Spionerande appar för tvåfaktors­autentisering

I förra veckans poddavsnitt pratade vi om en spionerande tvåfaktors­autentiserings­app som stal hemligheterna i QR-koderna som användaren skannade. Dessa hemligheter är allt som en angripare behöver för att kunna generera de rätta engångs­koderna.

Den spionerande Iphone-appen uppmärksammades av den tyskkanadensiska säkerhetsduon Mysk. I ett inlägg på Twitter konstaterade duon att appen inte bara hade klarat sig igenom Apples granskningsprocess. Appen marknadsfördes till och med, så att den dök upp som en annons ovanför App Store-sökresultatet när användare letade efter tvåfaktors­autentiserings­appar. Vid publicering av denna artikel är appen fortfarande tillgänglig i App Store.

I lördags uppmärksammade Mysk att Android-versionen av appen betedde sig på samma sätt. Mysk skrev att den spionerande appen till och med var bland de fem först visade apparna som dök upp vid en sökning efter 2FA-appar. Även Android-appen är fortfarande tillgänglig. Den har i skrivande stund över en halv miljon nedladdningar.

Enligt appens datasäkerhets­deklaration delas ingen data med tredje part, vilket inte stämmer. Appen innehåller rent av en mängd spårningskod (rapport hos Exodus Privacy). Förr i tiden ville appen till och med ha åtkomst till användarens kontakter och kalendrar (rapport hos Exodus Privacy).

Som om det inte var nog med detta är både App Store- och Google Play-butikerna fulla av andra skräpappar för tvåfaktors­autentisering. Merparten är av dessa skräpappar är inte skadliga, men de lurar användaren att betala en prenumerations­avgift för något som borde vara gratis. Skräpapparna har ikoner som påminner om seriösa appars diton, och eftersom de dyker upp i annonser ovanför de riktiga sökresultaten är det lätt att luras.

Använd Twilio Authy

Lyckligtvis finns det gott om bra tvåfaktors­autentiserings­appar. Nikka Systems rekommenderade app är Twilio Authy. Den är kostnadsfri och låter dig som användare säkerhetskopiera dina tvåfaktors­autentiserings­hemligheter, så att du inte riskerar att bli utelåst om du tappar bort mobilen. Du kan till och med synkronisera dina tvåfaktors­autentiserings­hemligheter totalsträcks­krypterat så att inte ens Twilio, företaget som driver tjänsten, kan komma åt dem.

Observera att Twilio Authy stödjer två metoder för tvåfaktors­autentisering: de facto bransch­standard­metoden (Google Authenticator-metoden) och Authys egen metod. Under Accounts-fliken i appen kan du se eventuella konton som använder Authy-metoden. Authy-appen totalsträcks­krypterar inte Authy-metodens tvåfaktors­autentiserings­hemligheter. Använd därför alltid de facto bransch­standard­metoden (Google Authenticator-metoden) när så är möjligt.

Nackdelarna med Authy

Authy har två nämnvärda nackdelar. För det första är källkoden stängd. För det andra saknas ett officiellt sätt att exportera alla tvåfaktors­autentiserings­hemligheter för att byta app. Vi hoppas att Twilio i framtiden öppnar källkoden och lägger till exportfunktion. Om inte annat börjar Raivo OTP (Iphone-app med granskningsbar källkod) och Aegis (Android-app med öppen källkod) bli alltmer intressanta alternativ. Dessa appar är för närvarande under utvärdering.

Ytterligare ett alternativ är att använda lösenords­hanterarens inbyggda funktion för tvåfaktors­autentisering. En sådan funktion finns i bland annat premium­versionen av Bitwarden (öppen källkod), 1password och Icloud-nyckelringen.