Synchronizace Google Authenticator trpí bezpečnostní chybou

Appka Google Authenticator poskytuje jedinečné kódy, které mohou posloužit coby druhý faktor při přihlašování k webům a aplikacím. V pondělí Google uvolnil dlouho očekávanou funkci synchronizace Authenticatoru, která má usnadnit použít appku na mnoha zařízeních s jedním Google účtem. Novinka má jen jednu vadu na kráse: není zabezpečená.

 

Podle expertů IT security trpí synchronizace Google Authenticator závažnou bezpečností chybou. Testy ukázaly, že nový 2FA nástroj není šifrován end-to-end, což znamená bezpečnostní riziko pro uživatele. Tento problém vyvolává otázky ohledně ochrany dat uživatelů v aplikacích, které chrání naše sociální účty. Bezpečnostní odborníci doporučují používat aplikaci bez nové funkce synchronizace, nebo ji používat s velkou opatrností.

Tommy Mysk, jeden z výzkumníků, kteří problém odhalili, říká: Funkci jsme otestovali hned, jak ji Google uvolnil. Uvědomili jsme si přitom, že aplikace nevyzývá ani nenabízí možnost použít k ochraně soukromých údajů přístupovou frází. Myskovy testy ukázaly, že nezašifrovaný internetový provoz obsahuje klíčovou informaci, která se používá k vytváření dvoufaktorových ověřovacích kódů. To může mít závažné následky, zejména pokud se pomocí Google Authenticator snažíte ochránit citlivé informace. Útočníci se v případě kompromitace serverů Googlu dostanou k názvům účtů a služeb, které jsou chráněny 2FA pomocí Google Authenticatoru. 

Aktuálně se díře v zabezpečení dá vyhnout pouze tak, že:

• nebudete používat synchronizaci Google Authenticator napříč účty a
• nebudete k němu přihlášeni pomocí svých Google identit.

Google slibuje, že zavede šifrování end-to-end co nejdříve. Christiaan Brand z Googlu, říká:

„Abychom zajistili, že uživatelům nabízíme kompletní sadu možností, začali jsme v některých našich produktech zavádět volitelné end-to-end šifrování a v budoucnu plánujeme nabídnout end-to-end šifrování i pro Google Authenticator.“

Zdroje

• Google
• Gizmodo.com

 

Daniel Beránek, 27.04.2023 18:16

 

 

 

	Bankovní identitou už i podepíšete elektronické dokumenty Bankovní identita Bank Vám nově umožní i elektronicky podepsat dokumenty. Služba, přístupná na webu BankiD.cz, poskytne bezpečnou cestu k digitálním podpisům. Uživatelé díky ní snadno podepíší smlouvy nebo potvrdí žádosti, aniž by...
	Ponořte se hlouběji do světa ChatGPT pomocí Canvas OpenAI uvádí funkci Canvas, která naprosto změní způsob a hloubku interakce uživatelů s ChatGPT. Canvas, aktuálně dostupné v beta verzi, nabízí nástroje pro zjednodušení psaní a programování. Umožňuje uživatelům efektivněji pracovat na...
	Copilot nabídne nové funkce Think Deeper a Copilot Vision Microsoft přichází s aktualizací AI Copilot, která přináší nové funkce Think Deeper a Copilot Vision. Měly by zintenzivnit interakci uživatele s umělou inteligencí, umožnit hlubší analýzu dat a vizuální rozpoznávání...
	Autonomní AI způsobila kolaps systému Je dobrý nápad dát umělé inteligenci taková práva, aby mohla ve vymezeném prostoru operovat zcela samostatně? Odpověď se sama nabízí a nedávný incident ji potvrzuje. AI agent se v systému pustil do operací a aktualizací nad rámec toho, k...