Microsoft Authenticator

Analys av Reviewed

Jag uppskattar appar som löser ett verkligt vardagsproblem utan att kräva att jag ändrar hela mitt sätt att arbeta. Microsoft Authenticator är till för att göra inloggningar säkrare och smidigare, framför allt när ett konto kräver ett extra steg utöver lösenordet. I praktiken blir den mest användbar när jag ställer in den i förväg och sedan låter den ingå i rutinen: öppna appen när en tjänst ber om bekräftelse, kontrollera att begäran stämmer och godkänn först därefter.

Det här är en jobbrelaterad app från Microsoft Corporation, men nyttan stannar inte på kontoret. Jag kan se den passa lika bra för personliga konton som för arbetsinloggningar, särskilt för den som vill samla autentisering i en separat app i stället för att förlita sig på sms-koder. Den är gratis och har PEGI 3, vilket gör den lätt att prova för de flesta. Min huvudinvändning är inte att grundidén är svår, utan att säker inloggning alltid kräver lite uppmärksamhet: ett godkännande ska aldrig bli en reflex utan kontroll.

En trygg grundrutin för inloggning

Vad appen gör när en tjänst ber om en bekräftelse

Authenticator fungerar som ett extra led mellan lösenordet och åtkomsten till ett konto. När en ansluten tjänst begär verifiering öppnar jag appen och följer den metod som visas för kontot. Det kan handla om att godkänna en inloggning eller använda en kod, beroende på hur tjänsten och kontot är konfigurerade. Poängen är att ett stulet eller återanvänt lösenord inte alltid räcker för att någon annan ska komma in.

Det är en viktig skillnad jämfört med att bara spara lösenord i webbläsaren. En lösenordshanterare hjälper mig att skapa och fylla i starka lösenord, medan en autentiseringsapp hanterar ett separat kontrollsteg. De kan därför komplettera varandra snarare än konkurrera. Jag skulle inte välja Authenticator som ersättning för en bra lösenordshanterare, men jag tycker att den gör konton med tvåstegsverifiering betydligt enklare att använda i vardagen.

En vanlig situation är att jag loggar in på en jobbtjänst från datorn men har telefonen bredvid mig. I stället för att leta efter ett sms eller skriva in en kod som kommit via ett annat flöde kan jag kontrollera mobilens begäran och svara där. Det sparar små mängder tid, men framför allt gör det extra skyddet mindre störande. För att vanan ska vara säker tittar jag på vilken tjänst som frågar och om jag själv just försökte logga in innan jag godkänner.

Appen har i genomsnitt 4,5 i betyg från omkring 2,8 miljoner betyg, och den har laddats ner över 100 miljoner gånger. Sådana siffror säger inte att den passar alla, men de visar att den används i stor skala. Jag ser den som ett praktiskt verktyg snarare än något som kräver att man blir säkerhetsexpert: förstå när en begäran är väntad, och avvisa den om den dyker upp utan att du själv har startat en inloggning.

Kom igång utan att låsa dig ute

När jag lägger till ett konto börjar jag med att följa den aktuella tjänstens instruktioner. Det är viktigt eftersom Authenticator inte automatiskt skyddar varje konto bara för att appen är installerad. Kontot måste först kopplas till en autentiseringsmetod. Jag brukar göra det när jag har tid att slutföra hela processen, inte precis innan ett möte eller när jag är på väg ut genom dörren.

Jag rekommenderar också att tänka igenom återställning innan telefonen blir den enda vägen in. Om en tjänst erbjuder reservkoder eller andra återställningsalternativ är det klokt att ordna dem och förvara dem på ett säkert ställe. Det här är inte en särskild genväg i appen, utan en allmän följd av att använda en autentiserare: bättre skydd kan också innebära mer besvär om den enda enheten försvinner eller går sönder.

För arbetskonton kan organisationens egna regler påverka vilka steg som visas och vad som går att ändra. Jag skulle därför skilja mellan personliga konton och konton som hanteras av arbetsgivaren. Om en inställning är låst eller om inloggningen ser annorlunda ut än väntat är det ofta bättre att följa arbetsplatsens instruktioner än att försöka kringgå flödet. Det gör appen särskilt användbar i Microsoftpräglade arbetsmiljöer, men den kan också vara relevant för andra konton som stöder autentisering.

Inställningar och vanor som gör skillnad

Kontrollera telefonens roll innan du förlitar dig på den

Den första inställningen jag tänker på är inte en avancerad knapp, utan att hålla ordning på vilken telefon jag faktiskt använder för autentisering. Om jag byter enhet, återställer den eller lämnar ifrån mig den behöver jag kontrollera hur varje konto ska flyttas eller återställas. Jag skulle inte anta att en installerad app automatiskt innebär att alla konton följer med. Gå igenom tjänsternas egna återställningssteg medan den gamla enheten fortfarande fungerar, om det är möjligt.

En andra vana är att skilja en oväntad begäran från en normal inloggning. Om jag inte själv försöker logga in ska jag inte godkänna bara för att en notis ser bekant ut. Jag öppnar appen, läser vad den visar och avböjer om sammanhanget inte stämmer. Det är ett enkelt men ofta förbisett skydd mot att någon försöker lura fram ett godkännande genom upprepade förfrågningar.

En tredje detalj är att använda samma tydliga rutin på både dator och telefon: börja inloggningen själv, vänta på verifieringen och kontrollera sedan att den hör ihop med försöket jag nyss gjorde. När arbetsdagen är hektisk är det lätt att trycka snabbt på en avisering utan att tänka. Jag tycker därför att den säkraste förbättringen ofta är en vana, inte en ny teknisk funktion.

Gör återkommande inloggningar mindre omständliga

Den som loggar in ofta kan göra flödet smidigare genom att låta telefonen vara lätt att nå när man arbetar vid datorn. Det låter självklart, men det minskar frestelsen att välja bort extra verifiering för att den känns besvärlig. Jag håller också konton och arbetskontexter tydligt åtskilda i huvudet: en fråga om ett privat konto ska inte automatiskt kännas rimlig bara för att jag nyss godkände en arbetsinloggning.

Om du använder flera konton är det värt att göra en lugn genomgång efter att allt har lagts till. Kontrollera att du vet vilket konto som hör till vilken tjänst och att du kan känna igen vad en legitim begäran brukar avse. Det är särskilt hjälpsamt när samma telefon används för både privata och jobbrelaterade inloggningar. En kort kontroll då och då kan förebygga den förvirring som annars visar sig först när man har bråttom.

Jag skulle däremot inte försöka optimera bort varje bekräftelse. Syftet är just att lägga till ett steg, och ibland är det steget en rimlig kostnad för att minska risken för obehörig åtkomst. Det som går att förbättra är omgivningen: ha telefonen laddad, håll operativsystemet uppdaterat och se till att du vet hur du återställer kontona. Sådana grundvanor gör mer nytta än att behandla varje avisering som ett hinder att skynda förbi.

Vad jag jämför med alternativen

Det vanligaste alternativet är sms-koder. De är enkla att förstå och kräver ingen särskild appvana, men de innebär att jag måste ta emot och skriva in en kod. En autentiseringsapp kan göra verifieringen mer direkt och hålla steget separat från själva lösenordsfältet. Samtidigt är sms praktiskt om en tjänst eller användare inte har möjlighet att använda en autentiserare. Jag ser därför inte appen som ett universellt val för alla situationer.

En annan jämförelse är inloggningsgodkännanden som visas på en annan enhet eller inbyggda säkerhetsmetoder i en viss tjänst. De kan vara smidigare när man stannar inom ett enda ekosystem, medan Authenticator passar den som vill ha en särskild plats för stödda inloggningar. Vilket som är bäst beror på vilka tjänster du använder och vilka alternativ de erbjuder. Om du sällan behöver tvåstegsverifiering kan sms kännas enklare; om du ofta loggar in på flera konton kan en samlad autentiseringsapp vara lättare att hålla som rutin.

Jag vill också skilja autentisering från lösenordslagring. Om huvudproblemet är att komma ihåg unika lösenord är en lösenordshanterare rätt sorts verktyg. Om problemet är att ett lösenord ensamt inte känns tillräckligt skyddande fyller Authenticator en annan funktion. För många blir den bästa lösningen en kombination: unika lösenord och ett separat verifieringssteg där tjänsten stöder det.

Begränsningar och vem som bör välja något annat

Mer skydd betyder också mer ansvar

Den tydligaste nackdelen är beroendet av telefonen. När den inte finns nära till hands kan ett extra inloggningssteg bromsa arbetet, och ett telefonbyte kräver planering. Det är inte ett argument mot autentisering, men det betyder att jag inte skulle lägga till appen på viktiga konton och sedan glömma bort återställningen. Om du ofta tappar bort din telefon eller delar enheter med andra behöver du först hitta en säker rutin som passar den situationen.

En annan begränsning är att användarupplevelsen inte är identisk för alla konton. En tjänst kan be om en kod, en annan om ett godkännande och en arbetsorganisation kan styra delar av flödet. Den som väntar sig att allt ska fungera med ett enda tryck kan därför bli frustrerad. Jag tycker att det är bäst att prova med ett konto i taget och lära sig hur just den tjänsten beter sig innan man bygger om hela sin inloggningsrutin.

Appen är inte heller rätt val för den som vill ha ett komplett skyddspaket i en enda produkt. Den ersätter inte försiktighet med länkar, starka unika lösenord eller kontonas egna säkerhetsalternativ. Om du behöver hantera lösenord, delning och återställning på ett samlat sätt bör du jämföra med en lösenordshanterare. Om du bara vill få koder via sms och inte vill lägga till en app kan det enklare alternativet räcka, även om det ger en annan balans mellan bekvämlighet och skydd.

Version och långsiktig användning

Den aktuella versionen är 6.2609.6214, och appen lanserades den 13 januari 2015. Jag nämner det främst som en påminnelse om att hålla en autentiserare uppdaterad, inte som ett löfte om att varje telefon eller konto fungerar likadant. Den angivna lägsta systemversionen är 8.0, så den som använder en äldre mobil bör kontrollera att installationen fungerar innan appen blir en nödvändig del av inloggningen.

Att appen är gratis sänker tröskeln för att prova, men den verkliga nyttan beror på om dina tjänster stöder metoden och om du vill ha telefonen som en del av inloggningen. Jag skulle börja med det konto där extra skydd känns mest motiverat, kontrollera återställningsvägen och först därefter lägga till fler. På så sätt blir det tydligt om arbetsflödet passar innan du förlitar dig på det överallt.

Mitt omdöme efter att ha vägt in vardagen

Microsoft Authenticator passar bäst för dig som vill göra tvåstegsverifiering till en normal del av inloggningen, inte ett krångligt specialprojekt. Jag gillar att den kan minska beroendet av sms och att den fungerar som ett tydligt extra steg när en tjänst ber om bekräftelse. Den blir särskilt rimlig om du redan använder Microsoftrelaterade tjänster eller ofta växlar mellan jobbkonton och privata konton som stöder autentisering.

Jag skulle däremot rekommendera ett annat upplägg om du framför allt behöver ordna lösenord, inte verifieringskoder, eller om du inte vill vara beroende av en telefon vid inloggning. För den som väljer appen är den bästa strategin att börja smått, säkra återställningen och aldrig godkänna en fråga som inte hör ihop med ett försök man själv startat. Med de vanorna tycker jag att Microsoft Authenticator är ett användbart och lättillgängligt komplement till lösenord, snarare än en magisk lösning på alla kontoproblem.

Microsoft Authenticator Vanliga frågor