Hvad er en godkendelsesapp?

En godkendelsesapp (authenticator-app) laver de sekscifrede koder, du skriver efter din adgangskode, når to-trins-login er slået til. Når du sætter den op, viser tjenesten en QR-kode med en hemmelig nøgle. Appen gemmer nøglen og regner ud fra den og klokken en ny kode hvert 30. sekund. Den virker uden net, og en kode er værdiløs et øjeblik efter.

Sådan bliver koderne lavet

QR-koden indeholder en hemmelig nøgle, som kun tjenesten og din telefon kender. Hvert 30. sekund blander appen nøglen med klokken og gør resultatet til et sekscifret tal. Tjenesten laver samme udregning, og passer tallene, er du inde. Metoden er en åben standard, TOTP (RFC 6238), og derfor virker enhver godkendelsesapp hos enhver tjeneste, der tilbyder “godkendelsesapp” som mulighed.

Telefonen får ikke tilsendt noget, så appen virker også i flytilstand. Det er også derfor, telefonens ur betyder noget: går det et minut eller mere forkert, bliver koderne som regel afvist (sådan retter du det).

Derfor er den sikrere end koder på sms

• En sms går gennem telefonnettet. Får nogen fat i dit nummer – fx ved at narre dit teleselskab til at udstede et nyt SIM-kort – får de også dine koder. En godkendelsesapps nøgle bliver på din telefon.
• Den virker i udlandet, uden dækning og uden et telefonnummer.
• Efter opsætningen forlader nøglen aldrig telefonen, så der er intet at opsnappe undervejs.

Den er ikke perfekt: en overbevisende falsk login-side kan bede om din kode og bruge den med det samme. Tjek adressen, før du skriver en kode. Adgangsnøgler (passkeys) kan ikke fiskes på den måde, hvor tjenesten understøtter dem.

Sådan sætter du den op

1. Installér en godkendelsesapp.
2. Åbn sikkerhedsindstillingerne hos tjenesten, find to-trins-login eller totrinsbekræftelse, og vælg godkendelsesapp (ikke sms).
3. Scan QR-koden med appen. Kan du ikke scanne? De fleste tjenester viser også nøglen som tekst, du kan skrive ind.
4. Skriv den aktuelle kode fra appen for at bekræfte.
5. Gem de backup-koder, tjenesten viser – et andet sted end på telefonen. De får dig ind, hvis telefonen bliver væk.

Hvilken app?

De laver alle de samme koder, så forskellen er, hvor nøglerne ligger, og hvordan de kommer med til en ny telefon:

• Google Authenticator kan gemme koderne på din Google-konto eller bruges uden konto. Flyt den til ny telefon.
• Microsoft Authenticator klarer også login-godkendelser til Microsoft- og arbejdskonti og tager backup til iCloud eller din Microsoft-konto. Flyt den til ny telefon.
• Adgangskodeprogrammer – Apples Adgangskoder på iPhone, 1Password, Bitwarden – kan gemme koden ved siden af adgangskoden.
• Selvstændige apps som 2FAS, Ente Auth og Kode holder koderne adskilt fra adgangskoderne, så ét læk ikke afslører begge dele.

Nogle få tjenester bruger deres egen app i stedet – fx Steam Guard. Og godkendelser med et tryk (“Er det dig? Ja”) er en funktion i tjenestens egen app, ikke i godkendelsesapps generelt. MitID har også sin egen app og virker ikke med godkendelsesapps.

Hvis du mister telefonen

Nøglen findes kun dér, hvor appen gemmer den. Var den synkroniseret eller taget backup af, får du den tilbage på den nye telefon. Hvis ikke, er den væk, og så logger du ind med en backup-kode eller tjenestens gendannelse af konto og sætter to-trins-login op igen. Derfor er backup-koderne vigtige.

Kode

Kode er en iPhone-app fra Peter Theill (19 kr. én gang), der laver de her koder – uden konto, uden reklamer og uden netværkskald. Nøglerne ligger i iPhonens nøglering og følger med til en ny iPhone via iCloud-nøglering, som er end-to-end-krypteret. Kode kan hente koderne fra Google Authenticator og andre apps: Flyt dine koder til Kode.