Ochrona kodów nie kończy się na szyfrowaniu

Dwie różne warstwy dostępu

Logowanie Google ustala tożsamość użytkownika chmury. Osobno hasło sejfu lub materiał odzyskiwania umożliwia odblokowanie zaszyfrowanych wpisów. Serwer nie potrzebuje jawnego klucza sejfu do zwykłej synchronizacji.

Zaufane urządzenie można odwołać

Dopuszczony klucz przeglądarki może ułatwiać ponowne odblokowanie. Cofnięcie zaufania zatrzymuje przyszłą autoryzowaną ścieżkę serwera, lecz nie gwarantuje usunięcia danych wcześniej skopiowanych ze skradzionego komputera.

Uważaj na phishing i złośliwy kod

TOTP nie jest metodą całkowicie odporną na phishing. Przejęta przeglądarka lub złośliwe rozszerzenie może też zaatakować dane, gdy sejf jest otwarty. Żadne sformułowanie „szyfrowane” nie powinno sugerować odporności na taki scenariusz.

Dwa zagrożenia, których nie usuwa samo szyfrowanie

Osoba podszywająca się pod serwis może nakłonić Cię do wpisania poprawnego TOTP na fałszywej stronie. Ponieważ kod pozostaje aktywny przez krótki okres, atakujący może natychmiast przekazać go prawdziwemu usługodawcy. Weryfikuj adres witryny przed wpisaniem hasła i drugiego składnika. Jeśli oryginalny serwis wspiera passkeys lub klucz bezpieczeństwa odporny na phishing, poznaj tę możliwość.

Drugie ryzyko dotyczy urządzenia: złośliwe rozszerzenie przeglądarki może próbować odczytać dane w chwili, gdy sejf jest otwarty. Blokada przy bezczynności pomaga ograniczyć czas ekspozycji, ale JavaScript nie może zagwarantować fizycznego usunięcia danych z każdej komórki pamięci. Lokalny klucz oznaczony jako nieeksportowalny także nie stanowi automatycznie potwierdzenia sprzętowego zabezpieczenia.

Czy zaszyfrowany sejf jest odporny na złośliwe rozszerzenie?

Nie, jeśli złośliwy kod ma dostęp do danych w odblokowanej przeglądarce. Szyfrowanie chroni inny etap przepływu niż bezpieczeństwo samego urządzenia.