Una chiave di configurazione non è testo da condividere

Cosa rimane nella sessione ospite

Nel generatore per visitatori, il segreto viene elaborato nel browser per calcolare il codice e non è trasmesso al backend come richiesta di generazione. Le voci temporanee non persistono automaticamente dopo il ricaricamento.

Non bisogna confondere questa proprietà con l'anonimato totale: l'uso di un sito comporta comunque interazioni di rete e altre informazioni tecniche.

Cosa cambia con il Vault

Per i membri, l'account Google identifica il soggetto autorizzato a ottenere contenuto cifrato. Le voci vengono cifrate localmente e richiedono un percorso valido di sblocco per diventare leggibili.

Il trasferimento manuale da Google Authenticator passa invece attraverso QR di export scelti dall'utente: non è un collegamento automatico alle credenziali dell'app.

Piccole precauzioni quotidiane

Non lasciare un QR TOTP in una cartella cloud condivisa, non inviarlo per richiedere aiuto e presta attenzione alle estensioni che possono leggere il contenuto delle schede.

Se è necessario descrivere un difetto, usa segreti sintetici. Un segreto reale già reso pubblico va sostituito nelle impostazioni del servizio che lo ha emesso.

Dalla scheda agli appunti di sistema: chi vede il codice?

Quando premi Copia, il numero temporaneo viene consegnato agli strumenti del sistema operativo per l'incolla. Il browser non può dimostrare che ogni applicazione o cronologia degli appunti lo elimini subito. Prima di incollare, controlla di essere nella pagina del servizio a cui il codice appartiene.

È particolarmente importante non copiare il segreto Base32 al posto del TOTP corrente: quest'ultimo scade, mentre la chiave di configurazione potrebbe consentire la generazione di nuovi codici per molto tempo. Su un computer pubblico evita di salvare segreti o dichiarare il browser affidabile.

• Non lasciare appunti con chiavi autentiche in cartelle condivise.
• Non incollare un QR o una passphrase in una conversazione di assistenza.
• Chiudi le sessioni temporanee dopo l'uso su un dispositivo condiviso.

Quali informazioni tecniche possono rimanere sul server

Il contenuto delle voci del Vault è cifrato nel browser, ma per consentire l'accesso e la sincronizzazione il servizio gestisce comunque identità di account, sessioni, dispositivi, revisioni degli elementi e informazioni limitate su eventi di sicurezza. Non equivale a dire che ogni dettaglio della tua attività sia invisibile.

Nel normale flusso di sincronizzazione il server riceve i dati cifrati anziché i segreti TOTP in chiaro. Questa proprietà va distinta sia dalle informazioni necessarie a verificare la sessione sia da un eventuale rischio locale: un'estensione ostile può osservare contenuti una volta decifrati.

Il QR di un'esportazione non diventa sicuro dopo l'import

Un'immagine esportata da Google Authenticator può includere segreti di più account. Anche dopo averli importati nel Vault, una copia dell'immagine su un cloud fotografico pubblico o in un gruppo di chat può permettere a qualcun altro di ricreare quei codici.

Riduci il numero di copie e, se hai pubblicato un QR, valuta di rinnovare i singoli secondi fattori sui rispettivi servizi. Cancellare soltanto il messaggio o chiudere la scheda non invalida una chiave già sottratta.

Cosa succede quando uso un computer pubblico?

La modalità ospite non archivia automaticamente i dati, ma devi comunque chiudere la scheda, proteggere il dispositivo e non fidarti di un ambiente compromesso.