2FASync
Tajné ověřovací hodnoty a provozní metadata nejsou totéž
Při posuzování soukromí se zaměřte na rozdíl mezi tajnými přihlašovacími údaji a technickými informacemi o účtu.
Citlivé hodnoty zpracovává klient
Hostovské TOTP vstupy, QR fotografie, heslové sousloví, obnovovací klíč a dešifrované položky jsou navrženy pro místní zpracování v prohlížeči. Běžné synchronizační rozhraní přenáší šifrované záznamy místo čitelných tajných klíčů.
Účet vyžaduje určitou evidenci
Služba může uchovávat identifikátory účtu a zařízení, informace o relaci, šifrované obálky, revize synchronizace a vymezené bezpečnostní události. Tvrzení o nulových metadatech by tedy bylo zavádějící. Provozní protokoly nemají zahrnovat tajné klíče, aktuální OTP ani obsah QR.
Omezení ochrany v prohlížeči
Při napadení zařízení během odemčené relace může útočník data použít. Odvolání zařízení nezaručuje vzdálené smazání již odcizených záznamů. Důležité jsou proto i bezpečné aktualizace, zamykání systému a správné zacházení se zálohou.