2FASync
Vad händer med dina autentiseringsuppgifter?
För att bedöma integriteten behöver du skilja hemligheter i webbläsaren från metadata som hör till molnkontot.
Koder och QR läses lokalt
I gästläget beräknas TOTP från information du själv för in i webbläsaren. Vid import behandlas kamerabild och vald QR-fil lokalt. Valvfras, återställningsnyckel och dekrypterade poster hör till klientens känsliga data, inte vanliga API-fält.
Vad servern ändå behöver
För inloggning och synkning kan servern lagra konton, enhetsidentifierare, sessioner, krypterade nyckelomslag, ändringsrevisioner och begränsad säkerhetsmetadata. Kryptering betyder alltså inte att tjänsten saknar tekniska register. Exakta loggfält ska inte innehålla TOTP-koder eller råa QR-innehåll.
Inget skydd mot en kapad dator
Om någon kontrollerar webbläsaren medan valvet är upplåst kan personen försöka läsa eller använda lokalt dekrypterade data. Att återkalla en enhet raderar inte en redan stulen kopia. Välj därför betrodda datorer och använd operativsystemets skärmlås.