Een geheime instelsleutel is gevoeliger dan één tijdelijke code

In de gastmodus blijft de berekening lokaal

De sleutel die je invoert wordt gebruikt door de browser om geschikte TOTP-codes te maken. Voor dit genereren hoeft het oorspronkelijke geheim niet aan een server voor codeberekening te worden doorgegeven.

Het tijdelijke tabblad bewaart de invoer standaard niet na opnieuw laden. Dat maakt de functie anders dan een gesynchroniseerde accountkluis, maar het is geen belofte dat een website geen netwerk- of sessiemetagegevens verwerkt.

Bij leden blijft ontgrendeling een afzonderlijke stap

Google-aanmelding identificeert het ledenaccount; geheime kluisitems worden versleuteld voordat hun inhoud wordt gesynchroniseerd. In een nieuwe browser is afzonderlijke ontgrendeling noodzakelijk.

De Google Authenticator-app heeft eigen cloudfuncties. 2FASync importeert ondersteunde gegevens uit een door jou gemaakte QR-export en krijgt niet automatisch inzage in die Google-synchronisatie.

Denk ook aan de omgeving waarin je werkt

Laat geheime sleutels niet openstaan op een gedeeld scherm. Beperk browserextensies die inhoud mogen lezen en deel geen back-upbestanden, echte QR-codes of herstelsleutels met onbekende supportkanalen.

Bij een vermoedelijke lekkage vervang je het tweede factor-geheim op de website die het heeft uitgegeven. Een afbeelding uit een gesprek verwijderen is daarvoor onvoldoende.

Wat de server wél kan zien bij een ledenaccount

De TOTP-geheimen in kluisitems worden in de browser versleuteld voordat ze worden gesynchroniseerd. Voor toegang en gegevensbeheer kan de server wel het ledenaccount, sessies, apparaatvermeldingen, versies van items, verwijdermarkeringen en beperkte beveiligingsgebeurtenissen verwerken.

Dit onderscheid maakt een verschil: de server hoeft het plaintext geheim niet te ontvangen om het versleutelde item op te slaan, maar dat betekent niet dat er geen technische logs of accountmetadata bestaan. Vermijd conclusies over anonimiteit of een wettelijke certificering die niet onafhankelijk is bevestigd.

Ook het klembord heeft zijn eigen risico

Wanneer je een tijdelijke verificatiecode kopieert, wordt die in het klembord van je toestel geplaatst. Andere toepassingen kunnen dat afhankelijk van hun toegang lezen; de website kan geen gegarandeerde verwijdering uit iedere geschiedenis of elk geheugen beloven.

Laat op een gedeelde laptop geen QR voor de oorspronkelijke sleutel op het scherm staan en kopieer liever alleen de actuele code. Controleer bij het plakken altijd de website waarop het tweede factor gevraagd wordt, zodat het geheim niet bij een nagebouwde inlogpagina terechtkomt.

• Sla geen echte TOTP-QR's op in publiek gedeelde fotoalbums.
• Vermijd extensies met onnodige leesrechten op je kluispagina.
• Gebruik testgegevens wanneer je een probleem aan iemand uitlegt.

Een cameraopname of afbeelding blijft gevoelig

Een Google Authenticator-export kan meerdere geheime accountinstellingen in één QR-batch bevatten. Ook als het importeren gelukt is, kan een losse screenshot op een synchroniserende fotodienst nog steeds bruikbaar zijn voor iemand die hem in handen krijgt.

Beperk zulke kopieën en gebruik lokale camera- of bestandsimport op een apparaat onder eigen beheer. Bij vermoeden van blootstelling moet de sleutel bij de oorspronkelijke dienst worden vervangen; een afbeelding verwijderen of de browserkluis sluiten doet dat niet.

Kan ik mijn gastgegevens op een andere computer terughalen?

De tijdelijke gastmodus synchroniseert niet vanzelf. Daarvoor moet je bewust een eigen kluis gebruiken en die op het tweede apparaat openen.