codegenerator op één telefoon. Die vervangen is makkelijk, en beide opties hier doen het beter, met een exportfunctie erbij. De andere is Authy als gesynchroniseerde dienst: versleutelde cloudback-up, dezelfde tokens op een tablet en een tweede telefoon, herstelbaar als de telefoon in een gracht belandt. Dat is het deel dat Authy echt goed doet en dat een alleen-lokale app helemaal niet doet.

Aegis is het antwoord voor het eerste en wijst het tweede bewust af. Proton Authenticator, de gratis app van het bedrijf achter Proton Pass, is de enige optie hier die beide dekt, en het is ook de enige die codes weer op een desktop zet nadat Twilio dat heeft weggehaald.

De alternatieven vergeleken

Hoe elk alternatief zich verhoudt tot Authy

Wat er echt stukgaat als je overstapt

De migratie is handmatig en er is geen snelkoppeling, dus begin met een inventarisatie. Open Authy, noteer elke token die erin staat en werk die lijst af in plaats van op je geheugen te vertrouwen. De accounts die mensen vergeten, zijn de accounts die ze ooit hebben ingesteld en nooit meer hebben gebruikt, en juist bij die accounts duurt herstel het langst.

Verzamel herstelcodes terwijl je gaat. De meeste diensten bieden een set eenmalige codes aan op het moment dat je een nieuwe authenticator instelt, en dat is het enige moment waarop ze makkelijk te krijgen zijn. Geprint en op een fysieke plek bewaard, redden ze je als er op de derde dag van de migratie een telefoon wordt gestolen.

En verwijder Authy niet op de dag dat je klaar bent. Laat het twee weken geïnstalleerd staan met de tokens intact, want de accounts die je hebt gemist, melden zich de volgende keer dat je erop inlogt, en tot die tijd is Authy het enige dat hun seeds nog heeft.

Hoe krijg ik mijn codes eigenlijk uit Authy?

Met de hand, dienst per dienst, en er is geen truc die dat voorkomt. Authy biedt geen export, dus de werkwijze is: installeer de nieuwe app, open voor elk account de beveiligingsinstellingen, verwijder de bestaande authenticator, scan de nieuwe QR-code, bevestig met een nieuwe code en sla de herstelcodes op die de dienst je aanbiedt.

Doe het in een volgorde en niet allemaal in één keer. Begin met e-mail, want die is het herstelpad voor de rest. Dan alles met geld erin. Dan werkaccounts, waar een beheerder je meestal kan resetten als het misgaat. Laat de lange staart van fora en webwinkels tot de volgende keer dat je erop inlogt.

Houd Authy geïnstalleerd tot het laatste account bevestigd werkt in de nieuwe app. De fout waar mensen echt tegenaan lopen, is Authy verwijderen na een migratie die er geslaagd uitziet, om dan te ontdekken dat één account nooit opnieuw is ingesteld, bij een dienst waarvan het accountherstel vijf werkdagen duurt.

Is Authy onveilig na het blootgestelde telefoonnummer in 2024?

De tokens zelf zijn niet getroffen. Wat aanvallers via het niet-geauthenticeerde eindpunt kregen, was een bevestiging welke telefoonnummers geregistreerd waren, geen seeds, geen codes en geen back-ups.

De schade is indirect en blijvend. Een geverifieerde lijst van mensen die tweefactorauthenticatie gebruiken, is een goede doellijst: overtuigende smishing die zich voordoet als Authy of als een dienst die je gebruikt, en SIM-swap-pogingen tegen nummers waarvan nu bekend is dat ze de moeite waard zijn. Authy-accounts zijn gekoppeld aan een telefoonnummer, dus dit is de identificator waarop het account is gebouwd, geen bijkomstig veld.

Zie het als reden om na te gaan hoe je mobiele provider een SIM-wijziging verifieert, wat sowieso de moeite waard is, en niet als bewijs dat je codes gecompromitteerd zijn. Dat zijn ze niet.

Verlies ik de synchronisatie tussen apparaten als ik wegga?

Alleen als je voor Aegis kiest, en dat is bewust en geen tekortkoming. Aegis houdt een versleutelde kluis op het apparaat en schrijft automatische back-ups naar een locatie die je kiest, bijvoorbeeld een map die je eigen synchronisatietool beheert. Er is geen account, geen server en dus geen synchronisatie in de zin die Authy daaraan geeft.

Proton Authenticator synchroniseert wel, end-to-end versleuteld, over Android, iOS, Windows, macOS en Linux, en het werkt ook helemaal zonder account als je het liever lokaal houdt. Die combinatie (optioneel account, elk platform, gratis) bood Authy niet, ook niet voordat de desktopapps werden teruggetrokken.

Wat je ook kiest, schrijf de herstelcodes op of print ze die elke dienst je geeft bij het instellen. Dat is de echte back-up, en ze werken als elke app op deze pagina je heeft laten zitten.

Moeten mijn tweefactorcodes in mijn wachtwoordmanager staan?

Het is een echte afweging en geen vaste regel. Proton Pass heeft op Pass Plus een ingebouwde authenticator, en codes naast de wachtwoorden zetten maakt inloggen één stap in plaats van twee. Daarom verliezen mensen die dat doen minder accounts, omdat ze hun tweede factor niet kwijtraken.

Het bezwaar is dat beide factoren dan achter één hoofdwachtwoord zitten, en dan zijn twee factoren in feite één factor met extra stappen. Voor een bank, een domeinregistrar of alles met klantgegevens houd je de tweede factor in een aparte app.

Een redelijke verdeling is die waar zorgvuldige mensen toch al op uitkomen: codes voor accounts met veel waarde in een aparte authenticator, codes voor de veertig sites die tweefactor bij je hebben afgedwongen in de wachtwoordmanager. Dat is niet zozeer een compromis als een juiste inschatting van hoeveel elk account waard is.

Welke kies je

Als je Android gebruikt en je codes in een bestand wilt zonder tussenpersoon, is Aegis het antwoord, en het ontbreken van een bedrijf erachter is juist de troef en niet het risico. Stel de automatische back-up in op de eerste dag, niet de dag nadat je de telefoon hebt laten vallen.

Als je Authy op een computer gebruikte en dat in augustus 2024 kwijt bent geraakt, of als je dezelfde tokens op twee apparaten nodig hebt, dan is Proton Authenticator de enige optie hier die dat dekt, en het kost niets.

Als je de codes naast de wachtwoorden wilt, doet Proton Pass dat op Pass Plus. Houd je bank, je e-mail en je domeinregistrar wel in een aparte app, want twee factoren achter één hoofdwachtwoord is gewoon één factor in een ander jasje.

Wat je ook kiest, de reden om nu te verhuizen in plaats van later is rekenkunde. Authy heeft geen export, dus de migratie kost per account, en die prijs stijgt alleen maar.