Funkcja synchronizacji Google 2FA może zagrozić Twojej prywatności

Po 13 latach oczekiwania Google Authenticator dodał funkcję synchronizacji konta 2FA, która umożliwia użytkownikom tworzenie kopii zapasowych sekwencji kodu 2FA w chmurze, po czym mogą przywrócić je z powrotem na nowym urządzeniu.

Chociaż proces, w którym użytkownik przesyła swoje Sekrety 2FA jest zaszyfrowany, naukowcy z Naked Security by Sophos i programiści iOS w Mysk poinformowali, że dane 2FA użytkownika były „nieszyfrowane w pakietach sieciowych HTTPS Google”. Ponadto nie ma opcji, w której użytkownik mógłby zaszyfrować przesłane dane za pomocą hasła przed opuszczeniem urządzenia.

Jest to niepokojące ze względu na fakt, że po usunięciu szyfrowania do przesyłania danych po przesłaniu, dane są dostępne dla Google i praktycznie każdego, kto szuka tych informacji, w tym każdego, kto ma nakaz przeszukania.

Chociaż jest możliwe, że Google może rozwiązać ten problem bezpieczeństwa w przyszłości, badacze z Mysk „zalecają na razie korzystanie z aplikacji bez nowej funkcji synchronizacji”.

„Chociaż synchronizowanie tajemnic 2FA między urządzeniami jest wygodne, odbywa się kosztem Twojej prywatności. Na szczęście Google Authenticator nadal oferuje opcję korzystania z aplikacji bez logowania się lub synchronizowania tajemnic” – powiedział Badacze Mysk w tweecie.