Ключі та контроль пристрою — основа безпеки

Вхід через Google і ключ сховища — різні речі

Google визначає користувача для хмарних даних. Окремий пароль сховища або ключ відновлення дозволяє розшифрувати вміст у браузері. Під час звичайної синхронізації сервер не потребує відкритого секрету TOTP.

Блокування й відкликання обмежують доступ

Блокування скорочує час доступності розшифрованих елементів у застосунку. Відкликання довіреного пристрою перериває його подальший дозволений шлях через сервер, але не може фізично стерти секрет, який уже скопіювали раніше.

Жодне шифрування не скасовує фішинг

Підроблена форма входу здатна вчасно передати викрадений одноразовий код справжньому сайту. Якщо браузер зі сховищем захоплено шкідливим кодом, той може намагатися використати секрети під час розблокування.

Фішинг і заражена вкладка — різні небезпеки

Зловмисник може підробити форму входу, попросити ваш актуальний TOTP та встигнути використати його на справжньому сайті. Тому перед введенням коду перевірте адресу ресурсу й те, чи справді ви щойно розпочали вхід. Якщо постачальник послуги дозволяє passkeys або апаратні ключі безпеки, ознайомтеся з їхніми способами протистояти фішингу та з умовами відновлення доступу.

Інша небезпека виникає всередині браузера, коли сховище вже відкрито. Шкідливе розширення або скрипт може намагатися використати доступні розшифровані секрети. Автоблокування скорочує час їхнього перебування в застосунку, але JavaScript не гарантує фізичного стирання оперативної пам’яті. Неекспортований ключ браузера теж не доводить автоматично, що дані зберігаються в захищеному апаратному модулі.

Чи захищає шифрування від шкідливого браузерного розширення?

Не повністю. Якщо сховище відкрите, шкідливий код із доступом до вкладки може намагатися прочитати доступні секрети.