Dlaczego przeszedłem z Google Authenticatora na Aegis

Przez długi czas korzystałem z Google Authenticatora do kodów 2FA. Działało, więc specjalnie się nad tym nie zastanawiałem. Kod się wyświetlał, logowanie przechodziło, temat był zamknięty.

Do czasu, aż padł mi telefon!

Na szczęście udało się go jeszcze przywrócić do życia, ale przez chwilę zrobiło się nieprzyjemnie. Nagle okazało się, że dostęp do wielu kont zależy od jednego urządzenia i jednej aplikacji. Dopóki telefon działa, wszystko jest wygodne. Kiedy przestaje działać, zaczyna się nerwowe liczenie, do czego jeszcze mam dostęp, gdzie mam kody zapasowe i co będzie, jeśli urządzenia nie uda się uruchomić.

To był moment, w którym stwierdziłem, że pora odejść od Google Authenticatora.

Nie chodzi o to, że samo 2FA jest złe. Wręcz przeciwnie — logowanie dwuetapowe jest bardzo potrzebne. Problem zaczyna się wtedy, gdy drugi składnik logowania nie ma sensownego planu awaryjnego. Jeśli aplikacja z kodami jest tylko na jednym telefonie, to awaria telefonu może szybko zmienić się w problem z dostępem do kont.

Dlatego przeszedłem na Aegis.

Aegis pozwala trzymać kody TOTP w zaszyfrowanej bazie. Dla mnie najważniejsze jest to, że taką bazę można eksportować i robić jej kopie zapasowe. Dzięki temu 2FA przestaje być przywiązane wyłącznie do jednego telefonu. Nadal trzeba chronić bazę i hasło do niej, ale przynajmniej mam kontrolę nad backupem.

U siebie robię kopię bazy Aegis do lokalnej chmurki Nextcloud. To nie jest żadna wielka filozofia, ale daje dużo większy spokój. Jeśli telefon padnie, zostanie zgubiony albo będę go wymieniał, nie zaczynam od zera. Mam kopię, którą mogę odtworzyć na nowym urządzeniu.

Oczywiście taka kopia musi być traktowana poważnie. To nie jest plik, który powinien leżeć luzem byle gdzie. Baza Aegis powinna być zaszyfrowana, hasło powinno być mocne, a dostęp do miejsca backupu również powinien być dobrze zabezpieczony. Backup 2FA jest wygodny, ale jeśli ktoś przechowuje go byle jak, to sam tworzy sobie nowe ryzyko.

Najważniejsza lekcja z tej historii jest prosta: warto przetestować swój plan awaryjny zanim będzie potrzebny.

Dzisiaj mój układ wygląda tak:

• Aegis do kodów 2FA,
• zaszyfrowana baza aplikacji,
• kopia bazy zapisywana w lokalnym Nextcloud,
• świadomość, że awaria telefonu nie odcina mnie od wszystkiego.

To była mała zmiana, ale bardzo praktyczna. Dopóki telefon działa, takie rzeczy wydają się przesadą. Kiedy telefon nagle przestaje działać, człowiek bardzo szybko rozumie, że backup kodów 2FA to nie fanaberia, tylko element normalnego porządku w dostępie do swoich kont.