Wysyłaj zaszyfrowane wpisy, nie gotowe sekrety

Szyfrowanie odbywa się przed wysłaniem

Przeglądarka chroni zawartość wpisów kluczem sejfu. Na serwer mogą trafiać zaszyfrowane rekordy, informacje o urządzeniach, wersjach i sesjach potrzebne do synchronizacji. Nie oznacza to całkowitego braku metadanych.

Drugie urządzenie musi odszyfrować dane

Po zalogowaniu Google pobierasz rekordy przypisane do konta. Dopiero hasło sejfu, pasujący klucz odzyskiwania lub dopuszczony klucz zaufanego urządzenia umożliwia odczyt. Sam dostęp do konta Google nie wystarcza.

Granice ochrony kryptograficznej

Jeżeli złośliwe oprogramowanie kontroluje przeglądarkę z otwartym sejfem, może próbować odczytać znajdujące się tam dane. Szyfrowanie po stronie klienta ogranicza wiedzę serwera, lecz nie naprawia przejętego urządzenia.

Równoczesna edycja na dwóch urządzeniach

Wyobraź sobie zmianę etykiety wpisu na komputerze służbowym, gdy tablet nadal ma starszą wersję. Podczas synchronizacji trzeba porównać rewizje i zaszyfrowane rekordy. Gdy oba urządzenia zmieniły ten sam element, konflikt wymaga rozstrzygnięcia; samo wysłanie najnowszego pakietu nie gwarantuje zachowania każdej zmiany. Podobnie usunięcie wpisu ma swój stan synchronizacji, a sprzęt długo pozostający offline może go jeszcze nie widzieć.

Do tego celu serwer potrzebuje pewnych metadanych: identyfikatorów konta, informacji o urządzeniach, sesjach, wersjach i zaszyfrowanych znacznikach usunięcia. Nie potrzebuje natomiast jawnego sekretu TOTP do normalnej wymiany. Ryzyko nadal występuje, gdy złośliwy kod działa w otwartym sejfie i ma dostęp do odszyfrowanych danych właśnie w tej chwili.

Czy drugi komputer zobaczy kody po samym zalogowaniu Google?

Nie. Może uzyskać zaszyfrowane rekordy konta, lecz do ich odczytu konieczne jest osobne uprawnione odblokowanie sejfu.