안드로이드용 무료이며 안전한 오픈 소스 2FA 앱, Aegis v3.0

 (github.com/beemdevelopment)
5P by GN⁺ | ★ favorite | 댓글 1개
  • Material 3와 Material You 적용으로 앱 화면 디자인 변경
  • 항목에 아이콘 자동 할당 기능 추가, 모든 항목을 한 번에 선택하는 기능 추가
  • 2FAS schema v4 백업 가져오기 지원
  • 항목을 마지막 사용 시각 기준으로 정렬하는 기능 추가
  • 아이콘이 많은 항목 목록을 스크롤할 때 성능 개선
  • root를 사용한 Authy 직접 가져오기 실패 문제 수정
  • 애니메이션 지속 시간 배율 설정과 관련된 사소한 표시 문제 수정, 여러 안정성 개선 적용

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • Aegis를 정말 좋아하고, 내 휴대폰에서 가장 중요한 앱 중 하나로 봄
    Android에서 Aegis를 쓰고 GNOME 기반 Linux 배포판을 쓴다면 Gnome Authenticator를 함께 쓰는 걸 강력 추천함
    flatpak install flathub com.belmoussaoui.Authenticator
    Gnome Authenticator는 아직 초기라 버그가 좀 있고, 토큰이 많으면 주로 성능 문제가 있지만 Aegis 형식과 몇 가지 다른 형식을 가져오고 내보낼 수 있음
    시드를 휴대폰, 노트북, 데스크톱에 모두 두는 게 정말 편함
    https://gitlab.gnome.org/World/Authenticator
    https://flathub.org/apps/com.belmoussaoui.Authenticator
    언젠가는 Gnome Authenticator가 GNOME의 일부로 배포되길 바라지만 아직은 아님
    Gnome Builder로 소스에서 빌드하고 실행하기도 아주 쉬움. Builder를 열고 GitLab에서 소스를 클론한 뒤 “Build” 버튼을 누르면 알아서 진행됨
    https://wiki.gnome.org/Newcomers/BuildProject

    • 인증 앱을 Flatpak으로 설치할 생각은 전혀 없음
    • iOS에서 내가 쓰는 도구인 OTP auth도 같은 일이 가능함. iCloud에 동기화할 수 있고, 암호문으로 암호화된 상태라 macOS에서도 쓸 수 있음
      하지만 지금까지는 그 편리함의 유혹을 참아왔고, TOTP 시드를 Bitwarden이나 1Password에 넣는 것도 피했음. 지금은 분명히 2개, 어쩌면 3개의 인증 요소였던 것이 2개나 때로는 1개로 줄어드는 느낌이 크기 때문임
    • Authy가 데스크톱 버전을 중단하기로 해서 대안을 찾고 있었는데, 이 조합이 좋은 선택지처럼 들림
      괴상한 구성을 좋아해서 아마 WSL2 위에 Gnome Authenticator를 올려서 써볼 듯함
    • 그냥 KeePass 데이터베이스를 쓰면 특정 운영체제에 묶이지 않음. KeePassXC, Keepass2Android 등을 쓰고 원하는 방식으로 동기화하면 됨
    • 왜 KeePass는 안 쓰는지 궁금함

  • Bitwarden과 KeePassXC도 비밀번호 관리에 더해 무료이고 안전한 오픈소스 2단계 인증을 제공함
    TOTP 비밀 키는 비밀번호와 분리해서 별도 금고에 저장하는 식으로 관리하고 있음. 왜 다른 걸 써야 하는지 잘 모르겠고, 누가 이유를 알려주면 좋겠음

    • 그렇게 하면 2단계 인증이 1단계 인증으로 줄어듦. 더 이상 소유 요소가 남지 않기 때문임
    • Bitwarden으로 2단계 인증 TOTP를 쓸 때 가장 큰 단점은 비밀번호 하나에 TOTP를 하나만 추가할 수 있다는 것임
      회사에서는 Active Directory를 써서 같은 계정으로 여러 사이트에 접근하지만, 각 사이트의 TOTP가 서로 다름. Bitwarden에는 하나만 저장할 수 있어서 나머지는 일반 인증 앱에 넣어야 함. TOTP만을 위해 Bitwarden에 중복 계정을 만들고 싶지는 않음
    • Bitwarden 2FA는 무료가 아님

  • 오래 일한 개발자지만, 이 글에 댓글 다는 유형의 개발자라기보다는 더 “보통 사람”에 가까움. 솔직히 이런 내용은 정말, 정말, 정말 헷갈림
    이런 걸 다루는 게 싫고, 이메일에 PGP를 쓰지 않는 것과 같은 이유로 자발적으로 하진 않음. 그냥 평범한 사람처럼 웹 Gmail을 씀
    그래도 두 서비스에서는 어쩔 수 없이 2단계 인증을 쓰고 있고, Android 휴대폰에 Google Authenticator를 설정해뒀음. 두 서비스 모두 온보딩 설명은 형편없었지만 어쨌든 연결은 됐고, 지금은 마지못해 그 방식으로 로그인함
    이 글을 읽다가 문득, 휴대폰을 잃어버리면 그 중요한 서비스들 접근권도 잃는 건가 싶었음. 적어도 Authenticator 앱을 보니 초록색 “코드가 Google 계정에 저장되고 있음” 구름 아이콘이 있어서 조금은 안심됨
    온라인 보안은 점점 더 중요해지지만 완전히 늪이고, 기술 세계의 어떤 난해한 구석은 다 아는 사람도 이걸 제대로 이해하지 못할 수 있음. 다만 대부분은 나처럼 인정하지 않을 것 같음
    진짜 보통 사람, 예를 들면 내 아내 같은 사람은 세부 사항을 파악하고 모범 사례로 가는 길을 찾아갈 가능성이 거의 없음. Google이나 Apple이 이걸 포기하거나 완전히 악해지지 않길 바람
    내 두 서비스가 복구 코드를 제공하는지 확인해볼 생각임. 중요한 사용자명/비밀번호 조합과 복구 코드를 관리하는 정도는 자신 있고, 이 분야에서 내가 편하게 감당할 수 있는 수준은 그 정도임

    • 내 개인 위협 모델에서는 대부분의 2단계 인증 흐름이 오히려 보안을 낮춤
      역사적으로 내 자격 증명이 탈취될 가능성보다 휴대폰을 잃어버릴 가능성이 더 높았고, 자격 증명 유출로 나와 계정 보유 기업이 입는 피해보다 접근권 상실로 인한 서비스 거부가 더 치명적임
      고용주나 은행 계정 일부에서는 반대로 되지만, 개인 기기를 고용주 계정과 어떤 식으로도 연결하지 않음
      업계가 보안을 단일 축으로 보고 더 안전하거나 덜 안전하다고만 생각하는 게 아쉬움. 개인 계정에서는 계정 탈취보다 접근 불능이 더 심각하고 흔할 때가 많음. 어떤 경우에는 2단계 인증 때문에 내 보안이 낮아짐
    • 현재 기술 상태는 정말 무섭게 느껴짐. 이 2단계 인증은 기적 같음. 무료이고 빅테크에 독립적임
      Mozilla 제품만큼 중요한 수준으로 봄. 앞으로는 보안 때문에 개인성 증명 애플리케이션이 더 많이 나올 것임
      하지만 복구 코드는 당분간 사라지지 않을 것 같음. 물론 AI 지원 개발자들이 몇 년 안에 장기 기억을 선물받는다면 다를 수도 있음
    • 휴대폰을 잃어버렸을 때 Google 계정에 접근할 수 있느냐가 문제임. 그 계정은 당신 것이 아니라 Google의 것임
    • 바로 그 이유 때문에 Aegis를 쓰기 시작했고 강하게 신뢰함. 백업 기능 때문임
      암호화해서 서로 다른 두 위치에 백업해두기 때문에, 휴대폰이 터져도 내 조건대로 2단계 인증을 계속할 수 있음

  • 여기까지 온 김에, 조직에서 토큰 생성 도구를 직접 갖지 못하게 하고 Duo 같은 걸 강제로 쓰게 하는 바보 같은 상황을 겪는 사람 있음?
    나는 하나만 그런데도 답답함. 루팅한 Android 같은 걸로 뚫을 수는 있을 것 같지만, 찾아보거나 싸울 시간이 많지 않았음

    • Duo는 물리 보안 키를 쓸 수 있게 해줌. 나는 그걸 Bitwarden에 패스키로 저장해서 씀
      완전한 대체는 아니지만 나에게는 충분함. Bitwarden은 직접 호스팅도 가능함
      [0] Vaultwarden
    • 루팅한 기기라면 Aegis가 Duo의 비밀값을 기꺼이 빨아들일 수 있음
    • TOTP는 본질적으로 이런 독점 솔루션들보다 덜 안전함
      예를 들어 사람들이 어디에 저장하는지, 백업을 만드는지 통제할 수 없기 때문임. 그래서 회사들이 그런 솔루션을 선호하는 건 어느 정도 이해됨

  • Aegis는 정말 더 널리 알려져야 한다고 봄. Google Authenticator를 설치하기엔 저장공간이 부족한 오래된 휴대폰에 깔았는데 앱이 아주 만족스러웠음
    커뮤니티 프로젝트라는 점도 좋은 보너스임

    • 그건 보너스 이상임. 이런 종류의 프로젝트만이 내일이든 모레든 1년 뒤든 수익 동기나 예정된 기업공개 때문에 사용자 경험을 완전히 망가뜨리고 최대한 돈을 뽑아내지 않을 거라고 믿을 수 있음

  • Aegis는 좋고 쓰기 즐거움
    Microsoft Authenticator처럼 자체 인증 앱을 만들고, 다른 앱은 안전하지 않다고 하면서 Aegis 같은 인증 앱을 못 쓰게 하는 흐름을 다른 곳들이 따라가지 않길 바람

  • 백업은 어떤 식인지 궁금함
    사용자가 지정한 비밀번호로 보호되는 암호화 백업을 필요할 때 만들 수 있나? 그런 백업을 열거나 읽을 수 있는 데스크톱 앱이 있나, 아니면 SQLite DB Browser 같은 걸로 읽을 수 있나? 변경될 때마다 암호화된 사본을 Dropbox 같은 곳에 저장하도록 설정할 수 있나?
    설치는 Play Store에서 하는 게 권장되는지, 아니면 GitHub의 APK가 나은지도 궁금함

    • Aegis를 2단계 인증용 메인 앱으로 쓰고 있어서 답할 수 있음
      요청 시 비밀번호로 보호되는 암호화 백업은 가능함
      복호화하면 그냥 일반 JSON이라 항상 읽을 수 있음. 내가 데스크톱에서 쓰는 GNOME Circle 앱 “Authenticator”는 Aegis 백업을 네이티브로 가져올 수 있음. 다른 앱은 잘 모름
      설정 페이지를 보면 자동 백업과 클라우드 백업 관련 기능도 있는 것 같지만 직접 써보지는 않았음
      GitHub APK를 쓰면 자동 업데이트를 잃게 됨. 나는 F-Droid를 사용함

  • 점점 더 많은 앱이 Material 3/You를 쓰기 시작해서 정말 좋음
    Apple의 UI 디자인은 내 취향이 아니었지만, Android의 제각각인 UI와 비교하면 대부분 iOS 앱의 UI 디자인 일관성은 마음에 듦

    • 나는 언제든 iOS의 더 다듬어졌지만 강하게 규정된 경험보다 Android의 더 다양한 UI 경험을 택하겠음
      다만 Android 앱 디자인에 대한 주된 불만은, 많은 앱이 Android Studio 위젯 시스템 같은 드래그 앤드 드롭 편집기에서 예전 Material UI를 대충 붙여 만든 형편없는 구현이라는 데 있는 것 같음
      Apple식 기업 폭정 없이 누구나 무언가를 만들고 데이터 수집과 광고로 돈 벌 수 있게 인센티브를 주면 그런 결과가 나옴. 그래서 F-Droid 같은 자유·오픈소스 저장소에 있는 앱들은 UI/UX가 똑같이 다양해도 대체로 훨씬 깔끔하게 쓸 수 있음

  • Aegis를 몇 년째 쓰고 있는데 마음에 들지 않는 부분을 찾지 못했음. 완벽하게 기능적인 앱이고, 새 업데이트를 써보는 게 기대됨

    • 그래서 제목을 읽고 조금 겁났음. 스크린샷을 보니 괜찮을 것 같긴 함
      최근에 큰 업데이트로 UI/UX를 훨씬 나쁘게 만든 오픈소스 앱을 두 개 겪었음. 물론 어떤 사람들은 그 변경을 좋아할 수도 있겠지만, 하나는 데스크톱의 Gajim XMPP 메신저였고 다른 하나는 모바일의 Breathly 호흡 가이드 앱이었음
    • 완전히 동의함. 내가 써본 앱 중 흠잡을 데 없다고 볼 만한 거의 유일한 앱임

  • 현재는 2FAS를 만족하며 쓰고 있는데, Aegis와 비교하면 어떤지 궁금함
    잠깐 찾아보니 Aegis는 여러 기기를 지원하지 않고 데스크톱에서도 사용할 수 없는 것 같음
    https://2fas.com/

    • 데스크톱 앱을 추가해주면 좋겠음. 나는 휴대폰보다 그 화면 앞에 있는 시간이 더 많음
      휴대폰을 항상 몸에 지니고 다니는 편도 아님
답변달기