Trött på att alla dessa tvåstegsfaktorisering

Förstår lite hur du känner och tycker också att det är lite jobbigt ibland, men ser hellre att "hackers" får det lite svårare att ta sig in ifall något lösenord läcker någonstans. Jag använder även olika lösenord på alla sidor.
Antar att jag haft tur och har aldrig fått någon enhet stulen.

Tvåstegsverifikation är inte för alla, helt klart, men det är en väldigt bra säkerhetsåtgärd. Om man inte har funktionen aktiverad och har ett lösenord som är lätt för en hacker att knäcka, så kan man i stort sett säga adjöss till det kontot. Men om tvåstegsverifikationen är aktiverad och hackaren lyckas knäcka lösenordet, så tar det stopp där.

Hackaren måste då antingen lista ut vilken lösenordshanteringstjänst du använder, om du ens använder en sådan, och då komma på lösenordet till den förutsatt att du har engångslösenordet till kontot där. Alternativt försöka sno din telefon och försöka komma åt engångslösenordet för det utsatta kontot.

Jag har tvåstegsverifikationen aktiverad på alla de webbsidor som jag har ett konto på och som erbjuder det. Som sagt, det är en väldigt bra säkerhetsåtgärd och jag rekommenderar alla att aktivera funktionen när möjligheten finns. Använder Bitwarden för att underlätta det hela.

Det finns ju bättre lösningar på detta än de som du verkat använda.
Till exempel kan du köra tvåfaktorslösningar där den viktiga datan lagras i molnet, så att du kan komma åt den från flera enheter utifall att. Tror att t ex Authy gör detta.
Eller så kan du som jag köra ett program som tillåter (automatiska) backups på datan, i mitt fall Aegis, så att du kan återställa den till ny mobil manuellt.

Nästan alla tjänster med 2FA-stöd har också stöd för att skapa "recovery codes", engångskoder på oftast 8 siffror som man kan använda för inloggning om man tappat tillgång till 2FA-enheten. Alla dessa bör man ha lagrade på säker plats (papper eller krypterat på dator) utifall det går så pass åt helvete att man tappar tillgång till både app och backups.

Just användandet av lösenord känns väl som huvudproblemet på den här punkten, så jag tänker ju iaf att hoppet till förenkling främst står till att få någon lösning på plats där man på allvar kan göra sig av med det säkerhetsmässiga eländet som är lösenord.

Att vi än idag håller på med lösenord handlar ju inte i första hand om att det inte funnits bättre tekniska lösningar för autentisering, utan snarast att det har varit svårt att få till en teknisk lösning som har så låg friktion att komma igång med för den breda massan att stora aktörer ska våga kräva en alternativ lösning i sin "skapa konto"-process utan att förvänta sig att bli ratade av potentiella användare för att det är "svårt" att lära sig något nytt.

Så nu sitter vi här med den på ett sätt enkla men samtidigt i princip ohanterliga teknologin lösenord, med olika försök att kompensera för att lösenord i grunden är kass, detta då genom att lägga till MFA-lösningar, osv.

https://www.sweclockers.com/nyhet/34237-apple-google-och-micr... är ju ett initiativ nu, som skulle kunna ge positiv förändring. Vi får se hur det går, men det vore ju välbehövligt att få till ändring på detta.

Ja, helt klart. Om man inte tar backup på sina TOTP-hemligheter så är man ju rökt om TOTP-appen går förlorad.

Just det borde väl apparna göra tydligt oavsett om de faktiskt har en inbyggd export/synk-funktion eller om användaren själv förväntas backa upp hemligheterna.
På den punkten bara måste ju användaren utbildas så det inte går käpprätt...

Tvåfaktorsautentisering är något vi kommer få acceptera då det är den enda lösning tillgänglig i dagsläget för att säkerställa att inte användarkonton och prenumerationer missbrukas på grund av svaga lösenord (eller lösenord som redan är läckta).

Jag använder mig utav Bitwarden-lösenordshantering såsom många andra här i forumet då denna lösning har integrerad TOTP-funktion som automatiskt kopierar OTP-koden till urklippshanteraren vid inloggning, så det enda jag behöver göra är att trycka "ctrl+shift+l" <enter> och sen "ctrl+v" och <enter> och jag är inne i exempelvis Paypal eller annan webbsida där jag har 2FA.

Det går även att få till Steam 2FA i Bitwarden, det man behöver gör är att använda sig utav "SteamDesktopAuthenticator" för att få ut TOTP secret-strängen, därefter klistrar du bara in den strängen i TOTP-fältet för Steam-kontot i Bitwarden så slipper du strula med att vänta på e-post med kod vid nästa inloggning i Steam. Det är bara att trycka på klock-ikonen via Bitwarden insticksprogrammet eller Desktop appen och sen klistra in i OTP-rutan i Steam-klienten. Detta behöver du bara göra en gång, sen har du det för all framtid. https://www.reddit.com/r/Bitwarden/comments/a67c1n/steam_auth...

Vet inte från vilken källa du fick citatet från. Menar du från Bitwarden? Alltid ange källan med citatet! Det är liksom A och O!

Vissa tjänster kräver dock ens telefonnummer för att aktivera tvåstegsverifikation, och det ogillar jag skarpt! Då är jag hellre utan extraskyddet.

Såg för mig ut som en cynisk kommentar med undermeningen att tjänster blivit intresserade av att införa 2FA/MFA eftersom detta skapat en ursäkt att samla in folks telefonnummer, inte ett regelrätt citat.

Till viss del ligger det kanske något i det, men många seriösa tjänster använder ju rakt av TOTP, där det inte behövs något telefonnummer, och har heller inte samlat in nummer.

This ^^

Ja de brukar be mig logga in en gång per år. Brukar skapa ett skräpkonto med disposable email så får de leka med den datan.

Om du hanterar MFA i din lösenordshanterare tar det ju bort halva poängen med det?

Men jag skyr också MFA om det kräver telefonnummer. Det finns Open Source appar för att generera koderna istället. T ex Aegis.

Det minskar poängen, framförallt då i scenariot att någon skulle få tag på ens lösenordshanterardata.
Så länge det är ett medvetet val så kan jag personligen köpa att en del väljer detta mellanting; 1.5FA eller vad man nu vill kalla det.

Jovisst, TOTP-upplägget i sig behöver ju inget telefonnummer, så det är ju den enkla delen.
Det besvärligare problemet är ju när någon tjänst vill ha telefonnummer för att aktivera 2FA.

Delvis sant, men eftersom jag har Bitwarden/Vaultwarden skyddad bakom Yubikey/FIDO2-lås så krävs mycket till för att otillbörliga ska komma åt vare sig lösenord eller 2FA-autentisering. Så man kan säga att det blir 2FA by proxy på så vis, men samtidigt smidigare och säkrare än att behöva använda mig av osäkra metoder såsom SMS eller sekundär e-postlåda för OTP-koder. Så länge jag har min Yubikey och inte glömmer bort mitt master password så kommer jag in överallt.