谷歌身份验证器的云端同步功能没有端到端加密

谷歌身份验证器的云端同步功能没有端到端加密周一，GoogleAuthenticator将2FA代码同步到您的Google帐户的功能。后来发现该功能不是端到端加密的(E2EE)，谷歌今天解释了原因。Mysk的安全研究人员昨天对GoogleAuthenticator的新同步功能不是端到端加密(E2EE)提出批评，因此从理论上讲，Google可以获取并复制您的2FA代码。那些非常注重安全并且不相信谷歌（或恶意第三方）不会访问用户数据的人希望通过使用只有他们知道的另一个密钥（或密码）对代码进行端到端加密，让除了他们之外没有人可以访问2FA代码。谷歌今天解释说，Authenticator的新同步功能的目标是“提供保护用户的功能，但又实用又方便。”承认“E2EE是一项提供额外保护的强大功能”，缺点是如果用户忘记或丢失了他们的Google帐户密码（或额外的安全层），他们可能“无法恢复自己的数据”。谷歌“计划为谷歌身份验证器提供E2EE。”同时，它提醒用户他们可以在离线/不同步Google帐户的情况下继续使用该应用程序。——

谷歌身份验证器现在可以将 2FA 代码同步到云端

谷歌身份验证器现在可以将2FA代码同步到云端GoogleAuthenticator刚刚获得更新，对于经常使用该服务登录应用程序和网站的人来说应该会更有用。从今天开始，GoogleAuthenticator现在会将其生成的任何一次性双因素身份验证(2FA)代码同步到用户的Google帐户。以前，一次性身份验证器代码存储在本地的单个设备上，这意味着丢失该设备通常意味着无法登录使用身份验证器的2FA设置的任何服务。要利用新的同步功能，只需更新Authenticator应用程序即可。如果您在Google身份验证器中登录了Google帐户，您的代码将自动备份并在您使用的任何新设备上恢复。即使您没有登录Google帐户，您也可以按照此支持页面上的步骤手动将代码传输到另一台设备。警告：由于此前谷歌身份验证器更新会造成验证代码无法被正确验证，此次更新是否解决了这个问题编辑未进行确认，请谨慎更新。——

▎谷歌验证器：云同步功能已成为网络安全威胁

#互联网观察▎谷歌验证器：云同步功能已成为网络安全威胁总部位于旧金山的软件开发公司Retool透露，其27名云客户的账户在一次有针对性的SMS社交工程攻击后被侵犯，并指责谷歌验证器近期新推出的云同步功能使得这次侵犯更加严重，称其为“darkpattern”。“谷歌验证器能够同步到云是一个新的攻击途径”，Retool的工程主管SnirKodesh说。“我们原本实施的是多因素认证。但通过这次谷歌的更新，之前的多因素认证悄无声息地（对管理员来说）变成了单因素认证。”黑客通过SMS钓鱼攻击诱使员工点击一个假的链接，之后通过电话深度伪造员工的“真实声音”，获取多因素认证代码。由于员工使用了谷歌验证器的云同步功能，为攻击者提供了更多的访问权限，因此间接导致该公司损失了价值1500万美元的加密货币。▎一些建议由于谷歌验证器支持云功能后不再百分百安全，因此建议大家考虑使用FIDO2兼容的硬件安全钥匙或通行证，这可以提供一个更为安全的验证方法，从而抵抗钓鱼攻击。频道@AppDoDo