Kod QR do uwierzytelniania to dane dostępowe

Nie wysyłaj zrzutów do przypadkowych usług

Zdjęcie ekranu z kodem eksportu może być równie wrażliwe jak sam sekret. Unikaj zamieszczania go w wiadomościach, zgłoszeniach technicznych, publikacjach i narzędziach do odczytu QR działających na cudzym serwerze.

Dane importu odczytuj lokalnie

2FASync ma przetwarzać obraz z kamery lub dozwolony lokalny plik w przeglądarce. Nie wymaga wysyłania fotografii do serwisu rozpoznawania obrazów. Po skanowaniu sprawdź, jakie konta program rozpoznał.

Rozróżniaj rodzaje QR

QR prowadzący do strony, QR logowania i QR eksportujący klucze to różne rzeczy. W przypadku otpauth:// i eksportu migracyjnego nawet późniejsza publikacja może narazić dane; import nie unieważnia automatycznie starego QR.

Jeśli zdjęcie QR wyszło poza Twój komputer

Zastanów się, czy nie wysłałeś eksportu przez komunikator, publiczny dysk, zgłoszenie techniczne albo automatycznie udostępniany album. Każde takie miejsce mogło zachować kopię obrazu także po skasowaniu pliku z telefonu. W przypadku QR zawierającego sekret TOTP potraktuj to jak potencjalny wyciek klucza i sprawdź procedurę zmiany ustawień 2FA bezpośrednio w danym serwisie.

Po udanym imporcie usuń zbędne zdjęcia z folderu pobranych plików i sprawdź własne ustawienia kopii zdjęć. Nie zakładaj jednak, że usunięcie lokalnej fotografii unieważni już ujawniony klucz. Różne obrazy QR mogą służyć do płatności, otwarcia witryny albo skonfigurowania autentykatora; to ich zawartość, a nie kształt kratki, określa ryzyko.

Czy po imporcie można przesłać komuś obraz QR?

Nie. QR eksportu nadal może zawierać działające sekrety. Udostępnienie fotografii może umożliwić innej osobie obliczanie przyszłych kodów.