2FASync
Secretul TOTP și datele administrative sunt lucruri diferite
Pentru a înțelege confidențialitatea, trebuie să știi ce se procesează în browser și ce informații poate păstra serviciul.
Valorile sensibile rămân la client în fluxurile normale
Codurile pentru vizitatori, imaginile QR, frazele seifului și intrările decriptate se procesează local. API-urile obișnuite de sincronizare sunt concepute să primească înregistrări criptate, nu chei TOTP în clar. Un tab deschis nu este însă o soluție de stocare definitivă.
Metadatele nu dispar prin criptare
Pentru operare pot exista identități de cont, identificatori de dispozitiv, sesiuni, revizii de sincronizare și evenimente limitate de securitate. Criptarea datelor sensibile nu înseamnă inexistența oricărei evidențe. Jurnalele de rutină nu ar trebui să conțină parole, coduri OTP sau date QR brute.
Atenție la dispozitiv și clipboard
Cât timp seiful este deblocat, browserul folosește temporar date decriptate. Software-ul malițios le poate intercepta, iar un cod copiat poate rămâne în clipboardul sistemului. O revocare ulterioară nu poate garanta ștergerea fizică din memoria sau arhivele altcuiva.