Je koopt een nieuwe telefoon, zet hem aan, en realiseert je dat alle verificatiecodes van je oude apparaat weg zijn. Geen toegang meer tot je e-mail, je cryptoportefeuille, je zakelijke accounts. Het overkomt meer mensen dan je denkt, en precies dan merk je welke verificatie-app je had moeten kiezen. Want Google Authenticator, Microsoft Authenticator en Authy lijken van buiten sterk op elkaar, maar gedragen zich heel anders op het moment dat het er echt toe doet.
Hoe TOTP-verificatie werkt, en waarom dat de basis is van alle drie
Alle drie de apps gebruiken hetzelfde principe: TOTP, oftewel Time-based One-Time Password. Wanneer je tweefactorauthenticatie inschakelt bij een dienst, genereer je samen met die dienst een geheime sleutel, ook wel de ‘seed’ genoemd. Die sleutel wordt opgeslagen in je authenticator-app. Elke dertig seconden combineert de app die sleutel met de huidige tijd en rekent daar een zescijferige code uit. De server doet hetzelfde en kijkt of de codes overeenkomen.
Het slimme aan dit systeem is dat er nooit een code over internet wordt verstuurd. De code bestaat alleen op dat ene moment, op dat ene apparaat. Dat maakt TOTP fundamenteel veiliger dan een sms-code, die onderschept kan worden. Maar het roept meteen een praktische vraag op: wat doe je met die geheime sleutels als je telefoon stukgaat of wordt gestolen? Hier scheiden de wegen van de drie apps zich.
Google Authenticator: sober, simpel, en afhankelijk van één account
Jarenlang sloeg Google Authenticator je codes uitsluitend lokaal op. Geen back-up, geen synchronisatie. Verloor je je telefoon, dan begon je opnieuw. Dat was bewust, en ook eerlijk: hoe minder kopieën van een geheime sleutel er bestaan, hoe kleiner het aanvalsoppervlak.
Inmiddels is er cloudopslag toegevoegd via je Google-account. Handig, maar dit introduceert een nieuw risico. Als iemand toegang krijgt tot jouw Google-account, heeft diegene in één klap ook toegang tot alle seeds die je met de authenticator beschermt. Je tweefactorauthenticatie hangt dan af van de beveiliging van datzelfde Google-account. Dat is een cirkelredenering die beveiligingsexperts al vroeg signaleerden. De encryptie van die cloudopslag is bovendien niet end-to-end: Google kan technisch gezien bij je seeds. Voor de gemiddelde gebruiker is dat waarschijnlijk geen praktisch probleem, maar het is iets om je bewust van te zijn.
Het zwakste punt bij Google Authenticator is dan ook je Google-account zelf. Dat is het eerste wat een aanvaller zal proberen te compromitteren. Phishing, hergebruikte wachtwoorden, een gelekt databestand: al deze vectoren leiden rechtstreeks naar je authenticatorcodes.
Microsoft Authenticator: meer functies, maar ook meer complexiteit
Microsoft Authenticator doet méér dan alleen TOTP-codes genereren. Er zit een wachtwoordmanager in, ondersteuning voor Microsoft-accounts met nummerkoppeling (je bevestigt een getal in plaats van een code in te typen), en pushnotificaties voor Microsoft 365. Voor wie diep in het Microsoft-ecosysteem zit, voelt dat als gemak.
Maar die extra lagen brengen ook extra complexiteit mee. De app doet zoveel dingen tegelijk dat de back-upfunctie voor niet-Microsoft-accounts (de gewone TOTP-codes) apart werkt, en op iOS en Android ook nog eens anders. Het herstelproces na het verlies van je telefoon vraagt meer stappen en is minder intuïtief dan bij Authy. Wij van Domotiga.nl horen regelmatig van lezers die na een telefoonwissel uren kwijt zijn aan het terugzetten van hun Microsoft Authenticator, terwijl ze dachten dat back-up ingeschakeld was.
Het zwakste punt hier is de verwarring die de app zelf veroorzaakt. Gebruikers denken dat hun codes veilig zijn opgeslagen, maar ontdekken te laat dat de back-up alleen Microsoft-accounts dekte en niet de tientallen andere diensten die ze hadden toegevoegd. Dat is geen technische kwetsbaarheid, maar een gebruikersinterface die risico’s creëert.
Authy: versleutelde multi-device back-up als kernfunctie
Authy is van de drie de enige app die versleutelde cloudback-up van je seeds als centrale belofte positioneert. Je stelt een apart back-upwachtwoord in, en je seeds worden versleuteld met dat wachtwoord voordat ze Twilio’s servers bereiken. Zelfs Authy zelf kan niet bij je codes, zolang dat wachtwoord sterk genoeg is en alleen jij het kent.
Bovendien ondersteunt Authy meerdere apparaten tegelijk. Je kunt de app gebruiken op je telefoon én je tablet, wat voor kleine ondernemers of mensen die regelmatig wisselen van werkplek heel praktisch is. Als je telefoon verloren gaat, installeer je Authy op een nieuw apparaat, voert je telefoonnummer en back-upwachtwoord in, en je codes zijn terug.
Het nadeel is dat je Twilio, het bedrijf achter Authy, moet vertrouwen. Twilio heeft in het verleden te maken gehad met een beveiligingsincident waarbij kwaadwillenden via social engineering toegang kregen tot interne systemen. Dat heeft de rust rondom Authy geen goed gedaan. De app is ook niet open-source, wat betekent dat je niet zelf kunt controleren hoe de versleuteling precies is geïmplementeerd. Voor de privacy-bewuste techneut is dat een dealbreaker. Voor de gemiddelde gebruiker is het een afweging tussen comfort en blind vertrouwen.
Vergelijking op de punten die echt tellen
| Criterium | Google Authenticator | Microsoft Authenticator | Authy |
|---|---|---|---|
| Back-up encryptie | Via Google-account (niet E2E) | Via Microsoft-account (niet E2E) | Versleuteld met eigen wachtwoord (wel E2E) |
| Meerdere apparaten | Ja, via Google-account | Beperkt | Ja, kernfunctie |
| Open-source | Nee | Nee | Nee |
| Herstel na telefoonverlies | Eenvoudig via Google-account | Complex, risico op gegevensverlies | Eenvoudig via back-upwachtwoord |
| Zwakste punt | Gehackt Google-account | Verwarrend back-upsysteem | Vertrouwen in Twilio als derde partij |
Aanbeveling per gebruikersprofiel
Er is geen universeel beste keuze, maar er is wel een duidelijk advies per situatie.
Ben je een privégebruiker die gewoon wil dat het werkt, dan is Google Authenticator een redelijke keuze, mits je je Google-account zelf goed beveiligt met een sterk wachtwoord en liefst ook een hardwaresleutel of back-upcode. Zorg dat je altijd de back-upcodes downloadt die diensten je geven bij het instellen van twee-factor-authenticatie dan ben je niet volledig afhankelijk van de app.
Ben je een kleine ondernemer die met meerdere accounts werkt, meerdere apparaten gebruikt of een medewerker hebt die soms ook codes nodig heeft? Dan raden wij van Domotiga.nl Authy aan. De multi-device ondersteuning en het aparte back-upwachtwoord maken het herstelproces voorspelbaar en gecontroleerd. Zorg wel dat je een sterk, uniek back-upwachtwoord kiest dat je ergens veilig bewaart, een wachtwoordmanager is daar geschikt voor.
Ben je een privacy-bewuste techneut die geen vertrouwen heeft in derden? Dan zijn geen van deze drie de ideale keuze. Kijk dan naar alternatieven als Aegis (Android, open-source, lokale versleutelde back-up) of Raivo (iOS, open-source). Maar als je toch tussen de drie moet kiezen, dan heeft Authy de meest transparante encryptie-aanpak, ook al is de broncode gesloten.
Wat je moet doen voordat je overstapt
Wisselen van verificatie-app is geen kwestie van gewoon iets installeren en verwijderen. Als je halverwege iets fout doet, kun je jezelf buitensluiten van diensten. Volg daarom altijd dit stappenplan.
Stap 1. Maak een lijst van alle diensten waarvoor je de huidige app gebruikt. Log in op elke dienst en download of noteer de back-upcodes die je bij het instellen hebt gekregen. Bewaar ze veilig, niet als screenshot op je telefoon.
Stap 2. Installeer de nieuwe app en test hem op één dienst, een dienst waar de inzet laag is. Koppel die dienst aan de nieuwe app, log uit en log opnieuw in met de nieuwe code. Werkt het? Dan ga je verder.
Stap 3. Ga per dienst door het proces van twee-factor-authenticatie uitschakelen en opnieuw instellen. Doe dit niet allemaal tegelijk, maar één voor één. Zo heb je altijd een werkende terugvaloptie.
Stap 4. Verwijder de oude app pas als je alle diensten hebt overgezet en hebt getest dat de nieuwe app correct werkt. Dit klinkt voor de hand liggend, maar het gaat hier regelmatig mis.
Stap 5. Leg een noodplan vast. Schrijf op wat je doet als je telefoon morgen gestolen wordt. Welke back-upcodes heb je? Waar staan die? Wie kan jou helpen bij het herstellen van toegang? Een noodplan dat je nooit nodig hebt is tijdverspilling, een noodplan dat je op het verkeerde moment niet hebt is een ramp.
Google Authenticator is eenvoudig, maar koppelt je beveiliging direct aan je Google-account. Microsoft Authenticator biedt meer mogelijkheden, al is het back-upsysteem verwarrend genoeg om regelmatig voor problemen te zorgen. Authy heeft de sterkste back-upoptie van de drie, maar vraagt wel om vertrouwen in een commercieel bedrijf. Wij van Domotiga.nl raden aan om je back-up in te stellen op de dag dat je de app installeert en een noodplan vast te leggen voordat je het nodig hebt. De keuze zelf hangt af van je situatie, maar hem uitstellen is in elk geval geen goed idee.
