Toegang tot je account is iets anders dan toegang tot je geheimen

Kluisgegevens worden vóór opslag beschermd

De inhoud met TOTP-geheimen wordt door de browser versleuteld. Voor het ontgrendelen bestaan specifieke routes, zoals een wachtzin voor de kluis en een bijbehorende herstelsleutel. Google heeft daarmee niet automatisch de decryptiesleutel.

Een herstelsleutel vervangt op zijn beurt niet de geldige ledenaanmelding waar een server om vraagt. Beide controles beschermen een ander deel van het proces.

Vertrouwde apparaten zijn begrensd

Een browser kan een sleutel bewaren die als niet-exporteerbaar is bedoeld. Dat is geen bewijs dat hij in speciale hardware is opgeslagen of tegen alle malware bestand is.

Intrekking maakt een bepaalde apparaattoegang bij de server ongeldig. Een eerder door iemand gekopieerde QR, back-up of plaintext wordt daarmee niet op afstand uitgewist.

Begrijp de werking van vergrendelen

Door vergrendeling verdwijnen leesbare toepassingsreferenties uit de actieve interface en stoppen gevoelige handelingen. JavaScript kan niet garanderen dat elk fysiek geheugenrestant onmiddellijk is gewist.

Ook versleuteling voorkomt niet dat een aanvaller een TOTP-code op een nagebootste aanmeldpagina probeert te onderscheppen. Controleer daarom het domein en gebruik waar mogelijk phishingbestendige methoden.

Een code die verloopt, kan nog steeds worden gephist

Stel dat je via een e-mail op een aanmeldpagina komt die precies op die van je cloudprovider lijkt. Als je daar je wachtwoord en een nog geldige TOTP invoert, kan een aanvaller beide vrijwel onmiddellijk doorsturen naar de echte dienst.

Controleer daarom het domein voordat je een code plakt. Als een account ook phishingbestendige passkeys of beveiligingssleutels aanbiedt, kan dat voor een gevoelig account een betere tweede factor zijn. De versleuteling van 2FASync neemt dit risico op de inlogpagina niet weg.

Een back-up kun je ook zonder Google-sessie lokaal lezen

Voor het maken van een versleutelde Vault-back-up moet de kluis geopend zijn, de synchronisatiestatus exact bevestigd zijn en de vereiste recente Google-authenticatie aanwezig zijn. Daarmee voorkom je dat een niet-opgeslagen wijziging ongemerkt uit het bestand ontbreekt.

Als je al een geschikt back-upbestand bezit, kun je de aparte lokale herstelfunctie van 2FASync gebruiken met dat bestand en de bijbehorende herstelsleutel, zonder eerst bij Google aan te melden. Dit is lezen van een lokale kopie, niet automatisch herstellen van je cloudaccount of een extern inlogproces.

Welke actie helpt bij een gestolen laptop?

Trek waar mogelijk de vertrouwde apparaattoegang in bij 2FASync en controleer afzonderlijk de actieve Google-sessies. Zorg dat je op een eigen veilig toestel nog steeds een geldige kluiswachtzin of herstelsleutel kunt gebruiken.

Als de dief eerder een instel-QR of TOTP-secret heeft kunnen kopiëren, volstaat apparaatrevocatie niet. Je moet de tweede factor opnieuw instellen bij de betreffende externe dienst. Al bestaande afbeeldingen en back-upbestanden worden immers niet fysiek uitgewist door een serverbesluit.

Kan ik erop vertrouwen dat een gestolen computer alles op afstand wist?

Nee. Intrekking beperkt toekomstige servertoegang. Reeds gekopieerde bestanden en gegevens zijn daarmee niet gegarandeerd verwijderd.