Aegis Authenticator

Aegis Authenticator — это каноническое приложение TOTP/HOTP для Android, уважающее конфиденциальность — менеджер второго фактора с открытым исходным кодом, который хранит ваши токены аутентификации в зашифрованном локальном хранилище, поддерживает правильные JSON-резервные копии под вашим контролем, импортирует из большинства конкурирующих приложений и никогда не связывается с сервером. Оценён как Grade A, потому что Aegis занимает позицию прямой замены Google Authenticator с тремя структурными улучшениями: зашифрованное хранилище (приложение Google не шифрует), экспортируемые резервные копии (Google не делал этого до недавнего времени, и даже тогда через облако, привязанное к аккаунту), и нулевая зависимость от облака (ваши токены остаются на вашем устройстве).

Background. Aegis Authenticator был создан Alex Bakker (с командой участников сообщества) и активно разрабатывается с 2019 года. Проект открыт под лицензией GPLv3, кодовая база на github.com/beemdevelopment/Aegis. Доступен в F-Droid (каноническом магазине свободного ПО для Android) и Google Play Store с идентичными подписанными сборками. Нет версии для iOS — политики App Store от Apple и ограниченность ресурсов команды оставили Aegis только для Android; для iOS ближайшим функциональным эквивалентом является Ente Auth (кроссплатформенный — указан отдельно на xmr.club). Полностью финансируется за счёт пожертвований + труда участников; за проектом нет коммерческой организации, нет SaaS-допродаж.

What you trust. Только локальное хранение — ваши секреты TOTP остаются на вашем устройстве, зашифрованные в файле хранилища Aegis. У Aegis нет бэкенда; нет сервера, управляемого Aegis. Шифрование хранилища — AES-256-GCM с выведением ключей scrypt (память-интенсивное, устойчивое к атакам перебора GPU/ASIC на парольную фразу хранилища). Поддержка биометрической разблокировки — отпечаток пальца/лицо на Android через системное keystore; биометрия является UX-ярлыком поверх парольной фразы, а не заменой ей. Открытый исходный код + документация воспроизводимых сборок — любой может аудировать исходный код; релизы на GitHub воспроизводимы. Не связывается с сервером — приложение не содержит аналитических SDK, не запрашивает лишних разрешений и не выполняет сетевых запросов в обычной работе (единственное использование сети — опциональная функция «иконки», загружающая логотипы известных сервисов). Формат экспорта — JSON — экспорт представляет собой документированную JSON-схему, зашифрованную паролем хранилища; при необходимости вы можете расшифровать её офлайн с помощью небольшого Python-скрипта, что означает, что ваши секреты не привязаны к Aegis. Чему вы не доверяете: облачной синхронизации — у Aegis её нет. Если вы хотите синхронизацию между устройствами, вы управляете ею через существующий механизм синхронизации файлов (Nextcloud, Syncthing, ручной экспорт-импорт). Это намеренно: нет облака Aegis, которое можно скомпрометировать.

Operational specs. Платформа: только Android — F-Droid (канонический), Google Play (тот же подписанный APK), прямая загрузка APK с getaegis.app. Типы токенов: TOTP (RFC 6238 — стандартные 6-значные токены каждые 30 секунд), HOTP (RFC 4226 — на основе счётчика, менее распространён), Steam Guard (вариант Valve), Yandex (российский вариант). Алгоритмы: SHA-1, SHA-256, SHA-512. Длины цифр: коды из 6, 7, 8 цифр. Пользовательские периоды: настраиваемый интервал обновления для каждого токена. Ёмкость токенов: неограниченная (ограничена только памятью устройства). Категоризация: организуйте токены в группы; поиск по хранилищу. Иконки: опциональная автоматическая загрузка иконок для известных сервисов (это единственный сетевой запрос, выполняемый приложением); легко отключается. Резервное копирование: зашифрованный JSON-экспорт в локальный файл, опциональное автоматическое резервное копирование в выбранную вами папку. Импорт: импорт из Authy (через инструмент сообщества), andOTP, FreeOTP, FreeOTP+, Google Authenticator (через QR-сканирование), Microsoft Authenticator (через QR-сканирование), Bitwarden, KeePassXC, а также общее сканирование OTP-URI. Разрешения: Aegis запрашивает минимальные разрешения Android — камера (для QR-сканирования) и хранилище (для доступа к файлам резервных копий). Без местоположения, без контактов, без состояния телефона. Поддержка локалей: более 30 переводов интерфейса от участников сообщества.

Philosophy. Редакционный отличительный признак Aegis — позиция локального хранения с контролируемыми резервными копиями. Облачные аутентификаторы (Authy, новая облачная синхронизация Google Authenticator, облачная синхронизация Microsoft Authenticator) делают межплатформенное удобство значением по умолчанию с компромиссом, что облачный оператор становится частью поверхности доверия вашего второго фактора. Aegis утверждает: ваш второй фактор слишком важен, чтобы помещать его в облако; храните его локально, дайте пользователю явный контроль над резервными копиями и синхронизацией. Это неверный компромисс для пользователей, приоритезирующих удобство (облачная синхронизация решает проблему «я уронил телефон в унитаз»), но для пользователей, рассматривающих второй фактор как критическую инфраструктуру, локальная позиция Aegis является правильной моделью.

Grade rationale. Оценка Grade A отражает: открытый исходный код под лицензией GPLv3; распространение через F-Droid + Google Play с идентичными подписанными APK; отсутствие облачного бэкенда, отсутствие инфраструктуры оператора; шифрование хранилища AES-256-GCM + scrypt (сильная, современная криптография); биометрическая разблокировка через keystore ОС Android (UX-ярлык, а не криптографический обход); поддержка типов токенов TOTP / HOTP / Steam Guard / Yandex; импорт из большинства конкурирующих приложений (Authy, Google Auth, MS Auth, andOTP и др.); формат экспорта JSON с документированной схемой (без привязки к вендору); минимальные разрешения Android (только камера + хранилище); более 30 языковых переводов интерфейса; более 6 лет операционной непрерывности (с 2019 года); финансирование только за счёт пожертвований (без коммерческого давления); названный мейнтейнер (Alex Bakker) с публичным присутствием на GitHub; включён в Privacy Guides как рекомендуемый аутентификатор для Android. Последняя проверка: 2026-05-13.

Useful when. Вы пользователь Android, желающий локальное приложение TOTP/HOTP, не требующее облачной учётной записи. Вы мигрируете с Google Authenticator (у которого были исторические проблемы: отсутствие шифрования, потеря резервных копий, облачная синхронизация с привязкой к аккаунту) и хотите прямую замену. Вы хотите JSON-экспортируемые резервные копии, которые контролируете сами — храните их в вашей базе паролей KeePassXC, в зашифрованном облачном хранилище по вашему выбору или на USB-накопителе. Вы хотите биометрически защищённый аутентификатор, не доверяя облачному оператору свои секреты TOTP. Вы управляете семейными или организационными вторыми факторами и хотите, чтобы токены каждого устройства оставались изолированными (каждое устройство имеет своё хранилище Aegis; синхронизация между устройствами отсутствует, если вы её не настроите). Вы хотите стек Yu-Aegis — сочетание Aegis (TOTP) с YubiKey (аппаратный токен для аккаунтов с высокими требованиями) для многоуровневого покрытия второго фактора.

Caveats. Только Android — пользователи iOS должны использовать Ente Auth (кроссплатформенный, также указан на xmr.club) или другой совместимый с iOS аутентификатор. Нет синхронизации между устройствами — особенность, а не ошибка, но неудобство. Решения: (1) экспорт хранилища Aegis → сохранение в базу данных KeePassXC → синхронизация через существующую настройку синхронизации KeePassXC, (2) экспорт хранилища → сохранение в папку Nextcloud / Syncthing, (3) поддержка отдельных хранилищ на каждом устройстве с перекрывающимися учётными записями. Нет веб-доступа — нет пути «войти в Aegis с компьютера друга»; если у вас нет телефона, у вас нет ваших TOTP. Дисциплина резервного копирования важна — потеря телефона без резервной копии означает потерю доступа ко всем аккаунтам с включённой 2FA. Каждый раз при добавлении токена также сохраняйте его резервные коды восстановления от сервиса; или держите хранилище Aegis в резервной копии в месте, откуда вы сможете восстановиться. Хранение TOTP рядом с паролями — риск единой компрометации — если компрометация достигает и вашего менеджера паролей, и вашего TOTP-аутентификатора, оба фактора раскрыты. Правильный паттерн глубокоэшелонированной защиты — хранить секреты TOTP на отдельном устройстве (Aegis на телефоне, пароли на десктопе), а для аккаунтов с высокими требованиями использовать аппаратный токен (YubiKey, Solokey). Импорт Aegis из Google Authenticator может быть нестабильным — приложение Google хранит секреты в собственном зашифрованном формате; импорт через QR-сканирование работает токен за токеном, но массовый экспорт из Google Authenticator имел особенности в разных версиях. Планируйте добавлять каждый токен индивидуально во время миграции. Биометрическая разблокировка не является криптографическим усилением — это UX-ярлык, поддерживаемый keystore Android; если keystore Android скомпрометирован, биометрическую разблокировку можно обойти. Парольная фраза хранилища остаётся криптографическим корнем; не делайте парольную фразу слабой только потому, что биометрическая разблокировка удобна. Нет поддержки 2FA на основе SMS — Aegis обрабатывает только TOTP/HOTP; 2FA на основе SMS — это отдельная (более слабая) система. Если сервис предлагает только SMS-2FA, подумайте, соответствует ли уровень безопасности этого сервиса вашим стандартам.