En autentiseringsapp är i allmänhet säkrare än SMS för vanlig tvåfaktorsautentisering. TOTP-koder genereras lokalt och är inte beroende av säkerheten hos ett telefonnummer. SMS är fortfarande användbart när starkare metoder inte finns tillgängliga, men det medför risker kopplade till mobilnätet och processen för återställning av konton.
Det bästa alternativet är ofta en passnyckel eller en FIDO-säkerhetsnyckel, eftersom dessa kan motstå nätfiske. Denna jämförelse fokuserar på valet mellan appgenererade koder och SMS.
Snabbjämförelse
- Autentiseringsapp: fungerar offline, undviker risken för SIM-byte, kräver säker säkerhetskopiering och enhetsmigrering.
- SMS: enkelt att komma igång med, fungerar utan separat autentiseringsapp, är beroende av mobiltjänsten och kontrollen över numret.
- Båda: är bättre än inloggning med endast lösenord men kan fortfarande kringgås genom nätfiske i realtid.
Så här fungerar tvåfaktorsautentisering med autentiseringsapp
Under installationen delar tjänsten en hemlig nyckel med appen. Appen kombinerar den hemliga nyckeln med aktuell tid för att generera en tillfällig kod, vanligtvis var 30:e sekund. Läs mer i vår förklaring av TOTP.
Koden genereras på enheten. Vid normal TOTP-användning behöver varken tjänsteleverantören skicka ett meddelande eller telefonen ha mobiltäckning.
Så här fungerar SMS-baserad tvåfaktorsautentisering
Efter lösenordssteget skickar leverantören en tillfällig kod till ett registrerat telefonnummer. Du tar emot meddelandet och anger koden. Säkerheten i denna process beror delvis på leverantören, mobiloperatören, telefonabonnemanget, enheten och återställningsrutinerna.
Säkerhetsjämförelse
SIM-byten och attacker mot telefonnummer
SMS kan äventyras om en angripare övertalar en operatör att flytta ditt nummer till ett annat SIM-kort eller utnyttjar svagheter i operatörens och återställningssystemen. TOTP är inte knutet till telefonnumret, så en SIM-swap i sig överför inte autentiseringsnyckeln.
Nätfiske
Både SMS och vanliga autentiseringskoder kan matas in på en falsk sida och vidarebefordras omedelbart till den riktiga tjänsten. Kontrollera alltid domänen. Passnycklar och säkerhetsnycklar är ett bättre val mot denna typ av attack eftersom autentiseringen är bunden till den legitima webbplatsen.
Avlyssning och leverans
SMS skickas via telekommunikationsinfrastrukturen och kan fördröjas eller exponeras genom förhandsvisningar på enheter, länkade appar, skadlig programvara eller nätverksintrång. Genereringen av TOTP-koder sker lokalt, även om skadlig programvara eller en exponerad inställningshemlighet fortfarande kan äventyra säkerheten.
Risk vid säkerhetskopiering av hemligheten
Autentiseringsappar kräver en plan för om en enhet går förlorad eller behöver bytas ut. Molnsynkronisering kan underlätta återställning men ändrar var inloggningsuppgifterna lagras. Granska appleverantörens säkerhetsmodell och skydda ditt konto.
Bekvämlighet och tillförlitlighet
SMS är välbekant och kräver lite konfiguration, men meddelanden kan fördröjas vid roaming eller i områden med svag mottagning. TOTP fungerar offline och är snabbt efter konfiguration, men migrering kan vara mer komplicerad om appen inte erbjuder en säker överföringsmetod.
Oavsett vilken metod du väljer bör du spara de återställningskoder som leverantören tillhandahåller. Dessa nödkoder bör förvaras på en annan plats än den enhet som används för rutinmässig autentisering.
Vilken metod bör du välja?
- Välj en passnyckel eller en hårdvarubaserad säkerhetsnyckel när tjänsten stöder det.
- I annat fall bör du välja en välrenommerad autentiseringsapp, helst med enhetsskydd och en återställningsplan.
- Använd SMS när det är den enda praktiska andra faktorn istället för att lämna 2FA inaktiverat.
- Undvik att lämna SMS som en onödig reservlösning på ett konto med högt värde om leverantören tillåter att du tar bort det.
När SMS fortfarande kan vara lämpligt
SMS kan vara det enda alternativet som stöds, mer tillgängligt för en viss användare eller ett tillfälligt steg under övergången till en starkare metod. Säkerhetsbeslut bör ta hänsyn till kontots värde, troliga hot, återställningskrav och användbarhet.
Så här byter du från SMS till en autentiseringsapp
- Logga in via den officiella tjänsten och öppna säkerhetsinställningarna.
- Lägg till en autentiseringsapp innan du tar bort en befintlig återställningsmetod.
- Skanna QR-koden eller ange konfigurationsnyckeln på en betrodd enhet.
- Verifiera en ny TOTP-kod.
- Ladda ner nya återställningskoder och förvara dem på ett säkert sätt.
- Testa den nya metoden i en separat session.
- Ta bort SMS först när du är säker på att återställning fortfarande är möjlig.
Vår fullständiga checklista för 2FA-konfiguration täcker varje steg och vanliga misstag.
Vanliga frågor
Är en autentiseringsapp helt säker?
Nej. Skadlig programvara på enheten, nätfiske, osäkra säkerhetskopior och exponerade konfigurationsnycklar utgör fortfarande risker. Den ger bättre skydd än SMS mot övertagande av telefonnummer, men är inte lika motståndskraftig mot nätfiske som en korrekt implementerad lösenordskod eller säkerhetsnyckel.
Kan en autentiseringsapp fungera utan SIM-kort?
Ja. TOTP kräver den lagrade hemligheten och korrekt enhetstid, inte ett SIM-kort eller en mobiltjänst.
Är SMS-baserad tvåfaktorsautentisering bättre än ingen tvåfaktorsautentisering alls?
I många vanliga hotbildssituationer, ja. Ett lösenord plus SMS skapar en extra barriär. Använd ett starkare alternativ när ett sådant finns tillgängligt och är lämpligt.
Kan jag testa en TOTP-konfigurationsnyckel?
För ett konto som du äger eller hanterar kan du använda den webbläsarbaserade 2FA-generatorn. Skydda nyckeln lika noggrant som ett lösenord och läs igenom vår integritetsinformation först.