Diskussion: Samlingstråden gällande kontosäkerhet, tvåfaktorsautentisering (2FA), passkeys & hårdvarunycklar

Jag har alltid dragit mig från att använda en app för 2FA. Om telefonen skulle gå sönder, då kanske man står där och inte kan logga in på någon viktig webbsida förrän man har tillgång till en annan telefon.
Även om t.ex. Google Authenticator erbjuder synkronisering av data numera så kan det ju dröja innan du kan logga in på en ny telefon, då kanske du bara har tillgång till dator en period.

Har du någon metod för att hantera en sån risk? Vore intressant att höra. Om jag skulle skaffa en sån app så skulle det nog bli Google Authenticator.

 

Jag tog bort mitt tidigare inlägg. Det är ju en del i säkerhetstänket att inte berätta allt för mycket om sina egna rutiner.

Använd inte Google Authenticator. Kör helt öppna alternativ som 2FAS eller Ente Auth. Bitwarden har nyligen släppt en egen fristående app för att få den funktionen utanför deras hanterare (se nedan) men jag har inte testat den själv.

Använd en lösenordshanterare. Min rekommendation är Bitwarden (10 dollar om året för privatperson för att få allt är mycket rimligt men man måste inte betala). Där kan du spara 2FA/TOTP-nyckeln för varje tjänst så genererar den TOTP-koderna direkt i Bitwarden (men jag tror att den funktionen kan kräva prenumeration). Bitwarden går även att selfhosta och få alla funktioner gratis, om man vill.

Spara nyckeln du behöver för att kunna generera giltiga 2FA/TOTP-koder för att komma åt lösenordshanteraren (på ett läsligt och lämpligt sätt, måste inte vara digitalt och bra om du kan "ringa en vän" och få nyckeln). I 2FAS/Ente kan du se nyckeln om du glömt skriva ner den eller enkelt vill byta app. Det kan du inte i Googles variant. Alltså alla appar kommer generera samma tidskänsliga TOTP-kod samtidigt. Den genereras ju beroende på tid och den nyckel du anger manuellt eller skannar in med QR-kod i din app när du lägger till kontot. Allt sker utan krav på uppkoppling men din klocka behöver gå rätt.

Använd slumpmässiga lösenord för alla dina inloggningar och aktivera alltid 2FA där det finns. Låt din lösenordshanterare sköta biffen men du får själv fundera på lämpligheten i att spara allt på ett och samma ställe. Det är en avvägning man får göra och du får fundera på hur du gör en rimligt säker backup från din hanterartjänst.

Ja, det kommer ta lite tid att komma åt allt om du tappar sönder alla dina elektroniska enheter samtidigt men för min del är det en rimlig kompromiss. Är det något som känns extra viktigt så finns det ju inga hinder mot att man sätter ett lösenord man kommer ihåg. Nyckel som behövs för att kunna generera giltiga TOTP-koder behöver man ju komma åt på något sätt ändå.

OT men det kanske finns någon mer passande tråd.

 

Ett jäkla meck med att skapa koder hit och dit...alldeles för mycket krångel för mig.

 

Det är väl en kod per site som man måste hålla reda på eller?

Jag är också en av dessa som dragit sig för att aktivera 2FA av samma anledning som @N6290

 

Som flera andra redan har beskrivit så måste man då använda specifika appar och gärna ha extramobil som backup. Har redan blivit helt utestängd från Discord en gång och fick skapa nytt konto pga icke fungerande tvåstegsverifiering (som Discord hade aktiverat utan att ens tillfråga mig).

Så nej tack till extra appar, extra mobiler, säkerhetskoder som måste skrivas ner och hållas koll på hit och dit och tappar du bort mobilen så är du fucked.

 

Lösenordshanterare och två koder att skriva ner. Nyckeln och lösenordet. Klart. Den fyller i åt dig automatiskt om du vill.

Eller så kör du som du gör nu om du är bekväm med det.

 

Har du - eller annan moderator - lust att lyfta ut all diskussion om 2FA ovan, och lägga det i en nyskapad tråd?
Den kunde heta typ: "Samlingstråden om tvåfaktorsautentisering (2FA), passkeys och annan inloggningssäkerhet"

Jag vill gärna fortsätta denna diskussion, men känns olämpligt att svara här, samtidigt är inläggen ovan värdefulla att ha med i en ny samlingstråd tänker jag.

 

Gjorde en liten jämförelse mellan mobila autentiseringsappar för en tid sen, här. Säg gärna till om något är felaktigt osv.

 

kör ni iphone/ipad finns det inbyggt i deras password app, bara att aktivera om ni inte vill ladda ner nån separat app
jag kör både apples egna + proton pass

 

Jag kan passa på att fråga. För Microsoft-konton ska det vara möjligt att välja SMS som metod för 2FA, enligt information på flera officiella Microsoft-supportsidor som jag just läst igenom.

Jag får dock inte det valet. När jag ska aktivera 2FA så föreslår den genast Microsoft Authenticator-appen. Istället för att fråga om jag vill använda en "annan metod" så frågar den om jag vill använda "en annan Authenticator-app", se bild. Där tar det stopp.

Så frågan är: går det, hur gör man?

 

Svar ja! Sedan flera år.