2FASync
Synchronisieren, ohne TOTP-Schlüssel im Klartext abzulegen
Wer mehrere Geräte nutzt, möchte dieselben Authenticator-Einträge erreichen. 2FASync verfolgt dafür ein Modell, in dem der Browser die Tresordaten verschlüsselt, bevor sie an den Server gehen.
Cloud-Konto und Entschlüsselung sind verschieden
Google OIDC bestätigt, zu welchem Konto die verschlüsselten Datensätze gehören. Für den Tresor nutzt der Browser eigene Schlüssel und gesonderte Entsperrwege. Der Server verwaltet die verschlüsselten Einträge, Geräte- und Synchronisierungsmetadaten, nicht die unverschlüsselten TOTP-Geheimnisse für die normale Synchronisierung.
Was ein neues Gerät tatsächlich benötigt
Nach der Anmeldung werden die verschlüsselten Daten geladen. Ein passender Tresor-Schlüssel muss sie lokal öffnen. Änderungen und Löschungen werden als verschlüsselte Datensätze beziehungsweise Löschmarkierungen abgeglichen; bei Konflikten dürfen Einträge nicht stillschweigend überschrieben werden.
Was Ende-zu-Ende-Schutz nicht löst
Verschlüsselung auf dem Client begrenzt die Einsicht des Servers in Tresorinhalte. Sie schützt nicht vor einem kompromittierten Browser, einer bösartigen Erweiterung oder dem bewussten Weitergeben eines entschlüsselten Setup-Schlüssels.
Wie sich eine Änderung zwischen zwei Geräten verhält
Stellen Sie sich vor, Sie ändern die Bezeichnung eines Eintrags auf dem Notebook, während ein zweites Gerät länger offline bleibt. Beim nächsten Abgleich werden verschlüsselte Datensätze und Revisionsinformationen verglichen. Wenn beide Geräte denselben Eintrag unterschiedlich bearbeitet haben, darf die Anwendung eine Änderung nicht als konfliktfrei ausgeben, nur weil eine Uhrzeit neuer aussieht. Ein Hinweis auf einen Konflikt verlangt eine bewusste Prüfung.
Der Server kann dafür Konto- und Gerätekennungen, Sitzungslage, verschlüsselte Schlüssel-Slots, Versionsnummern und Löschmarkierungen verarbeiten. Er muss den Klartext des TOTP-Schlüssels nicht kennen, um diese Zustände abzugleichen. Gleichzeitig schützt auch eine korrekt verschlüsselte Cloud keine bereits entsperrte Seite vor einer bösartigen Erweiterung oder vor dem Nutzer, der einen eigenen Geheimschlüssel an Dritte weitergibt.
Ist die Verschlüsselung ein Schutz gegen Schadsoftware im Browser?
Nein. Schädlicher Code mit Zugriff auf einen bereits geöffneten Tresor kann dort verfügbare Geheimnisse angreifen.