Authy ist eine mobile App des Unternehmens Twilio. Sie ermöglicht eine Zwei-Faktor-Authentisierung (2FA) mittels des standardisierten Verfahrens TOTP für Einmal-Kennwörter. Bietet eine Webanwendung oder ein Onlinedienst 2FA über die App Google Authenticator an, dann funktioniert die 2FA-Anmeldung dort mit Authy ebenso.^[3]

Authy folgt den in RFC 6238^[4] und RFC 4226^[5] definierten Standards, um zeitbasierte Einmalkennwörter (TOTP) zu generieren.^[6] Der Online-Dienst, den ein Benutzer durch 2FA schützen möchte, generiert dazu ein „Geheimnis“ (Token), das er als QR-Code anzeigt. Der Benutzer scannt diesen QR-Code mittels Authy (oder tippt den Geheimcode ab) und speichert das „Geheimnis“ dadurch auf seinem persönlichen Gerät – meist ein Smartphone. Für den Online-Dienst ist nun 2FA eingerichtet und das Gerät des Benutzers als zweiter Faktor registriert.

Bei der Anmeldung bei einem webbasierten Dienst muss der Anwender nun neben dem normalen Passwort auch das von der App generierte Einmalpasswort zur Autorisierung eingeben. Dieses wird aus der aktuellen Uhrzeit und dem „Geheimnis“ berechnet.

Die Geheimnisse/Token werden bei Authy (verschlüsselt) in der Cloud gespeichert, dadurch kann Authy auf mehreren Geräten parallel (synchronisiert) zur Zwei-Faktor-Authentisierung verwendet werden. Dies erleichtert auch die Migration auf ein neues Gerät, ohne die 2FA-geschützten Onlinedienste erneut für 2FA registrieren zu müssen.^[7]

Die Backup-Funktion erlaubt es, die 2FA-Geheimnisse (die Token) zu den einzelnen geschützten Konten – passwortgesichert – zu sichern, um sie (z. B. bei Verlust oder Beschädigung des Geräts) auf einem anderen Gerät wiederherstellen zu können. Die Sorge, jemals von seinen Konten ausgesperrt zu sein, ist also nicht gegeben.^[3]

Authy verwendet zur Absicherung drei Kennwörter:

• ein Master-Passwort, das man bei der Anmeldung am ersten Gerät und bei der Registrierung jedes weiteren Geräts benötigt;
• (für iOS und Android) eine PIN oder einen Fingerabdruck, um die App zu entsperren – für den Fall, dass das Gerät in fremde Hände gelangen sollte;
• ein Backup-Passwort, das die Übertragung der Token auf ein weiteres Gerät ermöglicht.

Als Nachteil von Authy wird gesehen, dass das Benutzerkonto mit einer Mobiltelefonnummer verknüpft ist – ohne diese funktioniert die App nicht.^[7]

Twilio erwarb Authy im Februar 2015 – damals war Authy ein Startup, das Zwei-Faktor-Authentifizierungs-Dienste für Konsumenten, Entwickler und Unternehmen anbot.^[8]

• Authy. Two-factor Authentication (2FA) App & Guides. Twilio (englisch).

1. ↑ authy.com. (abgerufen am 12. November 2023).
2. ↑ snapcraft.io. (abgerufen am 12. November 2023).
3. ↑ ^{a b} Thorin Klosowski: The Best Two-Factor Authentication App. In: New York Times, 15. September 2020.
4. ↑ RFC: 6238 – TOTP: Time-Based One-Time Password Algorithm. Mai 2011 (englisch).
5. ↑ RFC: 4226 – HOTP: An HMAC-Based One-Time Password Algorithm. Dezember 2005 (englisch).
6. ↑ Authy One-Time Passwords (OTP). Twilio.com
7. ↑ ^{a b} Alex Drozhzhin: Die SMS-basierte Zwei-Faktor-Authentifizierung ist nicht sicher – werfen Sie einen Blick auf diese alternativen 2FA-Methoden. Kaspersky Lab, 17. Oktober 2018.
8. ↑ Frederic Lardinois: Twilio Acquires Two-Factor Authentication Service Authy. TechCrunch, 24. Februar 2015.