Aplikacja autentykator jest wyraźnie bezpieczniejsza od kodów SMS. SMS pozostaje wygodnym rozwiązaniem awaryjnym, ale przy ważnych kontach – poczcie, bankowości czy mediach społecznościowych – lepiej używać kodów TOTP generowanych lokalnie przez aplikację.
SMS czy aplikacja autentykator – najważniejsze różnice
Obie metody zapewniają uwierzytelnianie dwuskładnikowe (2FA), czyli wymagają drugiego elementu oprócz hasła. Różnią się jednak miejscem generowania kodu i odpornością na przejęcie numeru telefonu.
| Kryterium | SMS | Aplikacja (TOTP) |
|---|---|---|
| Bezpieczeństwo | Niskie w porównaniu z TOTP, między innymi przez ryzyko SIM swappingu | Wysokie, ponieważ kod powstaje lokalnie na urządzeniu |
| Działanie offline | Nie, potrzebny jest dostęp do sieci komórkowej | Tak, kod można wygenerować bez zasięgu |
| Zależność od operatora | Duża, kod dostarcza operator komórkowy | Brak bezpośredniej zależności od operatora |
| Backup | Nie wymaga przenoszenia sekretu, ale zależy od bezpieczeństwa numeru | Wymaga zabezpieczenia klucza TOTP i kodów odzyskiwania |
Dlaczego SMS jest bardziej ryzykowny?
Kod SMS trafia na numer telefonu powiązany z kartą SIM. Jeżeli przestępca przejmie ten numer, może otrzymywać również kody 2FA. Najczęstszy scenariusz to SIM swapping, czyli przeniesienie numeru ofiary na kartę SIM kontrolowaną przez atakującego. Do takiego przejęcia może dojść po wykorzystaniu wyłudzonych danych lub manipulacji pracownikiem operatora.
SMS nie jest też rozwiązaniem odpornym na problemy po stronie sieci telekomunikacyjnej. Wiadomość przechodzi przez infrastrukturę operatora, a jej dostarczenie zależy od zasięgu i poprawnego działania usług komórkowych. Nie oznacza to, że każdy kod SMS zostanie przechwycony, ale metoda ma słabszy punkt niż kod generowany bezpośrednio na urządzeniu.
Z tego powodu SMS bywa traktowany jako starsza metoda 2FA. Jest lepszy niż samo hasło, lecz nie powinien być pierwszym wyborem dla kont, których przejęcie mogłoby spowodować straty finansowe albo ujawnienie prywatnych danych.
Jak działa aplikacja TOTP?
Aplikacja autentykator korzysta ze standardu TOTP, czyli jednorazowych haseł zależnych od czasu. Podczas konfiguracji serwis przekazuje aplikacji wspólny sekret, zwykle przez kod QR. Później aplikacja łączy ten sekret z aktualnym czasem i na tej podstawie wyświetla zmienny kod.
Kod powstaje lokalnie, dlatego aplikacja nie musi wysyłać go przez sieć komórkową. TOTP działa offline, o ile telefon ma poprawnie ustawioną datę i godzinę. Samo przejęcie numeru telefonu nie daje wtedy dostępu do kodów, ponieważ są one powiązane z zapisanym sekretem na urządzeniu, a nie z kartą SIM.
Ta metoda ma jednak własne wymaganie. Utrata telefonu bez kopii zapasowej sekretu lub kodów odzyskiwania może oznaczać utratę dostępu do konta. Dlatego bezpieczeństwo TOTP obejmuje nie tylko instalację aplikacji, lecz także przygotowanie sposobu odzyskania dostępu.
Jak przejść z SMS na aplikację autentykator?
Przed zmianą przygotuj aplikację i miejsce na bezpieczne przechowywanie kodów odzyskiwania. Popularne opcje to:
- 2FAS – aplikacja dostępna na iOS i Androidzie
- Aegis – aplikacja dla Androida
- Raivo – aplikacja dla iOS
Samą migrację wykonaj w następującej kolejności:
- Pobierz aplikację autentykator z oficjalnego sklepu i zabezpiecz telefon kodem blokady lub biometrią.
- W ustawieniach konta wygeneruj i zapisz kody odzyskiwania, najlepiej w menedżerze haseł albo innym bezpiecznym miejscu.
- Włącz metodę aplikacji TOTP, zeskanuj kod QR i zachowaj sekret zgodnie z możliwościami wybranej aplikacji.
- Wpisz kod z aplikacji, wyloguj się lub uruchom ponownie proces logowania i sprawdź, czy odzyskanie dostępu działa.
Nie usuwaj SMS-ów jako metody zapasowej przed przetestowaniem aplikacji, chyba że serwis wymaga jej wyłączenia podczas konfiguracji. Po udanym teście możesz pozostawić SMS wyłącznie jako awaryjną opcję, jeśli platforma nie oferuje bezpieczniejszej alternatywy. Gdy zgubisz telefon, użyj kodu odzyskiwania, drugiego skonfigurowanego urządzenia lub procedury odzyskiwania konta u dostawcy.
Przy kontach o najwyższej wartości można rozważyć także klucz sprzętowy, ale w typowym wyborze między SMS-em a aplikacją TOTP lepszą decyzją jest aplikacja. Zapewnia kody niezależne od operatora i znacznie ogranicza ryzyko związane z przejęciem numeru.
