Wat is een authenticator-app?

Een authenticator-app maakt de zescijferige codes die je na je wachtwoord intypt als tweestapsverificatie (2FA) aanstaat. Bij het instellen toont de dienst een QR-code met een geheime sleutel. De app bewaart die sleutel en berekent daaruit, samen met de huidige tijd, elke 30 seconden een nieuwe code. Dat werkt offline, en elke code is even later alweer waardeloos.

Zo worden de codes gemaakt

In de QR-code zit een geheime sleutel die alleen de dienst en je telefoon kennen. Elke 30 seconden combineert de app die sleutel met de huidige tijd en maakt er een getal van zes cijfers van. De dienst doet dezelfde berekening; komen de getallen overeen, dan ben je binnen. De methode is een open standaard die TOTP heet (RFC 6238). Daarom werkt elke authenticator-app met elke dienst die “authenticator-app” als optie aanbiedt.

Er wordt niets naar je telefoon gestuurd, dus de app werkt ook in vliegtuigmodus. Daarom doet de klok van je telefoon er ook toe: staat die een minuut of meer verkeerd, dan worden codes meestal geweigerd (zo los je dat op).

Waarom het veiliger is dan codes per sms

• Een sms gaat over het telefoonnetwerk. Wie je nummer overneemt, bijvoorbeeld door je provider een nieuwe simkaart te laten sturen (sim-swapping), krijgt ook je codes. De sleutel van een authenticator-app blijft op je telefoon.
• Het werkt in het buitenland, zonder bereik en zonder telefoonnummer.
• Na het instellen verlaat de sleutel je telefoon nooit, dus er valt onderweg niets te onderscheppen.

Perfect is het niet: een overtuigende nep-inlogpagina kan om je code vragen en die meteen gebruiken. Kijk dus naar het adres voordat je een code intypt. Passkeys zijn niet op die manier te phishen, als een dienst ze ondersteunt.

Zo stel je het in

1. Installeer een authenticator-app.
2. Open bij de dienst de beveiligingsinstellingen, zoek tweestapsverificatie op en kies authenticator-app (niet sms).
3. Scan de QR-code met de app. Lukt scannen niet? De meeste diensten tonen de sleutel ook als tekst die je kunt overtypen.
4. Vul de huidige code uit de app in om te bevestigen.
5. Bewaar de back-upcodes die de dienst je geeft, ergens anders dan op je telefoon. Daarmee kom je binnen als je telefoon kwijt is.

Welke app?

Ze maken allemaal dezelfde codes. Het verschil zit in waar je sleutels worden bewaard en hoe ze naar een nieuwe telefoon gaan:

• Google Authenticator kan codes in je Google-account bewaren, of werken zonder account. Overzetten naar een nieuwe telefoon.
• Microsoft Authenticator regelt ook goedkeuringen bij het inloggen voor Microsoft- en werkaccounts, en maakt een back-up in iCloud of in je Microsoft-account. Overzetten naar een nieuwe telefoon.
• Wachtwoordmanagers, zoals de Wachtwoorden-app van Apple op iPhone, 1Password en Bitwarden, kunnen de code naast het wachtwoord bewaren.
• Losse apps zoals 2FAS, Ente Auth en Kode houden codes apart van wachtwoorden, zodat één lek niet allebei prijsgeeft.

Een paar diensten gebruiken in plaats daarvan hun eigen app, zoals Steam Guard. En goedkeuren met één tik (“Ben jij dit? Ja”) is een functie van de eigen app van die dienst, niet van authenticator-apps in het algemeen.

Als je je telefoon kwijtraakt

De sleutel bestaat alleen op de plek waar de app hem bewaart. Was hij gesynchroniseerd of had je een back-up, dan krijg je hem terug op je nieuwe telefoon. Zo niet, dan is hij weg: log in met een back-upcode of via het accountherstel van de dienst, en stel tweestapsverificatie opnieuw in. Daarom zijn die back-upcodes zo belangrijk.

Kode

Kode is een iPhone-app van Peter Theill (€ 1,99, één keer) die deze codes maakt, zonder account, zonder advertenties en zonder netwerkverkeer. Je sleutels staan in de sleutelhanger van je iPhone en gaan via iCloud-sleutelhanger, die end-to-end versleuteld is, mee naar een nieuwe iPhone. Kode kan je codes overnemen uit Google Authenticator en andere apps: Je codes overzetten naar Kode.