Hva er en authenticator-app?

En authenticator-app, eller autentiseringsapp, lager de sekssifrede kodene du skriver inn etter passordet når tofaktorinnlogging (2FA) er slått på. Når du setter den opp, viser tjenesten en QR-kode med en hemmelig nøkkel. Appen lagrer nøkkelen og regner ut en ny kode hvert 30. sekund fra nøkkelen og klokka. Den virker uten nett, og hver kode er ubrukelig et øyeblikk senere.

Slik lages kodene

QR-koden inneholder en hemmelig nøkkel som bare tjenesten og telefonen din kjenner. Hvert 30. sekund kombinerer appen nøkkelen med tiden og gjør resultatet om til et sekssifret tall. Tjenesten gjør den samme utregningen; stemmer tallene, slipper du inn. Metoden er en åpen standard som heter TOTP (RFC 6238), og derfor virker enhver autentiseringsapp med enhver tjeneste som tilbyr «autentiseringsapp» som valg.

Ingenting sendes til telefonen, så appen virker også i flymodus. Det er også derfor klokka på telefonen betyr noe: går den ett minutt eller mer feil, blir kodene som regel avvist (slik fikser du det).

Derfor er det tryggere enn koder på SMS

• En SMS går gjennom mobilnettet. Den som tar over nummeret ditt – for eksempel ved å lure operatøren til å utstede et nytt SIM-kort, såkalt SIM-swapping – får kodene dine også. Nøkkelen i en autentiseringsapp blir på telefonen din.
• Den virker i utlandet, uten dekning og uten telefonnummer.
• Etter oppsettet forlater nøkkelen aldri telefonen, så det er ingenting å fange opp underveis.

Den er ikke perfekt: en overbevisende falsk påloggingsside kan be om koden din og bruke den med en gang. Sjekk adressen før du skriver inn en kode. Passnøkler kan ikke phishes på den måten, der tjenesten støtter dem.

Slik setter du den opp

1. Installer en autentiseringsapp.
2. Hos tjenesten åpner du sikkerhetsinnstillingene, finner tofaktor- eller totrinnsinnlogging og velger autentiseringsapp (ikke SMS).
3. Skann QR-koden med appen. Får du ikke skannet? De fleste tjenester viser også nøkkelen som tekst du kan skrive inn.
4. Skriv inn koden som står i appen akkurat nå, for å bekrefte.
5. Ta vare på reservekodene tjenesten viser deg – et annet sted enn på telefonen. Med dem kommer du inn hvis telefonen blir borte.

Hvilken app?

Alle lager de samme kodene, så forskjellen er hvor nøklene dine lagres, og hvordan de blir med til en ny telefon:

• Google Authenticator kan lagre kodene på Google-kontoen din, eller virke uten konto. Slik flytter du den til ny telefon.
• Microsoft Authenticator tar seg også av påloggingsgodkjenninger for Microsoft- og jobbkontoer, og tar sikkerhetskopi til iCloud eller Microsoft-kontoen din. Slik flytter du den til ny telefon.
• Passordbehandlere – Apples Passord-app på iPhone, 1Password, Bitwarden – kan lagre koden ved siden av passordet.
• Egne apper som 2FAS, Ente Auth og Kode holder kodene adskilt fra passordene, så én lekkasje ikke gir bort begge deler.

Noen få tjenester bruker sin egen app i stedet – Steam Guard, for eksempel. Og godkjenning med ett trykk («Er dette deg? Ja») er en funksjon i tjenestens egen app, ikke i autentiseringsapper generelt.

Hvis du mister telefonen

Nøkkelen finnes bare der appen lagrer den. Var den synkronisert eller sikkerhetskopiert, får du den tilbake på den nye telefonen. Var den ikke det, er den borte: logg inn med en reservekode eller tjenestens kontogjenoppretting, og sett opp tofaktorinnlogging på nytt. Det er derfor reservekodene er viktige.

Kode

Kode er en iPhone-app av Peter Theill (29 kr, én gang) som lager disse kodene, uten konto, uten reklame og uten nettverkstrafikk. Nøklene dine ligger i nøkkelringen på iPhonen og blir med til en ny iPhone via iCloud-nøkkelring, som er ende-til-ende-kryptert. Den kan ta over kodene dine fra Google Authenticator og andre apper: Flytt kodene dine til Kode.