バックアップは復旧できて初めて役立ちます

暗号化ファイルと解除手段は別物

2FASyncのバックアップは認証された暗号化スナップショットです。平文の設定キーを一括で書き出す機能として扱わないでください。

バックアップファイルだけを保存しても、対応する解除手段を失えば読み出せない場合があります。復旧キーなどを別の安全な保管先に分けてください。

更新と復元確認

認証項目を追加・削除した後はバックアップの新旧を整理し、どの時点の状態を戻せるか記録します。復旧キーを後から変更しても、過去に他所へコピーしたバックアップが自動で無効になるわけではありません。

復元は別の端末と必要な材料がそろうかを確認して計画してください。本番の大切なアカウントをいきなり削除して試す必要はありません。

どの情報をどこへ保管するか

バックアップファイルは暗号化された状態を記録したものです。復旧キーと同じ共有クラウドフォルダーに置くと、アクセス権が漏れたときに両方を失う恐れがあります。自分が管理できる別々の保管場所とアクセス方法を決めましょう。

必要な解除材料を紙などオフラインで保管する場合も、誰がその保管場所へアクセスできるかを見直します。ダウンロード済みの暗号化バックアップと、作成時に対応する復旧キーがあれば、Googleにログインせずにブラウザー内でバックアップを開き、TOTPコードを表示できます。

一方、会員保管庫のクラウド上の暗号文を取得・同期するにはGoogleアカウントへのログインが必要です。ログインだけでは暗号文を復号できず、保管庫用パスフレーズまたは対応する復旧キーで別途解除する必要があります。

復旧テストの現実的な進め方

新端末で使えるかを確認する際、唯一の認証手段を先に削除する試験は避けます。予備ログイン経路を確保し、バックアップ作成時期と対応する解除方法を記録しておくと切り分けが容易です。

項目の追加や削除で保管庫の状態が変わった後は、古いバックアップとの差を確認してください。過去に外部へ保管したスナップショットを鍵の変更だけで遠隔無効化できると期待してはいけません。