Authenticator App - Password

ניתוח מאת Appcrazy

אפליקציית אימות דו־שלבי אמורה להפוך את הכניסה לחשבונות לבטוחה יותר, אבל בפועל היא נבחנת דווקא ברגע שבו קוד לא מתקבל, הטלפון הוחלף או שהמשתמש מנסה להבין מה לסרוק. אחרי שבדקתי את Authenticator App - Password, התחושה שלי היא שמדובר בכלי פשוט יחסית למי שכבר מכיר את הרעיון של קודי אימות, אך לא באפליקציה שמעלימה את כל החיכוך שמסביב לתהליך.

האפליקציה שייכת לקטגוריית הכלים, פותחה על ידי SUNMARE DIGITAL TEKNOLOJI YAZILIM SANAYI TICARET, והיא זמינה ללא תשלום בסיסי. לצד זאת, מופיעות רכישות בתוך האפליקציה בטווח של 34.90 עד 175.00 ש״ח לפריט, ולכן כדאי לשים לב למסך התשלום אם מוצעות אפשרויות נוספות במהלך השימוש. היא מדורגת PEGI 3, מתאימה למכשירים עם Android 6.0 ומעלה, והגרסה הנוכחית שלה היא 1.0.9.

איפה בדרך כלל נתקעים בזמן השימוש

הקושי הראשון אינו בהכרח באפליקציה עצמה. משתמשים רבים פותחים כלי אימות כשהם כבר נמצאים באמצע הגדרת אבטחה באתר אחר, ואז מצפים שהאפליקציה תדע לבד איזה חשבון להוסיף. בפועל, בדרך כלל צריך להתחיל בשירות שבו רוצים להפעיל אימות דו־שלבי, להגיע למסך שמציג קוד QR או מפתח הגדרה, ורק אז לעבור לאפליקציה. אם מדלגים על הסדר הזה, קל לחשוב שהכלי לא עובד.

גם קוד QR שאינו מוצג היטב עלול ליצור בלבול. מסך כהה מדי, הגדלה בדפדפן, חלון קטן או ניסיון לסרוק קוד שמופיע על אותו מכשיר יכולים להקשות על התהליך. במקרה כזה, עדיף לחפש בשירות המקוון אפשרות להזנה ידנית של מפתח ההגדרה. זו אינה תקלה מיוחדת של Authenticator App - Password, אלא דרך חלופית שחשוב להכיר לפני שמתחילים למחוק ולהתקין מחדש.

נקודת חיכוך נוספת היא ההבדל בין סיסמה לבין קוד חד־פעמי. האפליקציה מיועדת לשכבת אימות נוספת, לא להחליף את הסיסמה של החשבון. אם אתר דוחה את הקוד, כדאי לבדוק קודם שהסיסמה נכונה ושנמצאים במסך הכניסה המתאים. ניסיונות חוזרים עם קוד של שירות אחר עלולים להוביל לנעילה זמנית, ולכן אני מעדיף לעצור, לקרוא מחדש את שם החשבון ולוודא שהרשומה הנכונה נבחרה.

הדירוג הממוצע של האפליקציה הוא 3.4 מתוך 5, עם בערך 11 אלף דירוגים. מבחינתי, זה משקף כלי שימושי אך לא בהכרח חוויה חלקה לכל אדם. מי שמכיר אימות דו־שלבי יוכל כנראה להתמצא במהירות, בעוד שמי שמצפה למדריך צמוד בכל שלב עלול להרגיש שההסברים אינם מספיקים.

פרסומות

הכנה נכונה לפני שמוסיפים חשבון

לפני שאני מתחיל, אני דואג שהחשבון המקוון פתוח במכשיר אחר או בחלון נוח להצגה. כך אפשר להציג את קוד ה־QR על מחשב ולסרוק אותו מהטלפון, במקום לנסות להעביר מידע בין שני מסכים קטנים. אם אין מכשיר נוסף, אני בודק מראש אם השירות מציע מפתח טקסטואלי. ההכנה הזאת חוסכת הרבה ניסיונות מיותרים ואינה תלויה באפשרויות מיוחדות של האפליקציה.

כדאי גם לוודא שהשעה והתאריך במכשיר מוגדרים אוטומטית. קודי אימות מבוססי זמן מתחלפים במחזורים קצרים, ולכן שעון שסטה אפילו מעט יכול לגרום לקוד שנראה תקין להידחות. זו אחת הבדיקות החשובות ביותר, משום שהמשתמש עלול להאשים את Authenticator App - Password כאשר מקור הבעיה הוא הגדרות המכשיר.

הציצו בבלוג שלנו

במהלך ההגדרה, אני ממליץ להוסיף חשבון אחד ולבדוק את הכניסה אליו לפני שממשיכים לחשבונות נוספים. אם מוסיפים כמה שירותים ברצף ואז מתגלה בעיה, קשה לדעת באיזה שלב נוצרה הטעות. בדיקה קטנה אחרי כל הוספה יוצרת תהליך מסודר יותר ומקלה על שחזור במקרה שמשהו משתבש.

עוד הרגל מועיל הוא לשמור את פרטי השחזור שהשירות המקוון מציג בזמן הפעלת האימות. אלה אינם בהכרח חלק מהאפליקציה, אבל הם עשויים להיות הדרך היחידה לחזור לחשבון אם הטלפון אבד או הוחלף. לא הייתי שומר אותם בצילום מסך פתוח בגלריה; עדיף להשתמש בדרך אחסון פרטית ומוגנת שמתאימה לכם.

איך נראה שימוש יומיומי אמיתי

נניח שאני נכנס לחשבון עבודה מהמחשב. אני מזין את שם המשתמש והסיסמה, מקבל בקשה לקוד נוסף, פותח את אפליקציית האימות, מאתר את הרשומה המתאימה ומקליד את הקוד שמופיע. התהליך אינו מורכב, אבל הוא דורש תשומת לב: יש לבחור את החשבון הנכון, להקליד את הספרות לפני שהן מתחלפות, ולא להעתיק בטעות רווחים או תווים מיותרים.

כאן נמצא היתרון המעשי של כלי ייעודי: קודי האימות מרוכזים במקום אחד במקום להסתמך על הודעת טקסט שמגיעה באיחור או אינה מגיעה כלל. עבור חשבונות חשובים, זו שכבת הגנה נוחה יותר מהסתמכות על הודעות, במיוחד כשאין קליטה טובה. עם זאת, הנוחות תלויה בכך שהטלפון זמין ושאפשר לפתוח את האפליקציה ברגע הכניסה.

אני לא רואה בו תחליף מלא למנהל סיסמאות. אפליקציה לניהול סיסמאות עוסקת בשמירת סיסמאות ובמילוי שלהן, ואילו כאן הדגש הוא על קוד האימות הנוסף. מי שמחפש פתרון שמרכז סיסמאות, מפתחות, פרטי תשלום וקודי כניסה תחת מערכת אחת, עשוי להעדיף כלי רחב יותר. מי שכבר משתמש במנהל סיסמאות ורוצה שכבה נפרדת לקודי אימות, יכול ליהנות מההפרדה.

גם בהשוואה להודעות SMS יש trade-off ברור. קוד מתוך אפליקציה אינו תלוי בהגעת הודעה סלולרית, אבל הוא כן תלוי בגישה למכשיר ובמצב ההגדרה שלו. אם הטלפון נשאר בבית, הודעת טקסט עשויה להיות נוחה יותר; אם החשש הוא מהסתמכות על מספר טלפון, אפליקציית אימות היא אפשרות הגיונית יותר.

בדיקות שכדאי לבצע כשהקוד נדחה

כאשר קוד אינו מתקבל, אני עובר על סדר בדיקות קבוע במקום לנסות שוב ושוב. ראשית, אני בודק שהשעה במכשיר מסונכרנת אוטומטית. אחר כך אני מוודא שהרשומה שנבחרה שייכת בדיוק לשירות שאליו אני מנסה להיכנס. לבסוף, אני ממתין לקוד חדש ומקליד אותו מיד, בלי להשתמש בקוד שכבר עומד להתחלף.

אם ההגדרה נעשתה לפני זמן רב, ייתכן שהבעיה נמצאת במפתח שנרשם מלכתחילה. במקרה כזה, כדאי להיכנס להגדרות האבטחה של השירות, להסיר את שיטת האימות הישנה רק אם קיימת דרך שחזור בטוחה, ולהגדיר אותה מחדש. לא הייתי מוחק את הרשומה מהאפליקציה לפני שיש לי דרך חלופית להיכנס לחשבון, משום שהמחיקה עלולה להשאיר אותי בלי קוד ובלי מסלול חזרה.

חשוב להבחין בין קוד שגוי לבין חשבון שנחסם זמנית. אם האתר מציג הודעה על ניסיונות רבים או על נעילה, המשך הקלדה לא יפתור את הבעיה. במקרה כזה, עדיף להמתין לפי ההנחיות של השירות ולהשתמש במסלול שחזור רשמי. האפליקציה יכולה להציג את הקוד הנכון ועדיין לאפשרות הכניסה להיחסם בצד השני.

אם הקוד עובד בחשבון אחד אך לא באחר, זה רמז שימושי. סביר יותר שהבעיה קשורה להגדרת החשבון המסוים, למפתח שהוזן או לרשומה שנבחרה, ולא לתפקוד הכללי של האפליקציה. זו דרך טובה לצמצם את מקור התקלה בלי לבצע איפוס גורף.

שחזור לאחר החלפת מכשיר או אובדן גישה

המעבר לטלפון חדש הוא התרחיש שבו כדאי להיות זהירים במיוחד. לפני שמוחקים את המכשיר הישן, אני נכנס לכל חשבון חשוב ובודק שיש לי שיטת כניסה חלופית או קודי שחזור. לאחר מכן אני מעביר את ההגדרות לפי האפשרויות שהשירות המקוון מציע, ולא מניח שהתקנת האפליקציה במכשיר החדש תיצור את הרשומות מעצמה.

אם המכשיר הישן עדיין בידיי, אני מעדיף לבצע מעבר מסודר: להגדיר את האימות במכשיר החדש, לבדוק כניסה, ורק אחר כך להסיר את ההגדרה הישנה. אם הטלפון אבד, אין טעם לנסות לנחש את הקוד. צריך להשתמש בשחזור החשבון של השירות, בקודי חירום או בשיטת אימות חלופית שהוגדרה מראש.

זה גם המקום שבו מתגלה מגבלה מעשית של אפליקציות אימות פשוטות: עצם קיומה של האפליקציה אינו מבטיח שהנתונים יעברו אוטומטית בין מכשירים. לכן אני רואה בגיבוי ובתכנון מראש חלק בלתי נפרד מהשימוש, גם אם הם מתבצעים מחוץ לאפליקציה. מי שלא מוכן להתעסק בשחזור, צריך לשקול פתרון שמציע ניהול מעבר ברור יותר ומתאים לצרכיו.

במקרה של טלפון משותף, טלפון עבודה או מכשיר שמוחלף לעיתים קרובות, כדאי לחשוב מראש מי שולט בגישה אליו. קודי אימות הם מידע רגיש. לא הייתי מתקין את הכלי על מכשיר שאנשים אחרים יכולים לפתוח בקלות, ולא הייתי מוסר צילום של קוד או מפתח הגדרה למי שאינו אמור להיכנס לחשבון.

מתי הבעיה אינה באפליקציה

יש כמה מצבים שבהם Authenticator App - Password עשויה לעבוד כראוי, אך הכניסה עדיין תיכשל. שירות מקוון יכול לדרוש קוד מסוג אחר, להציג מסך אימות שפג תוקפו או לחסום כניסה ממיקום חדש. גם חיבור רשת לא יציב, תקלה זמנית באתר או בעיית חשבון יכולים להיראות למשתמש כמו תקלה בקוד.

בדיקה פשוטה היא לנסות להיכנס לשירות ממסך אחר או לבדוק אם האתר מציג הודעת מערכת מפורטת. אם אין אפשרות להיכנס בכלל, גם עם סיסמה נכונה, כדאי לקרוא את הודעת השגיאה לפני שמחליפים את האפליקציה. אם רק שירות אחד מושפע וכל השאר פועלים, אני מתחיל את הבדיקה בצד של אותו שירות.

גם הגבלות מכשיר יכולות להשפיע. הגרסה הנוכחית דורשת Android 6.0 ומעלה, ולכן במכשיר ישן יותר לא יהיה נכון לצפות להתקנה תקינה. במכשיר נתמך, עדכון לגרסה 1.0.9 עשוי להיות צעד הגיוני אם קיימת גרסה חדשה זמינה בחנות, אך עדכון אינו תחליף לגיבוי או לשמירת פרטי שחזור.

אם האפליקציה נפתחת אך הרשומות נעלמו לאחר ניקוי נתונים, הסרה או איפוס, אין לי דרך בטוחה להניח שהן יחזרו מעצמן. לכן אני מתייחס לפעולות כאלה כאילו הן עלולות למחוק מידע מקומי, ובודק קודם את אפשרויות השחזור של החשבון. זו זהירות בסיסית, אבל היא חשובה יותר מכל ניסיון לפתור תקלה במהירות.

למי היא מתאימה ולמי עדיף פתרון אחר

האפליקציה מתאימה במיוחד למי שרוצה כלי ממוקד לקודי אימות, משתמש בכמה חשבונות ומוכן לבצע את ההגדרה באופן ידני ומסודר. היא יכולה להתאים גם למי שמעדיף לא לקבל קודי אבטחה בהודעות טקסט, ורוצה לפתוח אפליקציה ייעודית בזמן הכניסה.

היא פחות מתאימה למי שמצפה שכל החשבונות יסתנכרנו אוטומטית בין מכשירים, או למי שצריך מערכת מלאה לניהול סיסמאות ושחזור. במקרה כזה, שירות משולב או מנהל סיסמאות עם תמיכה מובנית באימות עשוי לספק תהליך רציף יותר. גם משתמשים שמתקשים לשמור קודי שחזור צריכים לעצור ולבדוק אם הפתרון הזה מתאים להרגלים שלהם.

מבחינת עלות, אפשר להתחיל להשתמש בה בחינם, אבל הרכישות בתוך האפליקציה הן שיקול שצריך לזכור. לא הייתי משלם לפני שאני מבין אילו פעולות זמינות ללא תשלום ומה בדיוק מציעה כל רכישה. עבור מי שצריך רק קודי אימות בסיסיים, חשוב לבדוק שההוצאה הנוספת אכן פותרת צורך ממשי ולא רק מוסיפה נוחות שולית.

היקף ההתקנות, שעומד על יותר מחצי מיליון, מראה שמדובר בכלי שכבר הגיע למספר משמעותי של משתמשים. עם זאת, מספר התקנות אינו אומר שהחוויה מתאימה לכל אחד. במקרה הזה, ההחלטה צריכה להתבסס על אופן ניהול החשבונות שלכם, על הצורך במעבר בין מכשירים ועל רמת הנוחות שלכם עם הגדרה ידנית.

המסקנה המעשית שלי

Authenticator App - Password עושה את הדבר המרכזי שלשמו היא נועדה: לספק מקום ייעודי לקודי אימות דו־שלבי. בעיניי, היא יכולה להיות בחירה סבירה למשתמש שמחפש כלי ממוקד, אינו זקוק למערכת רחבה של ניהול סיסמאות, ומוכן להשקיע כמה דקות בהגדרה מסודרת.

החולשה העיקרית אינה בהכרח בקבלת הקוד, אלא בכל מה שמסביב: סריקה, סנכרון שעה, בחירת הרשומה, מעבר לטלפון חדש ושמירת אפשרות שחזור. מי שמתייחס לנקודות האלה מראש יקבל חוויה רגועה בהרבה. מי שמתקין אותה בלי לשמור פרטי גיבוי עלול להיתקל בבעיה בדיוק כשהגישה לחשבון חשובה ביותר.

אני ממליץ להתחיל בחשבון שאינו קריטי, לבדוק שהקוד מתקבל, להבין את סדר הפעולות ורק אז להוסיף חשבונות חשובים. כך אפשר ללמוד את ההתנהגות בלי לסכן גישה לשירות מרכזי. אם אתם צריכים פתרון עשיר יותר, העדיפות שלי תהיה לכלי שמרכז גם סיסמאות ושחזור; אם אתם רוצים רק שכבת קודים נפרדת, האפליקציה עשויה למלא את התפקיד היטב.

בשורה התחתונה, זו אפליקציית כלים שימושית אך לא נטולת אחריות מצד המשתמש. ההמלצה החשובה ביותר שלי היא לשמור דרך שחזור לפני שמפעילים אימות דו־שלבי בחשבון חיוני. עם ההכנה הזאת, ועם ציפיות מציאותיות לגבי מה שהאפליקציה עושה ומה שנשאר באחריות השירות המקוון, היא יכולה להפוך את הכניסות היומיומיות לבטוחות ומסודרות יותר.