Wie Twilio, das Unternehmen hinter der 2-Faktor-Authentifizierungs-App Authy, mitteilt, wird man das Angebot in Zukunft zurückfahren. Bereits im August 2024 wird man die Desktop-Apps komplett einstellen und nicht mehr mit Updates versorgen. Ebenso wird es ab diesem Zeitpunkt nicht mehr möglich sein, die entsprechenden Apps für Windows, Linux und macOS herunterzuladen. Als Grund für das Aus der Desktop-Apps gibt man die Fokussierung auf andere Lösungen an.
Nutzer sollen Smartphone-App nutzen oder umsteigen
Benutzer, die Authy auf dem Desktop verwenden, nach dem Willen des Unternehmens zur Smartphone-App wechseln. Falls die 2-Faktor-Authentifizierung zwingend auf dem Desktop genutzt werden muss, empfiehlt Twilio alternative Softwarelösungen. Dazu zählen KeePassXC oder Step Two. Letztere steht jedoch nur Apple-Nutzern zur Verfügung. Wer eine plattformübergreifende Lösung sucht, könnte Bitwarden in Betracht ziehen. Die 2-Faktor-Authentifizierung ist in der Hosting-Variante für 10 Dollar pro Jahr im Premium-Abo verfügbar. In der Self-Hosting-Variante über Vaultwarden fallen lediglich Kosten für Hardware und Strom an. Für Mac-Nutzer funktioniert Authy nach wie vor weiterhin auf dem Desktop, sofern ein Apple Silicon Mac genutzt wird und die Entwickler die Authy-App nicht per Update für den Desktop-Betrieb sperren. In jedem Fall sollten Nutzer jedoch nun hellhörig werden und einen eventuellen Umstieg planen. Alternativ zum Time-based one-time password (TOTP) besteht bei immer mehr Diensten inzwischen auch die Möglichkeit per Hardware-Token, wie dem Google Titan oder einem YubiKey, sicher einzuloggen.
Tipp: Authy zu Bitwarden migrieren
Auf dem Blog kinduff wird bereits seit Oktober 2021 eine Anleitung zur Migration von Authy zu Bitwarden angeboten. Es sei jedoch angemerkt, dass die Anleitung sich eher an ambitionierte Nutzer richtet. Im Fall der Fälle sind Nutzer besser damit beraten sich in bestehende Accounts mit ihrer bisherigen 2-Faktor-Lösung einzuloggen und dann auf ihre neue Lösung, wie zum Beispiel Bitwarden, zu migrieren.
Wieso empfiehlt ihr als Alternative nicht 2FA Authenticator (2FAS).
Ist Open Source und sogar besser als Authy
hier wird nicht Authy empfohlen, sondern Bitwarden
Peter’s Einwand find ich berechtigt, denn hier werden Themen unnötig vermischt.
Der Punkt ist, dass 2FAS die 2-Faktor Codes nicht „nebenbei auch noch“ ausgeben kann, sondern einzig und allein dafür gemacht ist.
Die Idee wie sie Bitwarden und Lastpass anbieten, zusätzlich zum ersten Faktor (Passwort und Zugang dazu) auch noch den zweiten (TOTP) bereit zu stellen sabotiert das Sicherheitskonzept das dahinter steht.
Erlang jemand Drittes Zugang zum Passwort-Tresor, verliert damit nämlich auch der zweite Faktor seine Wirksamkeit. Das ist bequem, aber für sicherheitsbewußte Anwender kein wünschenswerter Zustand.
man muss das neben was der anbieter vorschreibt.
Aus diesem Grund bin ich gestern zum 2FA Authenticator umgezogen. Er ist Open Source, kostet nichts und bietet eine Extension für den Browser an, der die Eingabe des Codes auf einem Desktop PC erleichtert.
Hier wird das Ganze erklärt: https://www.youtube.com/watch?v=pD6ZFYCzNu4
Können Sie auch mit eigenen Worten erklären, warum es nötig ist eine Browsererweiterung zu installieren, um ein 6-stelliges Einmalpasswort nicht mit der Tastatur bzw. wenn vorhanden, mit dem Nummernblock, eingeben zu müssen?
Ist die Menschheit inzwischen so stinkend faul geworden… für poplige 6 Zahlen!?!?!
Ich habe das mit diesen Passwortmanager auch nie verstanden und will es auch nicht.
Meine Passwörter sind natürlich mehr als 6 Zahlen, sie sind 14-stellig aus Zahlen, Ziffern (groß und klein) und Zeichen. Und ich kann mir alle ganz leicht merken.
Sie haben da etwas falsch interpretiert. Es geht hier nicht um Passwortmanager, welche grundsätzlich schon Ihre Daseinsberechtigung haben.
Ein Einmalpasswort ist der zweite Faktor für die Authenifizierung (2FA), nachdem man sein eigentliches Passwort eingegeben hat.
Und wann würde ich so ein Einmalpasswort eingeben? Ich frage nach, weil ich so etwas noch nicht kenne?
Nur bei Diensten, die ein derartiges 2FA anbieten/unterstützen.
Beispiele: bei Amazon, bei Google, bei Github, bei Steam, bei Paypal
Es gibt auch 2FA per SMS.
Also das Prinzip wie das frühere TAN-Verfahren bei einigen Geldinstituten.
2FA per SMS bietet, neben App, Paypal auch heute noch an.
Gut, diese Dienste habe ich auch, aber die bekommt man doch per Mail zugeschickt.
Das kann man mitunter auch im eigenen Konto einstellen auf welchem Weg 2FA erfolgen soll.
Kenne das von Shell ClubSmart. Da meldet man sich mit Benutzerkennung und Passwort an und an die im Konto hinterlegte E-Mail-Adresse wird ein Einmalpasswort gesendet, was man eingeben muss.
Gibts auch z.B. bei Paypal.
Da kann man zwischen Telefonanruf und SMS wählen.
Bei Telefonanruf wird einem die Nummer vorgelesen.
Bei SMS erhält man natürlich eine SMS auf Geräten, die SMS empfangen können.
Wählt man SMS bei einer Festnetznummer, die keine SMS empfangen kann, wird einem am Telefon die SMS mit der Nummer vorgelesen, ist also quasi identisch zu Telefonanruf.
Man sieht hier ganz gut, wie sich Lebensrealitäten unterscheiden.
Während das für Dich, star singt, gut funktionieren mag, tut es das für mich nicht.
Mein Passworttresor zählt 872 Zugangsdaten. Die ersten wurden 2014 angelegt und der (geschätzte) Großteil hat über 20 Zeichen und unterschiedliche Email-Adressen als Benutzer.
Auf Dir, Frank, mal aus meiner Perspektive zu zeigen, weswegen es von Vorteil ist, 2FA-Codes kopieren zu können:
Mein Hauptarbeitsgerät ist der Laptop, mit dem ich oft an anderen Arbeitsplätzen unterwegs bin, während das Smartphone irgendwo liegt. Ich muss unabhänig davon sein. Auch, weil der Akku leer sein kann, das Gerät defekt, verloren, gestohlen oder sonst was sein kann.
Und dann sieht es schlecht auf für jemanden, der schätzungsweise 30x am Tag 2FA-Codes eingeben muss.
Unterschiedliche Anforderungen erfordern unterschiedliche Lösungen.
Ich beziehe mich ausschließlich auf 2FAS i.V.m. der Browsererweiterung und da ist das was Sie für ihren täglichen Arbeitsbedarf beschreiben ausgeschlossen.
2FAS i.V.m. der Browsererweiterung setzt das Smartphone IMMER voraus!!
Na zum Glück habe ich keins
.. was für ein Aufwand
Danke, ist bekannt, deshalb sind auch wir bisherigen Authy-Nutzer so angepisst.
2FA auf ein und demselben Gerät? Damit wird die 2FA ad absurdum geführt. 2FA bedeutet „Wissen und Besitz“ Besitz bedeutet 2. Gerät und Wissen ist der Time-based Code.
Das wirkliche Problem an dieser Änderung ist doch, dass Twilio selbst halt nahelegt, Authy auf mindestens 2 Systemen zu installieren, um mit der Multi-Device-Funktion bei einem verlorenen Gerät a) nicht ausgesperrt zu werden und b) andere Geräte schnell zu (de-)authentisieren zu können. Mir geht es hier jetzt gar nicht darum, dass ich Authy unbedingt auf meinem Windows-Desktop nutzen will (wollte ich nie, hab ich nie), sondern eher darum, dass sie nun mit dem Wegfall der Windows-Version ein mögliches „Backup-Device“ für den Notfall beschneiden. Ist jetzt in meinem Fall kein großes Ding, ich hab zwei Smartphones, aber ich seh da schon zumindest Komforteinschränkungen bei anderen Usern.
Damit fliegt Authy endgültig hatte ich einzig nur noch wegen dem PC Programm benutzt, In den Kommentaren hab ich 2FAS gesehen was sogar ein Browser Addon hat sieht interessant aus hatte die ganzen Codes aber schon nach Aegis gezogen und mit FolderSync Pro aufm PC gesynct, wird allerdings jetzt mit Syncthing ersetzt.
Ich ziehe außerdem momentan meine Passwörter von Bitwarden zu KeePassXC um und kann das ganze sogar mit mein Handy syncen mit dem Programm Syncthing, so muss man das ganze nicht in die Cloud legen endlich mal ein grund alles zu ändern.
Kennt hier keiner WinAuth (3.5.1)? Das ist ein kostenloser Open Source Authenticator für Windows. Auch wenn er schon alt und nicht schön ist, funktioniert er einwandfrei. Ich habe mit ihm die gleichen Codes wie beim 2FAS auf dem Smartphone.
Den 2FAS nutze ich schon lange (und ich hatte nie einen anderen). Ich hatte mir aber schon seit einiger Zeit Sorgen gemacht, dass ich mal keinen Zugriff auf den 2FAS haben könnte. Schließlich kann das Smartphone ja kaputtgehen.
Auf dem Desktop kann ich nun WinAuth nutzen.
WinAuth hat keine Installationsroutine. Einfach das Zip-Archiv entpacken und die WinAuth.Exe platzieren, wohin man möchte. Entweder direkt auf den Desktop oder in Programme und einen Link auf den Desktop.
https://winauth.github.io/winauth/download.html
Es gibt keine Importfunktion. Man muss jeden Token manuell anlegen. Das kann zeitaufwendig werden, aber einfach ist es. Von fast keinem Token habe ich den Geheimschlüssel, allerdings hilft hier die Backup-Funktion von 2FAS weiter! Ich habe es so gemacht:
In 2FAS auf „Einstellungen“ >> „Backup“ >> „als Datei exportieren“ >> „Datei ohne Passwort exportieren“ anhaken! >> „exportieren“.
Die erzeugte Datei hat zwar die Dateierweiterung „2fas“, ist aber eine Textdatei. Per BlueTooth habe ich sie mir auf den Laptop geschoben und sie da mit dem Windows-Editor geöffnet. Entweder klickt man sie an wie sie ist, und wählt dann zum Öffnen den Editor aus, oder man ersetzt/ergänzt die Dateierweiterung durch/mit „txt“. Wer sie öffnet wie sie ist, sollte nicht vergessen den Haken bei „immer diese App zum Öffnen von .2fas-Dateien verwenden“ herauszunehmen, wenn man die Dateiendung „2fas“ nicht dauerhaft dem Editor zuordnen möchte.
Den Editor auf Zeilenumbruch einstellen („Format“ >> „Zeilenumbruch“).
In der ersten Zeile das erste „name“ markieren, dann auf „bearbeiten“ >> „suchen“. Das Suchfenster enthält nun schon den Suchbegriff („name“). Das Suchfenster die ganze Zeit über offenlassen!
WinAuth starten >> „Add“ >> „Google“ auswählen!
Ins Namensfeld kommt nunvder Name, der in der Textdatei unter „Name“ steht. Also kopieren und einfügen.
Dann kopiert man den Code, der in der Textdatei unter „secret“ steht und fügt diesen in das Feld bei Punkt 1 des WinAuth ein.
Dann auf „Verify Authenticator“ klicken und den angezeigten Code mit dem vergleichen, der in der 2FAS auf dem Smartphone angezeigt wird. Er sollte identisch sein!
Um den nächsten Token anzulegen, im Editor-Suchfenstet auf „weitersuchen“ klicken und schon hat man den nächsten Namen und den zugehörigen Secret-Code.
Im Windows Subsystem für Android von Windows 11 läuft Authy!
APK auf Smartphone erzeugen.
In WSA installieren.
Telefonnummer und Passwort eingeben.
Ggf. nicht vergessen zum Einrichten „Allow multi-device“ freizugeben und dann wieder zu sperren.
Beim Starten von Authy wird leider ein Popup angezeigt, dass die Google Play-Dienste erforderlich seien. Die App funktioniert aber trotzdem einwandfrei.
Kriege es leider nicht hin, die Konten vom Google Authenticator nach Authy zu importieren …
Hi @TOTO_G
1) Kannst du diese Schritte bitte etwas näher ausführen (für Erstlinge)?
Im Windows Subsystem für Android von Windows 11 läuft Authy!
APK auf Smartphone erzeugen.
In WSA installieren.
2) Könnte man alternativ nicht aus einem offiziellen Store (hat der Amazon App Store Authy?) die App installieren?
3) Kannst du bestätigen dass der Sync einwandfrei funktioniert?
Danke für etwas Starthilfe! Scheint mir die mit Abstand attraktivste Lösung zu sein, wenn man im Authy-Kosmos bleiben möchte und „nur“ eine neue Lösung für Windows braucht, ohne gleich alles drum herum ändern zu wollen. Vielen Dank schonmal für die Inspiration!
Ich suche immernoch eine Alternative zum Google Authenticator für den PC, damit man nicht ständig ein extra Smartphone dafür rauskramen muss.
hat mit Authy Client leider eh nicht funktioniert ..
Weshalb nicht WinAuth? Ja, die Oberfläche ist nicht schön und soll träge sein, wenn man viele Tokens hat. Die Entwicklung wurde aus Zeitgründen im Januar 2019 offiziell eingestellt. Er wollte eigentlich eine komplett neue Oberfläche schaffen, aber das wäre mit enormem Zeitaufwand verbunden gewesen, den er nicht mehr aufbringen kann. Die letzten Versionen, 3.5.1 und eine Beta 3.6.2, sind von 2017, aber er funktioniert einwandfrei. Man kann nicht nur ein globales Passwort festlegen, sondern auf Wunsch auch für jeden Token ein eigenes. Und man kann ihn an das Gerät und sogar an den Benutzer auf diesem Gerät binden, sodass ein Import der Daten auf einem anderen Gerät oder mit einem anderen Benutzer nicht funktioniert, falls die Konfiguration mal von Gerät gestohlen werden sollte.
Die Updatefunktion sollte man in den Einstellungen deaktivieren! Die Ziel-URL gibt es ja nicht mehr.
Warum keine anderen Desktop-Clients angeboten werden, könnte auch daran liegen, dass man den zweiten Faktor eben nicht auf dem selben Gerät haben sollte, welches dem Code haben möchte. Aber als Notlösung, wenn das einzig andere Gerät (Telefon/Tablet) defekt oder verloren ist, ist es eine Möglichkeit nicht ausgesperrt zu sein.