Jag personligen föredrar Google Authenticator som i grunden är en elegant implementering av tidsbaserad engångslösenordsalgoritm men jag skulle inte känna mig bekväm med att säga att det är "säkrare" .

Att använda ett av mina favoritordord ... allt kommer till Hotmodellering . Vad försöker du skydda dig mot? Är det en teknisk angripare som kanske kan få skadlig kod på din telefon? Eller försöker en av dina kompisar lägga upp smutsiga saker på din Facebook-sida? Jag tror att den viktigaste skillnaden mellan de två metoderna är: är angriparen någon som kan ha fysisk åtkomst?

Det finns också ett stort antal variabler, krypterar du din telefon ? Lås din telefon automatiskt? Lämna du din plånbok obesökt? Det är omöjligt att ge ett begränsat svar men var och en har sina proffs och nackdelar och mässor bättre på vissa områden än andra. Några intressanta punkter är:

Fysisk åtkomst

När en angripare har fysisk åtkomst har du tappat bort, men vissa saker håller bättre än andra.

• Rutnät : Någon kan ta ett foto. Det tar cirka två sekunder.
• Authenticator : Såvitt jag vet behöver du root-åtkomst för att ta emot nycklarna. Utan någon serös planering är det osannolikt att du kan få dem på under några minuter. Många telefoner har GPS-spårare så att du kan hitta dem om de blir stulna.

Fjärråtkomst / skadlig programvara

• Rutnät : I känner inte till någon skadlig kod som infekterar papper. Nog sagt.
• Authenticator : Det har funnits flera skadliga appar i spelbutiken, generalt de dras ganska snabbt men det händer. Vissa kan till och med få rot. Det finns många sätt att hålla din telefon uppdaterad och ren. Det beror verkligen på dina metoder om du installerar opålitliga appar eller läser manifestet för var och en osv ...

Kompromissat värd

Det här är intressant där jag tycker att Authenticator har en liten kant. Det har funnits flera banktrojaner som använder Man i webbläsaren -attacker. Ingen av dessa kommer att stoppa det men:

• Rutnät : Om du befinner dig i en komprometterad värd som har en nyckellogger installerad efter ett tag kan den bygga upp en kopia av ditt nät och sedan användas av en angripare vid ett senare tillfälle. (t ex räkna ut vad U7, M8, I5 och så vidare är och gör din egen kopia av rutnätet)
• Authenticator : Varje kod ska vara urskiljbar från slumpmässig så jämn om du har de senaste 5 000 koder som användes kan du inte räkna ut vad nästa kommer att bli.

Bekvämlighet

Detta är en massiv faktor som ofta förbises i säkerhet. Även om den ena var mycket säkrare än den andra är det viktigt att göra den användbar och sömlös nog för att människor faktiskt ska kunna använda den.

• Rutnät : Om många olika webbplatser som används detta skulle du behöva en för varje webbplats med två faktorer. Jag tror bara att den inte skalas.
• Authenticator : Jag har alltid min telefon med mig och jag har några webbplatser som använder två faktorer, du fortsätter bara att lägga till dem, det vågar ganska bra. Som du säger är det också lättare att skriva de 6 siffrorna än att söka i ett rutnät för motsvarande innehåll. Det här är väldigt subjektivt men det tycker jag är bekvämare.

(Jag arbetade för Googles kontoteam och specialiserade mig på användbara säkerhetsfrågor precis som den här.)

Vid autentisering finns det tre grundläggande faktorer: "har en", "känner till" eller " är en". De två systemen som diskuteras är båda "har en". När det gäller LastPass har användaren ett papper. När det gäller GAuthenticator har användaren en viss smartphone.

Som sådan skulle jag hävda att de är ungefär lika. Avvägningarna är kanske det,

1. Alla har redan en smartphone.
2. Människor lånar inte sin egen smartphone till andra, inte så lätt som att kopiera ett papper ändå.
3. Att skriva in ett nummer är lättare än att svara på 4-uppslagstabeller.

De är båda fortfarande utsatta för sofistikerade aktiva människa-i-mitten-attacker, eller stöld.