La funzione di sincronizzazione 2FA di Google potrebbe mettere a rischio la tua privacy

Dopo un'attesa di 13 anni, Google Authenticator ha aggiunto una funzione di sincronizzazione dell'account 2FA che consente ai suoi utenti di eseguire il backup delle loro sequenze di codici 2FA nel cloud, dopodiché possono ripristinarle su un nuovo dispositivo.

Sebbene il processo in cui un utente carica il proprio file Segreti 2FA è crittografato, ricercatori di Naked Security di Sophos e gli sviluppatori iOS di Mysk hanno riferito che i dettagli 2FA di un utente erano "non crittografati all'interno dei pacchetti di rete HTTPS di Google". Inoltre, non esiste alcuna opzione in cui un utente possa crittografare il proprio caricamento utilizzando una passphrase prima che lasci il proprio dispositivo.

Ciò è preoccupante perché una volta rimossa la crittografia per il trasporto dei dati dopo l'arrivo del caricamento, i dati sono disponibili per Google e praticamente per chiunque altro sia alla ricerca di queste informazioni, incluso chiunque abbia un mandato di perquisizione.

Sebbene sia possibile che Google possa affrontare questo problema di sicurezza in futuro, i ricercatori di Mysk "consigliano di utilizzare l'app senza la nuova funzione di sincronizzazione per ora".

“Sebbene la sincronizzazione dei segreti 2FA tra i dispositivi sia conveniente, va a scapito della tua privacy. Fortunatamente, Google Authenticator offre ancora la possibilità di utilizzare l'app senza accedere o sincronizzare i segreti ", ha affermato I ricercatori di Mysk in un tweet.