Google 2FA -synkronointiominaisuus voi vaarantaa yksityisyytesi

13 vuoden odotuksen jälkeen Google Authenticator on lisännyt 2FA-tilin synkronointiominaisuuden, jonka avulla käyttäjät voivat varmuuskopioida 2FA-koodisekvenssinsä pilveen, minkä jälkeen he voivat palauttaa ne takaisin uuteen laitteeseen.

Vaikka prosessi, jossa käyttäjä lataa omansa 2FA salaisuudet on salattu, Sophosin Naked Securityn tutkijat Myskin iOS-kehittäjät ilmoittivat, että käyttäjän 2FA-tiedot olivat "salaamattomia Googlen HTTPS-verkkopakettien sisällä". Lisäksi ei ole mahdollista, että käyttäjä voisi salata latauksensa tunnuslauseella ennen kuin se poistuu laitteestaan.

Tämä johtuu siitä, että kun tietojen kuljetuksen salaus on poistettu latauksen saapumisen jälkeen, tiedot ovat Googlen ja käytännössä kaikkien muiden näitä tietoja etsivien saatavilla, mukaan lukien kaikki, joilla on etsintälupa.

Vaikka on mahdollista, että Google saattaa ratkaista tämän tietoturvaongelman tulevaisuudessa, Myskin tutkijat "suosittelevat sovelluksen käyttöä ilman uutta synkronointiominaisuutta toistaiseksi".

"Vaikka 2FA-salaisuuksien synkronointi eri laitteiden välillä on kätevää, se tapahtuu yksityisyytesi kustannuksella. Onneksi Google Authenticator tarjoaa edelleen mahdollisuuden käyttää sovellusta ilman sisäänkirjautumista tai salaisuuksien synkronointia", sanoi Myskin tutkijat twiitissä.