Dare fiducia a un browser è una decisione specifica

Quando una chiave locale viene creata

Dopo aver sbloccato il Vault, un browser compatibile può conservare una chiave non estraibile prevista per quella via di accesso. Non rende qualsiasi nuova sessione Google capace di decifrare i dati.

Limita questa opzione ai dispositivi sotto il tuo controllo. Su una postazione temporanea evita di affidarti a chiavi permanenti del browser.

Cosa fa la revoca

Il server smette di accettare il percorso revocato. Sul dispositivo disponibile l'applicazione tenta di eliminare il materiale locale opportuno; non può però certificare che un computer rubato abbia distrutto ogni copia.

La dicitura non estraibile non equivale a una garanzia di protezione hardware. Valuta anche la sicurezza generale del sistema operativo e delle estensioni.

Prima di togliere l'ultimo dispositivo

Verifica che passphrase e recupero funzionino da un altro browser controllato. Revocare l'unica via di accesso senza questa verifica potrebbe rendere più complicato recuperare il Vault.

Se un dispositivo è smarrito, considera anche l'uscita dalle sessioni dei servizi esterni e l'eventuale rinnovo dei loro segreti TOTP.

Revocare un dispositivo non sostituisce la rotazione del segreto

Se perdi il portatile ma possiedi un altro browser in grado di aprire il Vault, puoi revocare il percorso di accesso affidabile del dispositivo perduto. La revoca di una sessione, quella del dispositivo e la sostituzione del segreto TOTP di un account esterno non sono la stessa operazione.

Quando temi che un QR sia stato copiato, rinnova la configurazione nel sito originale. Le vecchie copie locali restano potenzialmente accessibili anche dopo una revoca sul server; per questo è importante conservare una via di recupero sotto il tuo controllo.

Un dispositivo affidabile resta tale per sempre?

La fiducia è revocabile, e non dovrebbe essere considerata permanente quando cambiano proprietario o condizioni di sicurezza del dispositivo.