Захищені записи між власними пристроями

Обліковий запис і ключ розділені

Google OIDC визначає, які зашифровані дані належать учасникові. Пароль сховища та ключ відновлення працюють як окремі шляхи доступу до вмісту. Отримання записів із сервера саме по собі не показує початкових TOTP-секретів.

Синхронізації потрібні службові відомості

Для узгодження оновлень можуть зберігатися зашифровані записи, позначки видалення, версії та відомості про пристрої й сеанси. Ці метадані не дорівнюють відкритим секретам, але не варто стверджувати, що вони повністю відсутні.

Заражений браузер лишається ризиком

Шкідливе розширення або сценарій, який діє з правами відкритої сторінки, може спробувати дістатися розшифрованого вмісту. Клієнтське шифрування не є гарантією захисту пристрою, повністю контрольованого зловмисником.

Що відбувається, коли два браузери редагують один запис

Наприклад, на домашньому ноутбуці ви змінюєте позначку облікового запису, а на іншому комп’ютері паралельно видаляєте старий запис. Після повторного підключення обидва пристрої мають зіставити зашифровані зміни й ревізії. Не можна просто вважати найпізнішу дату доказом правильної версії; іноді користувачеві необхідно розв’язати конфлікт. Для поширення видалень також потрібен окремий синхронізований стан.

Для такого обміну сервер може мати технічні ідентифікатори облікових записів, пристроїв і сесій, версії, зашифровані елементи та мітки видалення. Це не рівнозначно зберіганню таємного TOTP-ключа у відкритому вигляді, але й не є повною відсутністю метаданих. Шкідливий код у вже розблокованій вкладці все одно залишається серйозною загрозою.

Чи доступні серверу якісь дані, крім шифротексту?

Для облікового запису й синхронізації можуть бути необхідні сесії, пристрої та ревізії. Це не рівнозначно відкритому зберіганню TOTP-секретів.