Мы продолжаем рассмотрение аутентификаторов для Android. Напомню, что в прошлой статье были изучены не только именитые приложения для двухфакторной авторизации – Google Authenticator и Azure Authenticator, но и универсальное решение профильного разработчика – Authy 2-Factor Authentication. Именно оно и стало оптимальным.
Теперь же мы с вами поговорим об отечественном аутентификаторе – «Яндекс.Ключе», призванном заменить Google Authenticator. Приложение интересно выглядит, предлагает два вида авторизации и собственную защиту. Однако не будем заранее ставить ему положительные оценки и проверим все досконально.
Вторым участником выступит FreeOTP Authenticator – программа с открытым исходным кодом, которая в свою очередь может стать эталоном для подобных решений. Но это только первые предположения, так что не будем ходить вокруг да около и начнем.
В качестве тестового оборудования использовались планшет DEXP Ursus 8EV2 3G (Android 4.4.2, процессор MT8382, 4 x Cortex-A7 1.3 ГГц, видеоядро Mali-400 MP2, 1 Гбайт ОЗУ, аккумулятор 4 000 мАч, 3G-модуль, Wi-Fi 802.11b/g/n) и смартфон Homtom HT3 Pro (Android 5.1 Lollipop, процессор MT6735P, 4 x Cortex-A53 1.0 ГГц, 64-бит, видеоядро Mali-T720, 2 Гбайт ОЗУ, аккумулятор 3 000 мАч, 4G-модуль, Wi-Fi 802.11b/g/n)
«Это аутентификатор, который создает одноразовые пароли (OTP) для входа на Яндекс, Facebook, Google, GitHub, Dropbox, ВКонтакте и другие сервисы, которые поддерживают двухфакторную аутентификацию (2FA). На Яндексе вы будете вводить созданный «Ключом» пароль вместо обычного пароля, а на других сервисах – вместе с обычным».
Описание в Google Play говорит само за себя и добавить особо нечего, разве что тот факт, что некоторые пользователи предпочитают это приложение Google Authenticator.
| Оценка в Google Play | 4.2 |
| Разработчик | Яндекс |
| Количество загрузок в Google Play | 100 000-500 000 |
| Совместимость приложения с другими версиями ОС Android | 4.0 или более поздняя |
| Размер приложения в установленном состоянии | 18.3 Мбайт |
| Версия приложения | 2.3 |
| Покупки в приложении | - |
Основные функции:
Разрешения:
Идентификационные данные:
Контакты:
Камера:
Другое:
При первом запуске «Яндекс.Ключа» нам сразу предлагают добавить аккаунт в приложение. Для этого достаточно считать QR-код (считывается без проблем) или добавить его вручную, вбив логин и секретный ключ.
Напомню, для того чтобы двухэтапная аутентификация заработала, ее сначала надо активировать через веб-сервис, например, Google или Яндекс.
После всех этих процедур генерируется одноразовый PIN-код, который обновляется каждые 30 секунд. Впрочем, использовать его не обязательно, так как в сервис можно войти и по одноразовому QR.
Настройки программы находятся в правом верхнем углу и предполагают создание мастер-пароля, который работает лишь на устройстве. Если вы его забудете, то восстановить будет нельзя, а одноразовые пароли перестанут работать.
В отличие от ранее описанных конкурентов, здесь доступные для двухэтапной аутентификации сервисы предложены удобным списком, поэтому совсем не обязательно перебирать настройки любимых веб-порталов в поисках поддержки такой опции.
К тому же «Яндекс.Ключ» работает с большинством топовых площадок и интернет-магазинов, которые не только можно, но и нужно более надежно защитить. При этом подключение к интернету для авторизации не требуется, однако для пущей безопасности лучше всего создать мастер-пароль, не хранящийся (в теории) на серверах Яндекса.
И поскольку программа сразу берет быка за рога, а настройки, первое впечатление и сам процесс проверки работоспособности объединились в один подраздел, то сразу перейдем к тестированию нагрузки на систему.
Оная меня откровенно порадовала – максимально задействовано 40 Мбайт ОЗУ при 0.1% на процессоре. Правда, аккумулятор проседает на 16% (скорость энергопотребления равна 22.5 мВт), а основная нагрузка приходится именно на процессор, который пожирает энергию.
Неужели генерация QR-кода или одноразового пароля требует от CPU особых усилий? Вряд ли, скорее всего, корень проблемы кроется в использовании камеры и создании нагрузки на видеоядро. «Система-на-чипе», как она есть.
«Яндекс.Ключ» совместим только с четвертой ОС Android или выше, весит в системе 18.3 Мбайт, не содержит рекламы, распространяется бесплатно и не предполагает встроенных покупок. В разрешениях нет ничего криминального и их, как ни странно, самый минимум.
Лично мне «Яндекс.Ключ» показался самым оптимальным из всех ранее рассмотренных приложений. Настраивается программа без проблем, поддерживает большинство необходимых сервисов и основную свою функцию выполняет на ура. Проблем с считыванием QR-кода, как это было у Google Authenticator, не возникало.
Печалит одно – расход аккумулятора, поэтому если активно и несколько раз в день авторизироваться на различных сервисах, придется подумать о розетке или подзарядке при помощи внешнего аккумулятора.
Оценка: 5.0 по пятибалльной шкале.
| Интерфейс | Отлично (удобочитаемый интерфейс) |
| Возможность самостоятельной настройки | Да (минимум) |
| Общая эффективность | Отлично |
| Удобство управления | Отлично |
| Максимальная нагрузка на систему (CPU/RAM) | 0.0-0.1% / 20-40 Мбайт |
| Размер после установки | 18 Мбайт |
| Расход трафика самой программой | - |
| Максимальный расход аккумулятора | 16% |
| Максимальная скорость энергопотребления | 22.5 мВт |
| Необходимость в root | Нет |
| Реклама | Нет |
FreeOTP Authenticator предварительно можно назвать аналогом «Яндекс.Ключа», хотя в отличие от последнего здесь реализована работа с шести- и восьмизначными, то есть с TOTP- или HOTP-протоколами и рабочей учетной записью.
Само приложение распространяется с открытым исходным кодом, а значит, допускает создание дубликата и свободное программирование базовой версии. Может быть, по этой причине аутентификатор не обновлялся около десяти месяцев, либо программа настолько хороша, что этого не требуется. Что ж, посмотрим.
| Оценка в Google Play | 4.6 |
| Разработчик | Red Hat |
| Количество загрузок в Google Play | 50 000-100 000 |
| Совместимость приложения с другими версиями ОС Android | 4.0 или более поздняя |
| Размер приложения в установленном состоянии | 2.7 Мбайт |
| Версия приложения | 1.5 |
| Покупки в приложении | - |
Основные функции:
Разрешения:
Фото/мультимедиа/файлы:
Память:
Камера:
Другое:
Сразу отмечу, что FreeOTP содержит встроенную защиту от снятия скриншотов экрана, которую нельзя деактивировать через настройки программы, поэтому тестировать аутентификатор я буду на планшете с Android 4.4.2, а снимки экрана делать посредством смартфона (извиняюсь за качество, однако оценить интерфейс все-таки можно).
Интерфейс приложения одноконный, без какого-либо сайдбара слева, и предполагает отображение всех подключенных сервисов. В правом верхнем углу – сканер QR-кода, кнопка для активации двухфакторной аутентификации и информационная клавиша, со сведениями об установленной версии FreeOTP.
Каких-либо дополнительных настроек не предусмотрено, так как оные включены в окно настройки авторизации в сервисе, которое мы сейчас и разберем.
Для того чтобы добавить ключ, необходимо указать адрес сервиса или интернет-площадки, причем вручную, что не совсем удобно. Ниже вбивается основной пароль.
Далее требуется указать необходимый протокол (TOTP или HOTP) и выбрать одноразовый PIN (шести- или восьмизначный). При этом можно указать алгоритм шифрования – SHA1, MD5, SHA265 и даже 512-битный SHA512. Последний вариант чаще всего встречается в корпоративных сервисах. Впрочем, никто не мешает воспользоваться QR-кодом, если таковой предусмотрен для авторизации на конечном сайте.
Из прочих возможностей – указание интервала действия одноразового пароля. Причем он ничем не ограничен, например, можно вбить 30 секунд или два часа. Также можно указать, сколько неверных попыток допускает счетчик – настраивается аналогично временному интервалу.
Надо признать, что в тех сервисах, где предусмотрен QR-код, лучше всего им и воспользоваться, поскольку автоматическая синхронизация с помощью пароля порой муторна (с Google у меня проблем не возникло, а вот с Amazon пришлось понервничать).
Лучше всего это «ручное» решение подойдет для корпоративных сетей, где присутствуют «прямые» руки админа. Сама программа не предполагает облачного хранения резервной копии, что, с одной стороны, хорошо (для сноуденоманов), но при переустановке аутентификатора придется везде и всюду перерегистрироваться.
Зато FreeOTP потребляет самый минимум ресурсов – всего 15 Мбайт оперативной памяти при нуле на процессоре. Аккумулятор проседает соответствующе – 1.1% при скорости энергопотребления в 4.8 мВт. Хотя этот показатель может быть и выше, так как камера для сканирования QR-кода использовалась всего один раз.
Объем приложения в системе также мизерен и составляет всего 2.7 Мбайт. Аутентификатор не содержит рекламы и распространяется абсолютно бесплатно. При этом разрешения у него все «чистые» и их опять-таки минимум.
FreeOTP нельзя назвать провальным решением, а если к нему привыкнуть и не полениться поработать ручками, то двухфакторную аутентификацию можно настроить практически для любого сервиса.
Конечно, после простого и автоматического «Яндекс.Ключа» такое приложение покажется неудобным, зато оно наиболее защищенное (вплоть до запрета на снятие скриншотов) и предельно открытое для пользователя. К тому же FreeOTP потребляет самый минимум, предлагает понятный интерфейс и требует минимальных знаний английского языка.
Оценка: 5.0 по пятибалльной шкале.
| Интерфейс | Отлично (однооконный интерфейс) |
| Возможность самостоятельной настройки | Да (необходимый минимум) |
| Общая эффективность | Отлично |
| Удобство управления | Отлично |
| Максимальная нагрузка на систему (CPU/RAM) | 0.0% / 10-20 Мбайт |
| Размер после установки | 2.7 Мбайт |
| Расход трафика самой программой | - |
| Максимальный расход аккумулятора | 1.1% |
| Максимальная скорость энергопотребления | 4.8 мВт |
| Необходимость в root | Нет |
| Реклама | Нет |
По итогам тестов определилось три лидера – Authy 2-Factor Authentication, «Яндекс.Ключ» и FreeOTP Authenticator.
Первый из них выступает универсальным решением, чем-то средним между «Яндекс.Ключом» и FreeOTP Authenticator, поскольку, с одной стороны, предлагает автоматическую аутентификацию, с другой – грешит нерусифицированным интерфейсом, что для определенной категории пользователей может быть неприемлемо.
Последним стоит обратить внимание на решение Яндекса. А тем, кому список поддерживаемых сервисов будет мал, пригодится FreeOTP.
Сводное сравнение Google Authenticator, Azure Authenticator, Authy 2-Factor Authentication, «Яндекс.Ключ» и FreeOTP Authenticator
| Функциональность | Google Authenticator | Azure Authenticator | Authy 2-Factor Authentication | «Яндекс. Ключ» |
FreeOTP Authenticator |
| Оценка автора | 4.0 | 4.5 | 5.0 | 5.0 | 5.0 |
| Интерфейс | Средне (мелкий шрифт) | Хорошо (однооконный интерфейс с сайдбаром слева) | Отлично (однооконный интерфейс) | Отлично (удобочитаемый интерфейс) | Отлично (однооконный интерфейс) |
| Возможность самостоятельной настройки | Нет | Да (необходимый минимум) | Да (все необходимое) | Да (минимум) | Да (необходимый минимум) |
| Общая эффективность | Средне | Хорошо | Отлично | Отлично | Отлично |
| Удобство управления | Хорошо | Отлично | Отлично | Отлично | Отлично |
| Максимальная нагрузка на систему (CPU/RAM) | 0.0-0.5% / 20-40 Мбайт |
0.0-1.0% / 60-80 Мбайт |
0.0% / 40-60 Мбайт |
0.0-0.1% / 20-40 Мбайт |
0.0% / 10-20 Мбайт |
| Размер после установки | 14 Мбайт | 27 Мбайт | 30 Мбайт | 18 Мбайт | 2,7 Мбайт |
| Расход трафика самой программой | - | - | - | - | - |
| Максимальный расход аккумулятора | 7% | 23% | 3% | 16% | 1.1% |
| Максимальная скорость энергопотребления | 9 мВт | 73 мВт | 9 мВт | 22.5 мВт | 4.8 мВт |
| Необходимость в root | Нет | Нет | Нет | Нет | Нет |
| Реклама | Нет | Нет | Нет | Нет | Нет |
Что касается Google Authenticator, то он оказался на удивление сыроватым и неудобным в использовании приложением. К тому же сканер QR-кода работает через раз, а это уже минус.
Ну а Azure Authenticator вышел удачнее своего оппонента, однако весьма ограничен в возможностях и предназначен главным образом для сервисов Microsoft.
Как следствие, если отбросить нагрузку на систему, то самым оптимальным решением для всех категорий пользователей пока остается «Яндекс.Ключ», который можно рекомендовать к установке.
В следующей статье мы вновь обратим внимание на менеджеры аккумуляторов, чтобы выяснить, стали ли они лучше спустя почти год, какие новые решения появились, и стоит ли использовать такие приложения на своем устройстве.
