Google Authenticator

Analýza od Mobexer

Když se přihlašuji do důležitého účtu, samotné heslo mi připadá jako zbytečně křehká ochrana. Google Authenticator přidává další krok: po zadání hesla opíšu dočasný kód z telefonu. V běžném používání je to jednoduchý návyk, který nezabere mnoho času, ale pomáhá omezit škody, pokud někdo moje heslo získá. Nejde o správce hesel ani o nástroj, který zabezpečí celý telefon; jeho úloha je mnohem užší a právě v tom je jeho hlavní přínos.

Bezplatný nástroj s jasným účelem

Jde o bezplatnou bezpečnostní aplikaci od Google LLC, která spadá mezi nástroje pro Android. Google ji vydal 21. 3. 2012 a její věkové hodnocení je PEGI 3. V obchodě má průměrné hodnocení 4,3 z 5, založené na zhruba 684 tisících hodnocení; evidováno je také přibližně 698 recenzí a přes 100 milionů instalací. Tyto údaje beru hlavně jako známku toho, že jde o zavedený nástroj, ne jako záruku, že bude vyhovovat každému.

Z hlediska ceny je rozhodování přímočaré: aplikace je zdarma, takže ji lze vyzkoušet bez nákupu a bez nutnosti porovnávat placené tarify. Důležité je nepřisuzovat tomu víc, než to znamená. Bezplatný přístup sám o sobě neříká nic o všech možných nákladech spojených s telefonem, připojením nebo službami, které chráníte; pro samotné používání tohoto autentizátoru však není uvedena cena ke koupi.

V praxi oceňuji, že nástroj nepředstírá, že řeší každý problém s účtem. Vytváří druhý ověřovací krok, který obvykle potřebujete při přihlašování z nového zařízení nebo po odhlášení. Jeho přínos proto závisí na tom, zda dvoufázové ověření zapnete také v nastavení jednotlivých služeb. Pouhá instalace aplikace ještě žádný účet nechrání.

Co mi přináší při každodenním přihlašování

Typický scénář je prostý: přihlásím se k e-mailu na počítači, zadám heslo a služba si vyžádá další ověření. Otevřu aplikaci v telefonu, najdu příslušný účet a přepíšu aktuální kód. Nemusím čekat na textovou zprávu ani hledat papírový záložní seznam pokaždé, když se přihlašuji. Jak často se s tím setkám, závisí na konkrétní službě a jejím nastavení, takže bych nečekal, že budu kód potvrzovat při každém otevření každé aplikace.

Tenhle způsob se hodí hlavně pro e-mail, účty s osobními nebo pracovními údaji a služby, u kterých by ztráta přístupu bolela. E-mail si zaslouží zvláštní pozornost: často přes něj obnovujeme přístup k dalším účtům. Zabezpečit jen méně důležitou službu a nechat hlavní e-mail chráněný pouze heslem by podle mě znamenalo přehlédnout podstatnou část problému.

U podobných kódů se vyplatí rozlišovat mezi zapnutou ochranou a skutečně promyšleným plánem obnovy. Při nastavování nového účtu si proto nejprve připravím jeho vlastní postup pro případ ztráty telefonu, například záložní kódy, pokud je daná služba nabízí. Uložím je mimo zařízení, které právě používám. Telefon s autentizátorem není sám o sobě záložním plánem a tahle drobnost je důležitější než rychlost, s jakou se kód opisuje.

Proč se může hodit aplikace místo SMS

Ve srovnání s ověřováním pomocí SMS nabízí autentizační aplikace praktický rozdíl: pro zobrazení kódu nemusím čekat na doručení zprávy. To se hodí, když se potřebuji přihlásit rychle nebo když zrovna nemám spolehlivý příjem zpráv. Není to však automatické vítězství v každé situaci. Pokud měním telefon, ztratím ho nebo se do něj nedostanu, musím mít přístup k účtům vyřešený jinou cestou. SMS může být pro někoho snazší jako náhradní ověření, i když má vlastní bezpečnostní slabiny.

Další běžnou alternativou jsou přihlašovací potvrzení nebo bezpečnostní klíče. Potvrdit požadavek jedním klepnutím bývá pohodlnější než opisovat kód, zatímco bezpečnostní klíč může být vhodnější pro člověka, který chce ochranu založenou na samostatném fyzickém zařízení. Google Authenticator dává smysl, pokud chci jednoduchý mezikrok bez dalšího nákupu a služba kódy z autentizační aplikace podporuje. Jestli moje největší starost spočívá v tom, že telefon často zapomínám nebo ztrácím, může být jiný způsob ověřování nebo kombinace více metod vhodnější.

Praktické návyky, které ušetří potíže

První užitečný tip je nezabezpečovat všechno naráz bez kontroly. Začal bych hlavním e-mailem a účty, jejichž zneužití by mohlo otevřít cestu k dalším službám. Po zapnutí ověření bych se odhlásil jen tehdy, když vím, že mám po ruce telefon i postup obnovy. Tím si ověřím, že kódy opravdu fungují, místo abych až při naléhavém přihlášení zjišťoval, že jsem nastavení dokončil jen napůl.

Druhý tip se týká přehlednosti. Pokud mám v aplikaci kódy pro více služeb, při každém přidávání si zkontroluji, že rozpoznám, ke kterému účtu položka patří. Kód není heslo, ale přesto nechci ve stresu vybrat špatný řádek nebo si splést pracovní a osobní účet. Pokud se mi služba zdá podezřelá nebo přihlašovací stránka přišla z nečekané zprávy, samotný kód nezadávám: druhý faktor nenahradí opatrnost vůči podvodnému přihlašování.

Třetí věc, na kterou se snadno zapomene, je obměna telefonu. Před prodejem nebo vymazáním starého zařízení si nejprve ověřím, jak konkrétní účty umožňují přenést či obnovit přístup. Nespoléhám na to, že se všechno vyřeší automaticky jen tím, že na novém telefonu nainstaluji stejnou aplikaci. Každá služba může mít vlastní postup a u důležitých účtů je rozumné zkontrolovat ho ještě v době, kdy starý telefon funguje.

Kde je používání pohodlné a kde drhne

Hlavní výhodou je nízká každodenní režie: otevřít aplikaci, najít účet a opsat kód je snadné pochopit i bez technických znalostí. Právě jednoduchost ale znamená, že člověk musí být připravený udělat tento krok při přihlašování. Kdo chce potvrzovat přístup bez přepisování nebo chce mít veškerou správu přihlášení pohromadě se svými hesly, může dát přednost jinému řešení.

Největší tření nastává při změně nebo ztrátě telefonu. Pokud je autentizátor jediné místo, odkud se ke kódům dostanu, bezpečnostní opatření se může proměnit v překážku. Před zapnutím ověřování proto doporučuji projít možnosti obnovy u nejdůležitějších služeb a připravit si záložní způsob. Neznamená to, že aplikace není užitečná; znamená to, že druhý faktor je třeba nastavit společně s plánem pro chvíli, kdy běžné zařízení nebude dostupné.

Další omezení je, že aplikace nepomůže s účtem, který druhé ověření nepodporuje nebo u kterého ho uživatel nezapnul. Také nezabrání všem podvodům: pokud někdo vyláká kód ve chvíli, kdy se právě přihlašuji, druhý krok sám o sobě neodhalí každý trik. Kód proto zadávám jen na stránce nebo v aplikaci, kterou jsem sám otevřel a u níž si ověřuji, že jde o správnou službu.

Google Authenticator není ani náhradou za silná, jedinečná hesla. Jestli používám stejné heslo na mnoha místech, přidání ověřovacího kódu riziko snižuje, ale neodstraňuje příčinu slabého zabezpečení. Pro takový případ dává smysl spojit autentizátor se správcem hesel, který pomáhá vytvářet a udržovat odlišná hesla. Jsou to dvě různé úlohy, ne dvě vzájemně zaměnitelné aplikace.

Komu přinese největší užitek

Nejvíc ho doporučuji lidem, kteří chtějí bezplatně přidat další ověřovací krok k účtům podporujícím autentizační kódy a nevadí jim mít při přihlášení po ruce telefon. Hodí se také těm, kteří se občas přihlašují z nového počítače, spravují několik důležitých účtů nebo chtějí omezit závislost na doručování SMS. S více než 100 miliony instalací jde o rozšířený nástroj, ale samotná popularita není důvod k instalaci; rozhodující je, zda se shoduje s vaším způsobem přihlašování.

Méně vhodný je pro člověka, který nechce při přihlášení opisovat kódy, často nemá telefon u sebe nebo nemá bezpečný postup pro jeho ztrátu. V takovém případě bych nejdřív zvážil ověřování, které podporuje daná služba a které bude skutečně dostupné i v běžném provozu. U pracovních účtů navíc respektuji pravidla organizace: pokud správce vyžaduje konkrétní způsob ověřování, samostatná volba uživatele nemusí být vhodná.

Pro někoho, kdo už používá jinou autentizační aplikaci a má dobře vyřešený přenos i zálohu, nemusí přechod přinést dost velký užitek, aby stál za změnu. Důležitější než konkrétní značka je mít dvoufázové ověření zapnuté, rozumět obnově přístupu a nenechat všechny možnosti uzamčené v jediném telefonu.

Můj verdikt před instalací

Pokud hledáte jednoduchý způsob, jak přidat další vrstvu ochrany k účtům, které podporují kódy z autentizační aplikace, Google Authenticator je rozumná volba a bezplatná dostupnost snižuje riziko, že za vyzkoušení zaplatíte. Největší hodnotu vidím u hlavního e-mailu a dalších účtů, kde by cizí přístup mohl způsobit skutečné komplikace. Začal bych jedním důležitým účtem, ověřil funkčnost a hned si připravil způsob obnovy.

Pokud však chcete pohodlí potvrzení jediným klepnutím, komplexní správu hesel nebo řešení nezávislé na telefonu, porovnal bych ho s možnostmi, které tyto potřeby skutečně pokrývají. Moje doporučení je tedy jasné, ale podmíněné: instalace stojí za zvážení, když vám kódy vyhovují a věnujete chvíli záloze. Bez těchto návyků může i užitečný bezpečnostní nástroj přidat víc stresu než jistoty.

Když přihlašování probíhá mimo běžný režim

Nejlépe si jeho přínos uvědomuji ve chvíli, kdy se přihlašuji na počítači, který nepoužívám každý den. Heslo mohu mít uložené ve správci, ale služba přesto může chtít další ověření. Telefon s kódy pak funguje jako samostatný prostředek, který mám u sebe, zatímco práci dělám na větší obrazovce. Je to praktičtější než hledat SMS v rušném prostředí, ale stále musím mít telefon nabitý, odemčený a dostupný. Pokud cestuji nalehko a telefon obvykle nechávám stranou, tento postup nemusí působit tak bezproblémově jako doma.

Podobně užitečný je při správě několika účtů, které se přihlašují jen občas. Člověk si nemusí pamatovat další heslo, ale měl by si udržet přehled o tom, který kód náleží ke které službě. U účtů s podobnými názvy bych při nastavování volil jasné označení a po přidání ověřil přihlášení v klidné chvíli. Taková kontrola je nenápadná, ale může zabránit tomu, aby se při pozdější naléhavé situaci ukázalo, že jsem kód přiřadil nesprávně nebo nedokončil aktivaci.

Rozdíl mezi kódem, potvrzením a správcem hesel

Při výběru způsobu ochrany je dobré oddělit tři věci, které se často směšují. Správce hesel pomáhá vytvářet a ukládat přihlašovací údaje; autentizátor zobrazuje jednorázový kód, který služba vyžádá jako další krok; potvrzení přihlášení může místo opisování nabídnout klepnutí na žádost. Každá možnost řeší trochu jinou část procesu. Když chci hlavně zabránit opakování stejného hesla, samotný autentizátor mi tento problém nevyřeší. Když mi zase vadí opisování kódů, správce hesel není přímou náhradou za pohodlnější potvrzování.

Oproti SMS má kód v aplikaci výhodu v tom, že ho nemusím vyhlížet jako doručenou zprávu. Oproti potvrzení jedním klepnutím je ale méně pohodlný a vyžaduje správně přepsat údaj. Bezpečnostní klíč může být vhodnější pro člověka, který chce fyzický prostředek oddělený od telefonu, ale znamená další věc, kterou musí mít k dispozici. Neexistuje proto jedna nejlepší volba pro každého: rozhodující je, zda služba danou metodu nabízí a jestli ji dokážu spolehlivě použít i ve stresu.

V každodenním nastavení bych se vyhnul tomu, abych všechny metody považoval za zaměnitelné. Pokud účet dovoluje více ověřovacích možností, dává smysl promyslet, která bude hlavní a jak se dostanu dovnitř, když ztratím obvyklý telefon. Záložní cesta není zbytečný ústupek v zabezpečení; je to pojistka proti tomu, aby se ochrana změnila v trvalé uzamčení vlastního účtu. Konkrétní nabídka se liší podle služby, takže rozhodnutí dělám vždy přímo v nastavení daného účtu.

Jak si nastavení ověřit bez zbytečného rizika

U nově zabezpečeného účtu bych si naplánoval krátký test ještě před tím, než se odhlásím ze zařízení, na kterém jsem právě přihlášený. Zkontroluji, zda služba kód přijme, zda poznám správnou položku v aplikaci a zda vím, kde najdu případné pokyny k obnově. Nejde o složitý postup, ale je mnohem klidnější provést ho, když mám stále dostupnou původní relaci, než až ve chvíli, kdy potřebuji naléhavě pracovat.

V běžném dni může vypadat situace třeba takto: na pracovním notebooku se po delší době přihlašuji k e-mailu, služba požádá o druhý krok a já otevřu telefon. Najdu položku pro správný účet, opíšu kód a pokračuji. Pokud mám více osobních a pracovních přístupů, právě v takové chvíli ocením jasné názvy a předem vyzkoušený postup. Pokud se naopak přihlašuji často z telefonu, který používám i pro samotný účet, může být tento krok méně přirozený; záleží na tom, jak služba ověřování při daném přihlášení nastavuje.

Je také rozumné nespěchat s odstraňováním starého zařízení. Před jeho vymazáním si nejprve u důležitých služeb projdu obnovu a případný přenos ověřovacích údajů, a teprve potom starý telefon odložím. Když už k přístupu nemám původní zařízení, postup se může lišit podle jednotlivých účtů a může zabrat více času. Tohle plánování není výhoda samotné aplikace, nýbrž praktický návyk, který výrazně ovlivňuje, jestli mi bude druhý faktor připadat jako pomoc, nebo jako komplikace.

Rozumná volba pro určité návyky

Největší užitek podle mě získá člověk, který má telefon běžně po ruce, používá více webových účtů a chce jednoduchý způsob, jak přidat k heslu další kontrolu. Pro někoho, kdo se přihlašuje hlavně z počítače, může být přepisování kódu přijatelným kompromisem. Pro uživatele, který chce bezobslužné přihlášení nebo potřebuje snadno sdílet přístup v týmu, může být vhodnější jiný postup podle možností dané služby a pravidel organizace. Sdílení ověřovacích kódů mezi lidmi bych nepovažoval za pohodlnou náhradu za správně nastavené individuální přístupy.

Pokud mám starší nebo pracovní telefon spravovaný organizací, nejdřív bych zkontroloval, zda jeho používání odpovídá pravidlům pro daný účet. U pracovního přístupu může správce vyžadovat konkrétní aplikaci nebo metodu, a osobní preference pak ustupují tomuto nastavení. Stejně tak bych aplikaci vynechal, pokud služba kódy autentizátoru nepodporuje: samotná instalace její možnosti přihlášení nezmění. Nejprve tedy ověřím, jaké metody nabízí účet, který skutečně chci chránit.

Celkově oceňuji, že jde o úzce zaměřený bezplatný nástroj, jehož hlavní užitek se dá snadno pochopit a zařadit do běžného přihlašování. Nečekal bych od něj správu hesel, automatické řešení všech podvodů ani bezstarostný přechod mezi zařízeními. Pokud mi vyhovuje používat kódy a udělám si plán obnovy, je to praktický způsob, jak posílit důležité účty bez pořizování dalšího placeného nástroje. Jestli ale hledám přihlašování bez opisování nebo ochranu nezávislou na telefonu, raději zvolím metodu, která tyto konkrétní potřeby řeší.