Buluta gönderilmeden önce şifrelenen kasa

Google girişi kimliği belirler

Üye oturumu, hesabın hangi şifreli kayıtları alabileceğini gösterir. Kasayı açacak anahtar ise farklıdır. Google ile giriş yapmış olmak parola veya kurtarma anahtarı gereksinimini kaldırmaz.

Eşitlemede kayıtların durumu da tutulur

Sunucu şifreli öğeleri, anahtar yuvalarını, cihaz bilgilerini ve değişiklik sürümlerini saklayabilir. Silmelerin başka cihazlara ulaşması için şifreli silme işaretleri de kullanılabilir. Bu işlem hiçbir meta verinin bulunmadığı anlamına gelmez.

Tarayıcı ele geçirilirse risk sürer

Kasa açıkken kötü amaçlı bir uzantı veya script, kullanılabilir sırlara erişmeyi deneyebilir. İstemcide şifreleme sunucu tarafındaki düz metin riskini azaltır, fakat güvensiz cihazı güvenli hâle getirmez.

İki cihaz aynı kaydı değiştirirse

Örneğin bilgisayarda bir hesabın adını düzenlediniz, ancak tablet eski kaydı çevrimdışı tutuyor. Daha sonra ikisi de değişiklik gönderirse sistemin sürüm ve çakışma bilgisini uzlaştırması gerekir. Bir öğenin hangi cihazda daha yeni göründüğü tek başına her verinin doğru korunduğunu göstermez. Silmeler de eşitlenecek ayrı işaretler gerektirebilir ve uzun süredir çevrimdışı kalan cihazda henüz görünmeyebilir.

Sunucu, şifrelenmiş öğeleri ve anahtar yuvalarını yönetirken hesap kimliği, oturum, cihaz, sürüm ve sınırlı güvenlik kaydı tutabilir. Bu, gizli TOTP anahtarının düz metin hâlinin sunucuya verilmesiyle aynı şey değildir; fakat hiçbir meta veri yok demek de doğru olmaz. Açık kasaya erişimi olan zararlı bir uzantı, şifre çözülmüş bilgilere saldırabilir.

Google ile giriş yapmak şifreli kayıtları görmeye yeter mi?

Hayır. Oturum kayıtların kime ait olduğunu belirler; okunabilir TOTP verisine erişmek için yerel kasa kilidi ayrıca açılmalıdır.