Google Authenticator

Analys av Mobexer

När jag bedömer en autentiseringsapp tittar jag inte bara på hur snabbt den visar en kod. Jag vill också förstå vad som händer när jag byter telefon, tappar nätet eller behöver logga in i ett konto vid ett olämpligt tillfälle. Google Authenticator är Googles verktyg för att lägga till ett extra steg vid inloggning, och min bild av den är i grunden enkel: den gör en viktig säkerhetsrutin lätt att använda, men det är klokt att tänka igenom återställning innan man blir beroende av den.

Appen är gratis och finns för Android och iOS. Den hör hemma bland verktyg för kontosäkerhet, har PEGI 3 och har funnits sedan den 21 mars 2012. Google LLC står som utvecklare. Den har fått ett genomsnitt på 3,5 av 5 från omkring 660 000 betyg och har installerats över 100 miljoner gånger. Sådana siffror säger inte om den passar just dig, men de visar att den används brett och att många har hunnit möta både dess smidighet och dess begränsningar.

Tryggare inloggning utan att göra vardagen krånglig

Tvåstegsverifiering betyder att lösenordet inte behöver vara det enda som står mellan någon annan och ditt konto. När en tjänst stöder autentiseringskoder kan den be om en tillfällig kod utöver lösenordet. Jag tycker att det är en värdefull skillnad i vardagen: ett läckt eller återanvänt lösenord behöver inte automatiskt räcka för att logga in. Koden ersätter däremot inte ett starkt lösenord, och den skyddar inte mot varje tänkbart angrepp. Den fungerar bäst som en del av flera genomtänkta vanor.

En sak jag uppskattar är att appen inte gör själva kontrollen beroende av att jag just då har internet. När jag behöver en kod på ett tåg, i en källarlokal eller under en resa kan jag öppna appen och använda den utan nätanslutning. Det är särskilt praktiskt när det är själva kontot jag försöker komma åt som kräver en extra kod. Men offlineåtkomst ska inte förväxlas med en garanti för att du alltid kommer in: du behöver fortfarande ha tillgång till den enhet där koderna finns, och tjänsten du loggar in på måste acceptera den aktuella koden.

Vad appen gör – och vad två steg inte gör

När en webbplats eller tjänst erbjuder stöd för autentisering med app visar den normalt en QR-kod under inställningen. Jag skannar den i Authenticator, varpå kontot läggs till och en tidsbegränsad kod visas. Vid inloggning skriver jag in koden när tjänsten ber om den. Det är en ganska liten extra handling, men den innebär att en person som bara känner till lösenordet inte nödvändigtvis kan ta sig vidare.

Det är ändå viktigt att inte tolka kodskydd som ett fullständigt försvar. Om någon lurar dig att lämna ut både lösenord och en aktuell kod kan tvåstegsverifieringen förlora mycket av sin nytta. Jag behandlar därför autentiseringskoder som känsliga uppgifter, ungefär som en tillfällig nyckel, och skriver inte in dem på en sida jag inte själv har öppnat via den riktiga tjänsten. Appen hjälper till med ett extra kontrollsteg; den avgör inte om en webbsida är äkta och den gör inte ett svagt lösenord starkt.

Kontroll över koderna och ansvaret vid telefonbyte

Det som kräver mest eftertanke är inte den vanliga inloggningen utan vad som händer när telefonen försvinner, går sönder eller byts ut. Google Authenticator har stöd för att säkerhetskopiera och överföra koder, vilket kan göra ett byte betydligt smidigare. Jag skulle ändå inte vänta till själva bytesdagen med att ta reda på hur överföringen fungerar. Börja medan den gamla enheten fortfarande går att använda och kontrollera att kontona verkligen finns där du väntar dig på den nya.

En praktisk vana är att spara varje tjänsts egna reservkoder när tvåstegsverifieringen aktiveras och förvara dem på en separat, säker plats. De är till för situationer där den vanliga kodvägen inte fungerar. Jag skulle också se till att ha en återställningsmetod för viktiga konton som inte enbart bygger på samma telefon. Det är en avvägning: fler återställningsvägar kan minska risken att bli utelåst, men de behöver själva skyddas. Appen gör inte den planeringen åt dig.

Här skiljer sig en autentiseringsapp från sms-koder. Sms kan kännas bekant och kräver inte att man öppnar en särskild kodapp, men det är mindre lämpligt att förlita sig på telefonnumret som enda reserv när numret eller åtkomsten till mobilen blir ett problem. En autentiseringsapp fungerar utan uppkoppling, men gör i stället tillgången till telefonen och en genomtänkt återställningsplan viktigare. För den som vill ha så få extra moment som möjligt kan sms vara enklare; för den som vill slippa vänta på meddelanden är appkoder ofta smidigare.

Små rutiner som förebygger stora problem

Jag skulle börja med de konton där ett intrång skulle skapa mest bekymmer, till exempel den e-postadress som används för att återställa andra konton. Gå igenom respektive tjänsts säkerhetsinställningar, aktivera autentisering med app om den erbjuds och spara reservinformationen innan du lämnar sidan. Det kan kännas frestande att skanna QR-koder snabbt och gå vidare, men det är bättre att kontrollera att den första inloggningen fungerar innan man stänger inställningarna.

Ett konkret vardagsexempel är att logga in på ett konto från en lånad dator under en resa. Jag kan skriva in lösenordet och sedan ta fram den aktuella koden på min egen telefon även om nätet på mobilen är opålitligt. När jag är klar loggar jag ut från den lånade datorn och låter inte koden ligga synlig längre än nödvändigt. Det är inte komplicerat, men det visar varför offlinefunktionen är användbar och samtidigt varför telefonen bör vara låst när den inte används.

En annan detalj är att inte radera appen eller återställa telefonen bara för att man tror att koderna redan finns någon annanstans. Kontrollera först att överföring eller återställning fungerar för de konton du faktiskt använder. Om du har många konton är det också värt att ge dem tydliga namn när de läggs till, så att du inte behöver gissa vilken post som hör till vilken tjänst när du har bråttom. Den sortens ordning är lätt att skjuta upp, men den sparar tid när du verkligen ska logga in.

För den som hanterar många konton kan en lösenordshanterare med inbyggd autentisering vara ett alternativ. Fördelen är att lösenord och koder kan finnas samlade i samma arbetsflöde. Nackdelen är att skyddet då blir mer beroende av ett enda verktyg och dess huvudkonto. Jag föredrar att se separat kodhantering som ett tydligt extra steg, medan någon som prioriterar snabbhet och samlad hantering kan uppskatta en annan lösning. Valet handlar alltså inte bara om vilken app som visar koder, utan om vilken typ av beroende man är bekväm med.

Google Authenticator passar bäst för den som vill ha en avskalad kodapp och redan använder tjänster som stöder den här typen av autentisering. Den är också rimlig för personer som ofta loggar in utan stabil uppkoppling eller vill lägga till ett skydd utöver lösenord utan att lära sig ett komplicerat system. Den är däremot inte mitt förstaval för någon som vill att allt ska återställas automatiskt utan att behöva tänka på telefonbyte, eller för den som ofta tappar bort sin enhet och inte vill hålla reda på reservkoder. I de fallen är det klokt att jämföra andra autentiseringslösningar och deras återställningsmöjligheter innan man bestämmer sig.

Jag kan inte dra slutsatser om appens tillstånd eller datahantering enbart utifrån hur den fungerar när jag öppnar den. Därför undviker jag att lova mer om integritet än jag faktiskt kan bedöma. Min praktiska rekommendation är att granska de val som visas i appen och på respektive tjänsts säkerhetssidor, och att vara särskilt noggrann när du överför koder eller använder en synkroniseringsfunktion. Det viktigaste är att förstå vilka kopior och återställningsvägar du själv har valt, inte att anta att en kodapp automatiskt löser hela integritetsfrågan.

Om du funderar på om appen fungerar utan internet är svaret i den centrala användningen ja: den kan visa koder offline. Om du undrar vad du gör när telefonen försvinner är svaret att ha förberett en överföring eller återställning och sparat tjänsternas reservkoder i förväg. Och om du undrar om den ersätter lösenord är svaret nej. Den lägger till ett steg vid inloggning, medan lösenordet fortfarande behöver vara unikt och väl skyddat.

Min samlade bedömning är positiv, men inte okritisk. Google Authenticator gör kodbaserad tvåstegsverifiering lätt att komma igång med och har en tydlig styrka i att koder kan användas även utan internet. Samtidigt blir tryggheten i praktiken beroende av att du tar ansvar för enheten och planerar för förlust eller byte. Om du är beredd att göra den lilla förberedelsen tycker jag att den är ett användbart verktyg. Om du vill ha en lösning där återställning och kontohantering sköts så automatiskt som möjligt bör du jämföra alternativen innan du flyttar alla dina koder.

Enkel installation och användarvänlighet

Först och främst, installationen av Google Authenticator är en bris. Du laddar bara ner appen från din appbutik - tillgänglig både för Android och iOS - och du är igång på nolltid. När du öppnar appen för första gången, möts du av ett rent och enkelt gränssnitt. Inga krångligheter här, vilket jag verkligen uppskattar.

Att lägga till konton är också mycket enkelt. Du behöver bara skanna en QR-kod från den tjänst du vill skydda, och vips, appen genererar en sexsiffrig kod som uppdateras var 30:e sekund. Det är nästan som magi, fast på ett säkert sätt.

Varför tvåfaktorsautentisering?

Tvåfaktorsautentisering kan låta lite tekniskt, men det är verkligen en extra säkerhetsnivå för dina konton. Utöver ditt lösenord, behöver du även en kod från Google Authenticator för att logga in. Det betyder att även om någon lyckas få tag på ditt lösenord, kan de inte komma åt ditt konto utan den här extra koden. Smart, eller hur?

Säkerhet och integritet

En av de saker jag gillar mest med Google Authenticator är att den fungerar offline. Det innebär att du inte behöver oroa dig för att bli av med koder om du inte har internetuppkoppling. Ingen data lagras i molnet, vilket innebär att dina koder är säkra och bara finns på din enhet.

Det finns också en funktion för att säkerhetskopiera och överföra dina koder när du byter enhet. Detta gör processen sömlös och minimerar risken för att förlora dina autentiseringskoder.

Användbarhet i vardagen

Sedan jag började använda Google Authenticator, har jag märkt hur mycket enklare det är att hålla mina konton säkra. Jag behöver inte oroa mig för att mina lösenord hamnar i fel händer. Dessutom har jag märkt att fler och fler tjänster erbjuder stöd för tvåfaktorsautentisering, vilket gör appen ännu mer användbar.

Jag har också börjat känna mig mer trygg när jag använder mina konton, särskilt när jag är ute och reser. Att veta att jag har den extra säkerhetsnivån gör mig lugnare.

Sammanfattningsvis är Google Authenticator en fantastisk app för alla som vill öka sin säkerhet online. Det är enkelt att använda och ger en stor känsla av trygghet. Om du inte redan använder den, rekommenderar jag starkt att du provar den. Det kan verkligen göra en stor skillnad i din digitala vardag.