Das soll ein Thread für Android OTP Apps werden, welche gibt es, wie sind die Erfahrungen? Free + Open Source ? Features ? Sync ? Import / Export ? Pin Schutz ?
Ich fange an:
Das soll ein Thread für Android OTP Apps werden, welche gibt es, wie sind die Erfahrungen? Free + Open Source ? Features ? Sync ? Import / Export ? Pin Schutz ?
Ich fange an:
Als eine Kombination von Hardware und OTP, gibt es noch den yubico authenticator:
https://www.yubico.com/products/yubico-authenticator/
Ist vorallem praktisch für Anwendungen die weder Fido noch youbico otp unterstützen (z.B. Netcup - das H unterstützt yubico nativ).
Setzt nartürlich den Besitz eines entsprechenden Schlüssel voraus.
(Hab meine 4 von der damaligen Cloudflare Aktion)
Kann nicht viel zum Thema sagen, aber ich hatte auf die schnelle nach einer 2FA App gesucht und Aegis Authenticator wurde öfters empfohlen, daneben z.B. FreeOTP+.
Beides Freie Software und Open Source Software.
Habe dann Aegis gewählt, hauptsächlich wegen folgender Funktionen:
Features von Aegis Authenticator:
Nachteile von Aegis Authenticator sind bzw. könnten sein:
Da 2FAS hier im Forum schonmal erwähnt wurde, habe ich mir das auch mal kurz angeschaut und das überzeugt mich nicht wirklich:
Browser-Extension und Sync könnten interessante Features von 2FAS sein, brauche ich persönlich aber nicht.
Was ich an 2FAS gut finde:
Ansonsten sind meine Erfahrungen mit Aegis Authenticator bis jetzt reibungslos.
Völlig OS unabhängig:
Ich habe meine OTPs in 1Password (auf dem EU Server). Dadurch können sie nicht verloren gehen, wenn das eine OTP Geräte kaputt / verloren geht, gestohlen wird oder sonst nicht mehr verwendbar ist.
Hardwarefaktoren wie Yubikeys haben mit 25 Keys nur eine sehr begrenzte Speichermöglichkeit für Faktoren, wenn man trotzdem welche verwenden will, wäre es wohl empfehlenswert, nur EINEN Key auf einem solchen Hardwaregerät für die Verwendung mit einem unterstützten Passwortmanager zu verwenden, z.B. 1Password | Two-Factor Authentication | Yubico . Wenn man das so machen will, daran denken, dass man mindestens ZWEI Hardwarekeys kauft und einrichtet.
Völlig OS unabhängig:
Ich habe meine OTPs in 1Password (auf dem EU Server). Dadurch können sie nicht verloren gehen, wenn das eine OTP Geräte kaputt / verloren geht, gestohlen wird oder sonst nicht mehr verwendbar ist.
Hardwarefaktoren wie Yubikeys haben mit 25 Keys nur eine sehr begrenzte Speichermöglichkeit für Faktoren, wenn man trotzdem welche verwenden will, wäre es wohl empfehlenswert, nur EINEN Key auf einem solchen Hardwaregerät für die Verwendung mit einem unterstützten Passwortmanager zu verwenden, z.B. 1Password | Two-Factor Authentication | Yubico . Wenn man das so machen will, daran denken, dass man mindestens ZWEI Hardwarekeys kauft und einrichtet.
Bitwarden bietet da eine ähnliche Funktion (bzw. Die gleiche).
Bitwarden sehe ich dabei grundsätzlich als die bessere Option, aufgrund seines Open Source Ansatzes (und dazu ist auch noch günstiger)
Den Nachteil sehe ich vor allem darin, dass man den zweiten Faktor mit dem ersten speichert und so mehr oder weniger nur einen Faktor hat bzw. einen zentralen Angriff Punkt.
Zu den maximal 25 Codes - stimmt ist nicht viel, aber OTP ist für die Keys ja nur als die letzte Option gedacht. Die meisten Anwendungen unterstützen Fido oder yubico OTP (z.B. nutze ich die OTP Funktion nur für Netcup und Nextcloud + ein paar Anwendungen die nur einen Fido Schlüssel erlauben)
Nach kurzem Testen aller Android Apps, sind nur noch 2 geblieben:
die alles können was man sich als techn. Anwender wünscht.
Nach dem Lesen von ArchLinux OTP hatte ich natürlich einige Wünsche an die App, z.B. Secret / Hash-Funktion im Klartext einsehen...
Alle anderen haben irgendeine Einschränkung oder Account Zwang.
Enttäuscht war ich von KeePassDX. Ist erstmal 1:1 genauso gut wie die Linux Variante KeePassXC - daher dachte ich: super!
Dann aber die Erkenntnis: QR Code Scanner ist in der App nicht eingebaut, man soll laut Entwickler eine Dritt App verwenden...
Wo gibt es denn sowas, dass man das base32 Secret abtippt, wo man das Smartphone mit Kamera in der Hand hält. Kopfschütteln.
OTP Secret als QR Code weitergeben ist natürlich auch nicht drin.
Bitwarden bietet da eine ähnliche Funktion (bzw. Die gleiche).
Bitwarden sehe ich dabei grundsätzlich als die bessere Option, aufgrund seines Open Source Ansatzes (und dazu ist auch noch günstiger)
Yep. Kann man natürlich auch nehmen.
Den Nachteil sehe ich vor allem darin, dass man den zweiten Faktor mit dem ersten speichert und so mehr oder weniger nur einen Faktor hat bzw. einen zentralen Angriff Punkt.
Ja, ist erst einmal unsicherer, allerdings ist man trotzdem gegen den häufigsten Fall: "Benutzername/eMailadresse und Passwort werden durch einen Hack geleakt" gesichert.