После одного из обновлений приложения Google для двухфакторной аутентификации появилась синхронизация кодов между устройствами. При переходе на новый телефон больше не нужно вручную вводить резервные коды. Звучит удобно.
Но если с помощью 2FA вы защищаете ценные данные и доступ к счетам, удобство может обойтись слишком дорого. На момент публикации статьи вывод был однозначным: если для вас важна надежная защита, не включайте новую синхронизацию.
Исследователи из Mysk показали, что при использовании тогдашнего облачного резервного копирования секреты для 2FA передавались между устройством и серверами Google без сквозного шифрования. Если злоумышленник получит доступ к этим секретам, ему будет проще взломать счета, которые вы рассчитывали защитить приложением.
Совет исследователей был таким: «Синхронизация секретов 2FA между устройствами удобна, но снижает приватность. К счастью, Google Authenticator можно использовать без входа в аккаунт и без синхронизации. Пока мы рекомендуем именно этот вариант».
О применении аппаратного кошелька как ключа для двухфакторной аутентификации читайте в инструкции по U2F с Ledger Nano.