2FASync
Hemmeligheder i browseren og metadata på serveren er forskellige
For at vurdere privatlivet skal man kende forskellen mellem de værdier, der skaber koder, og de oplysninger, som får en konto til at fungere.
Gæsteinput og QR behandles lokalt
I det normale gæsteforløb udregnes koder i browseren uden en serverfunktion, der modtager rå TOTP-seeds for at generere dem. QR-importens kamerabilleder og understøttede billedfiler afkodes også lokalt. Boksens adgangssætning, gendannelsesnøgle og dekrypterede poster er følsomme klientoplysninger.
Der kan stadig være kontometadata
For medlemstjenesten kan der gemmes identitetsbindinger, sessioner, enhedsoplysninger, krypterede nøgleslots, ændringsrevisioner og afgrænsede sikkerhedshændelser. Kryptering betyder ikke, at der aldrig findes tekniske logs. De normale logs må ikke indeholde TOTP-værdier, rå QR, adgangssætninger eller gendannelsesnøgler.
Den lokale risiko kan ikke fjernes med en knap
En browser med skadelig kode kan aflæse oplysninger i en oplåst session. En kopieret engangskode kan ligge i operativsystemets udklipsholder, og rydning af JavaScript-variabler garanterer ikke fuldstændig sletning af RAM. Undgå offentlige computere til varige opsætningsnøgler og beskyt dine egne billedkopier.