- Zatím starý telefon nemažte: Ponechte starý telefon plně funkční, dokud neověříte, že se vám daří úspěšně přihlásit alespoň do 2 klíčových služeb pomocí 6místných kódů vygenerovaných na novém telefonu.
- Dávejte pozor na vícedílné QR kódy: Máte-li uloženo více než 10 účtů, Google Authenticator rozdělí exportní data do několika po sobě jdoucích QR kódů (např. 1 ze 3, 2 ze 3). Naskenujte je všechny.
- Cloudová synchronizace je dvousečná zbraň: Ačkoli synchronizace s účtem Google usnadňuje obnovu, kompromitované heslo Google může útočníkovi zpřístupnit veškeré vaše dvoufaktorové tokeny.
- Zaveďte redundanci na více zařízeních: Skenování párovacího kódu dvěma zařízeními současně při aktivaci 2FA nebo bezpečné uložení šifrovaných offline záložních klíčů zaručí, že nezůstanete odříznuti při rozbití telefonu.
Google Cloud Sync vs. offline QR export: Bezpečnostní kompromisy a soukromí
Google zavedl cloudovou synchronizaci účtů (Google Cloud Sync), aby vyřešil historický problém uživatelů, kteří při ztrátě nezálohovaného telefonu trvale přišli o přístup ke všem svým účtům. Dnes se při přihlášení primárním účtem Google ve výchozím stavu všechny tokeny TOTP automaticky synchronizují mezi všemi registrovanými zařízeními.
Ačkoliv je to velmi pohodlné, bezpečnostní architekti a uživatelé s vysokým profilem ohrožení musí pečlivě zvážit zásadní kryptografické kompromisy:
| Parametr | Povolený Google Cloud Sync | Offline přímý QR kód (doporučeno) |
|---|---|---|
| Jednoduchost přenosu | Okamžitá (stačí se přihlásit k účtu Google na novém zařízení) | Střední (vyžaduje fyzické optické naskenování QR kódu) |
| Závislost na síti | Vyžaduje aktivní internetové připojení a cloudové servery Google | 100% offline, optický přenos z kamery na obrazovku |
| Jediný bod selhání (SPOF) | Závažný: kompromitace účtu Google vystaví všechny klíče 2FA | Žádný: izolované úložiště tokenů vázané na konkrétní hardware |
| Podpora napříč platformami | Vyžaduje přihlášení ke stejnému ekosystému Google na obou zařízeních | Naprosto bezproblémová mezi Androidem a iOS bez nutnosti cloudového účtu |
| Znalostní suverenita (Zero-Knowledge) | Seedy jsou vzdáleně uloženy na infrastruktuře společnosti Google | Absolutní: nezpracované seedy nikdy neopustí fyzickou paměť zařízení |
Kontrolní seznam před migrací a bezpečnostní pravidla
Předejděte pádům aplikace nebo chybám při rozpoznávání QR kódů ověřením následujících předpokladů ještě před zahájením přenosu:
- Ujistěte se, že oba telefony mají alespoň 50 % baterie nebo jsou připojeny k nabíječce.
- Pracujte v dobře osvětlené místnosti bez přímých odlesků světla na displeji.
- Očistěte objektiv zadního fotoaparátu nového telefonu, aby nebyl obraz při skenování rozmazaný.
- Stáhněte si oficiální Google Authenticator z obchodu App Store nebo Google Play (vyhněte se podvodným napodobeninám).
- Udělejte aplikaci na novém zařízení oprávnění k fotoaparátu.
- Aktualizujte Google Authenticator na starém telefonu na nejnovější dostupnou verzi.
Kompatibilita napříč platformami: Google Authenticator používá standardní formát Protobuf zakódovaný do URI typu otpauth-migration://. Přenos probíhá naprosto spolehlivě jak z Androidu na iPhone, tak z iPhonu na Android bez jakýchkoli problémů s kompatibilitou.
Návod krok za krokem: Plynulý offline přenos přes QR kód
Postupujte podle oficiálního optického exportního postupu pro přímou migraci seedů 2FA bez odesílání klíčů přes prostřední servery:
Krok 1: Otevřete nabídku přenosu účtů na starém telefonu
Spusťte Google Authenticator na starém zařízení. Klepněte na svou profilovou ikonu v pravém horním rohu (nebo na ikonu tří čar / tří teček) a z nabídky zvolte „Přenést účty“.
Krok 2: Biometrické ověření a výběr účtů
Operační systém vás vyzve k ověření totožnosti pomocí Face ID, otisku prstu nebo hesla/PINu zámku obrazovky. Po úspěšné autorizaci se zobrazí seznam všech uložených tokenů 2FA.
💡 Ve výchozím stavu jsou vybrány všechny účty. Pokud migrujete pouze na firemní zařízení, můžete osobní účty odznačit.
Krok 3: Vygenerování exportního QR kódu (pozor na stránkování)
Klepněte na „Exportovat“ nebo „Další“. Na displeji se vykreslí QR kód s vysokou hustotou dat.
Krok 4: Naskenování novým telefonem přes „Importovat účty“
Otevřete Google Authenticator na novém telefonu. Při prvním spuštění vyberte „Přenést stávající účty?“, případně klepněte na ikonu profilu ➔ „Přenést účty“ ➔ „Importovat účty“.
Namiřte fotoaparát na displej starého telefonu. Aplikace po každém úspěšném načtení stránky zavibruje a vyzve vás k posunutí na další QR kód na starém telefonu, dokud nejsou nahrány všechny tokeny.
Krok 5: Povinné ověření přihlášení (nikdy nevynechávejte!)
Všechny přenesené účty se okamžitě zobrazí v seznamu nového telefonu s generováním 6místných kódů každých 30 sekund.
Zlaté pravidlo: Ihned otevřete počítač nebo druhý prohlížeč, přihlaste se k 1 nebo 2 kritickým službám (např. GitHub nebo primární e-mail) a zadejte 6místný kód zobrazený na novém telefonu. Teprve po úspěšném přihlášení považujte migraci za hotovou.
Vymazání starého zařízení: Bezpečnostní zásada nulových zbytků dat
K mnoha bezpečnostním incidentům dochází ve chvíli, kdy je starý smartphone předán rodinnému příslušníkovi, prodán na bazaru nebo odevzdán k recyklaci bez řádného kryptografického vyčištění:
myaccount.google.com ➔ Zabezpečení ➔ Vaše zařízení. Vyhledejte starý telefon a klikněte na „Odhlásit se“, čímž okamžitě zneplatníte všechny aktivní relace.
Architektura offline redundance na více zařízeních (chladná záloha)
Spoléhat se pouze na jediný fyzický telefon představuje vysoké riziko krádeže, utopení ve vodě či náhlé poruchy základní desky. Uplatněte pravidlo redundance 3-2-1 pro 2FA, které zaručí nepřetržitý přístup k vašim účtům:
Každodenní smartphone
Používá se denně k biometrickému ověření a běžnému generování kódů.
iPad / záložní telefon doma
Naskenováno současně při úvodním nastavení a bezpečně uloženo v zásuvce či trezoru.
KeePassXC / papírový trezor
Nezpracované tajné klíče Base32 bezpečně uložené v offline šifrovaném trezoru nebo na laminovaném výtisku.
Ověření pomocí 2FA-Tool: Kdykoli nastavujete novou službu s 2FA nebo ukládáte alfanumerický tajný seed Base32 (např. JBSWY3DPEHPK3PXP), můžete si jeho funkčnost lokálně ověřit v nástroji 2FA-Tool. Přepněte počítač do režimu V letadle, zadejte klíč do generátoru a zkontrolujte, zda se výsledný 6místný kód přesně shoduje s vaší aplikací. Všechny výpočty probíhají výhradně na straně klienta prostřednictvím nativního Web Crypto API prohlížeče.
Řešení problémů a často kladené otázky (FAQ)
Dotaz 1: Nově přenesené 6místné kódy jsou všude hlášeny jako neplatné. Proč?
V 99 % případů je příčinou desynchronizace systémového času (Clock Drift). Algoritmus TOTP počítá tokeny HMAC na základě přesných 30sekundových intervalů unixového času. Pokud se čas vašeho nového telefonu opozdí či předběhne byť o 15–20 sekund, generovaný kód patří do jiného časového okna.
Jak to napravit:
• Android: V aplikaci Google Authenticator otevřete Nastavení ➔ „Časová korekce pro kódy“ ➔ „Synchronizovat nyní“.
• iPhone: Otevřete Nastavení iOS ➔ Obecné ➔ Datum a čas ➔ vypněte a znovu zapněte volbu „Nastavit automaticky“ pro vynucení síťové synchronizace NTP.
Dotaz 2: Co když je displej starého telefonu zcela zničený a nelze zobrazit QR kód?
Měli-li jste na rozbitém telefonu zapnutou synchronizaci Google Cloud Sync, jednoduše se na novém zařízení přihlaste ke stejnému účtu Google v aplikaci Google Authenticator. Všechny účty se okamžitě automaticky načtou.
Pokud byla synchronizace do cloudu vypnutá a nemáte sekundární záložní zařízení, data z poškozeného displeje opticky získat nelze. V takovém případě musíte u každé služby použít jednorázové nouzové záložní kódy (Recovery Codes) nebo projít procesem ověření totožnosti (KYC) přes zákaznickou podporu.
Dotaz 3: Mohou starý i nový telefon generovat identické kódy současně?
Vyzkoušejte svůj tajný klíč 2FA v nástroji 2FA-Tool
Dokončili jste přenos? Ověřte své zálohované tajné klíče Base32 pomocí našeho generátoru běžícího na Web Crypto přímo v prohlížeči. Zcela offline, rychle a bezpečně.
📚 Doporučené bezpečnostní příručky
Povinné požadavky na 2FA, zálohování kódů pro obnovení, práce s klíči SSH a nouzové postupy.
Jak obnovit přístup k účtům Google, Microsoft, Steam, Binance, Apple i Discord.
Od RFC 4226 k RFC 6238: Matematické ořezávání hashů, desynchronizace a moderní web.