- Ärge vormindage veel oma vana telefoni: Hoidke vana telefon puutumatuna seni, kuni olete veendunud, et vähemalt kahe olulise konto sisselogimine õnnestus uue telefoni genereeritud 6-kohalise koodiga.
- Pöörake tähelepanu mitmeosalistele QR-koodidele: Kui teil on üle 10 konto, jaotab Google Authenticator ekspordiandmed järjestikuste QR-koodide vahel (nt 1/3, 2/3). Skannige need kindlasti kõik.
- Pilvesünkroonimine on kahe teraga mõõk: Kuigi Google'i konto pilvesünkroonimine teeb taastamise vaevatuks, seab Google'i konto kompromiteerimine ohtu kõik teie teise faktori autentimiskoodid.
- Võtke kasutusele mitme seadmega varundusstrateegia: 2FA esmasel seadistamisel koodi skannimine korraga kahte seadmesse või krüpteeritud võrguühenduseta varuvõtmete säilitamine tagab, et te ei jää seadme rikke tõttu kontodest ilma.
Google Cloud Sync vs. võrguühenduseta QR-eksport: turvalisuse ja privaatsuse kompromissid
Google võttis kasutusele Google'i konto pilvesünkroonimise (Google Cloud Sync), et lahendada pikaajaline mure, kus kasutajad kaotasid varundamata telefoni purunemisel või kaotamisel lõplikult juurdepääsu oma kontodele. Tänapäeval sünkroonitakse esmase Google'i kontoga sisselogimisel vaikimisi kõik TOTP-koodid automaatselt kõigi registreeritud seadmete vahel.
Kuigi see on mugav, peavad turvaarhitektid ja kõrgendatud riskiga kasutajad hoolikalt kaaluma fundamentaalseid krüptograafilisi kompromisse:
| Mõõde | Google Cloud Sync lubatud | Võrguühenduseta otspunkt-QR (Soovitatav) |
|---|---|---|
| Ülekandmise lihtsus | Hetkeline (logige uues seadmes Google'i kontole sisse) | Mõõdukas (nõuab füüsilist optilist QR-koodi skannimist) |
| Võrgusõltuvus | Nõuab aktiivset internetiühendust ja Google'i pilveservereid | 100% võrguühenduseta, kaamerast ekraanile optiline ülekanne |
| Üksik tõrkepunkt (SPOF) | Kriitiline: Google'i konto ülevõtmine paljastab kõik 2FA võtmed | Puudub: isoleeritud, riistvaraga seotud võtmehoidla |
| Platvormideülene tugi | Nõuab aktiivset Google'i ökosüsteemi sisselogimist mõlemas seadmes | Sujuv Androidi ja iOS-i vahel ilma pilvekontota |
| Nullteadmiste suveräänsus | Seemned asuvad eemal Google'i taristus | Täielik: algvõtmed ei lahku kunagi seadme füüsilisest mälust |
Migreerimiseelne kontroll-leht ja turvareeglid
Ootamatute rakenduse krahhide või optilise tuvastamise tõrgete vältimiseks veenduge enne ülekandmise alustamist järgmiste eeltingimuste täitmises:
- Veenduge, et mõlema telefoni aku laetuse tase on vähemalt 50% või ühendage need laadijasse.
- Töötage hästi valgustatud ruumis, vältides ekraanidelt peegelduvaid otseseid valgusallikaid.
- Puhastage uue telefoni tagakaamera lääts, et vältida optilise skannimise hägusust.
- Laadige ametlik Google Authenticator alla App Store'ist või Google Play poest (vältige petlikke jäljendajaid).
- Andke rakendusele uues seadmes kaamera kasutusõigus.
- Uuendage vanas telefonis Google Authenticator uusimale saadaolevale versioonile.
Platvormideülene ühilduvus: Google Authenticator kasutab standardset Protobuf-andmevormingut, mis on kodeeritud otpauth-migration:// URI sisse. See kandub ilma igasuguste ühilduvusprobleemideta sujuvalt üle Androidist iPhone'i ja iPhone'ist Androidi.
Samm-sammuline juhend: sujuv võrguühenduseta QR-ülekandmine
Järgige ametlikku optilise ekspordi töövoogu, et kanda oma 2FA seemned üle otse, ilma võtmeid vahepealsete serverite kaudu saatmata:
1. samm: Avage vanas telefonis kontode ülekandmise menüü
Käivitage vanas seadmes Google Authenticator. Puudutage ülemises paremas nurgas oma profiiliikooni (või kolme joonega/punktiga menüüikooni) ja valige avanevast menüüst "Kontode ülekandmine" (Transfer accounts).
2. samm: Biomeetriline autentimine ja kontode valimine
Operatsioonisüsteem küsib Face ID, sõrmejälje või lukustuskuva koodi kinnitust. Pärast kinnitamist kuvatakse kõigi salvestatud 2FA kontode nimekiri koos märkeruutudega.
💡 Vaikimisi on valitud kõik kontod. Saate eemaldada märke isiklikelt kontodelt, kui teostate ülekandmist rangelt tööseadmesse.
3. samm: Looge ekspordi QR-kood (kontrollige lehekülgi)
Puudutage nuppu "Ekspordi" või "Edasi". Ekraanile kuvatakse suure tihedusega QR-kood.
4. samm: Skannige uue telefoniga menüüst "Impordi kontod"
Avage uues telefonis Google Authenticator. Esmakordsel seadistamisel valige "Kas kanda üle olemasolevad kontod?" või puudutage profiiliikooni ➔ "Kontode ülekandmine" ➔ "Impordi kontod".
Suunake kaamera vana telefoni ekraanile. Rakendus vibreerib iga lehe eduka skannimise järel ja palub vanal telefonil libistada järgmise QR-koodi juurde, kuni kõik kontod on üle võetud.
5. samm: Kohustuslik sisselogimise kontroll (ärge jätke vahele!)
Kõik üle kantud kontod ilmuvad kohe uue telefoni nimekirja ning uuendavad 6-kohalisi koode iga 30 sekundi järel.
Kuldreegel: Avage viivitamatult sülearvuti või teine veebibrauser, logige sisse ühte või kahte elutähtsasse teenusesse (nt GitHub või peamine e-post) ja sisestage uue telefoni kuvatav 6-kohaline kood. Alles siis, kui sisselogimine õnnestub, on migreerimine edukalt kinnitatud.
Vana seadme puhastamine: andmejääkideta turvapoliitika
Paljud turvaintsidendid leiavad aset siis, kui vana nutitelefon antakse edasi pereliikmetele, vahetatakse tagasiostuprogrammis uue vastu või müüakse järelturul ilma krüptograafilise puhastamiseta:
myaccount.google.com ➔ Turvalisus ➔ Teie seadmed. Leidke vana telefon ja klõpsake nupul "Logi välja", et tühistada kõik aktiivsed seansiload.
Mitme seadme võrguühenduseta külmvarunduse arhitektuur
Ainult ühele füüsilisele telefonile lootmine muudab teid haavatavaks varguse, veekahjustuse või ootamatu emaplaadi rikke korral. Katkestusteta töökindluse tagamiseks järgige 3-2-1 2FA koondusarhitektuuri:
Igapäevane nutitelefon
Kaasas igapäevaseks biomeetriliseks autentimiseks ja koodide genereerimiseks.
iPad / kodune varutelefon
Skannitakse seadistamisel samaaegselt ning hoiustatakse turvaliselt kirjutuslauas või seifis.
KeePassXC / paberhoidla
Base32 algsed salavõtmed krüpteeritud võrguühenduseta hoidlas või lamineeritud väljatrükil.
Kontrollimine 2FA-Tooliga: Iga kord, kui seadistate uue 2FA teenuse või salvestate tähtnumbrilise Base32 salavõtme (nt JBSWY3DPEHPK3PXP), saate seda kohapeal 2FA-Toolis kontrollida. Lülitage arvuti lennurežiimi, sisestage võti generaatorisse ja veenduge, et saadav 6-kohaline kood kattub teie autentimisrakendusega. Kõik arvutused sooritatakse kliendipoolselt brauseri loomuliku Web Crypto API abil.
Probleemide lahendamine ja korduma kippuvad küsimused (KKK)
1. küsimus: Äsja üle kantud 6-kohalised koodid lükatakse igal pool tagasi. Miks?
99% kinnitustõrgetest on põhjustatud kellaaja nihkest (Clock Drift). TOTP arvutab HMAC-koode rangete 30-sekundiliste Unixi ajaintervallide alusel. Kui teie uue telefoni kell kaldub kõrvale kasvõi 15–20 sekundit, kuulub genereeritud kood valesse ajavahemikku.
Kuidas parandada:
• Android: Avage rakenduses Google Authenticator Seaded ➔ "Koodide kellaaja parandus" (Time correction for codes) ➔ "Sünkrooni kohe" (Sync now).
• iPhone: Avage iOS Settings ➔ Üldine (General) ➔ Kuupäev ja kellaaeg (Date & Time) ➔ Lülitage valik "Määra automaatselt" (Set Automatically) korraks välja ja uuesti sisse, et sundida NTP-võrgu taassünkroonimist.
2. küsimus: Mida teha, kui vana telefoni ekraan on täiesti purunenud ega kuva QR-koode?
Kui purunenud telefonis oli lubatud Google Cloud Sync, logige uues seadmes Google Authenticatori rakenduses lihtsalt sisse samale Google'i kontole. Kõik kontod ilmuvad automaatselt uuesti.
Kui pilvesünkroonimine oli välja lülitatud ja teil pole teist varuseadet, ei saa purunenud ekraanilt optilisi andmeid taastada. Sel juhul tuleb kasutada iga teenuse erakorralisi varutaastekoode (Recovery Codes) või läbida klienditoe kaudu isikutuvastus (KYC).
3. küsimus: Kas vana ja uus telefon saavad genereerida identseid koode üheaegselt?
Testige oma 2FA salavõtit 2FA-Toolis
Kas olete ülekandmise lõpetanud? Kontrollige oma varundatud Base32 salavõtmeid meie kliendipoolse Web Crypto generaatori abil. Täielikult võrguühenduseta, kiire ja turvaline.
📚 Soovitatud turvajuhendid
Kohustuslikud 2FA nõuded, taastekoodide talletamine, SSH-võtmete koosmõju ja taastetoimingud.
Kuidas taastada juurdepääs teenustes Google, Microsoft, Steam, Binance, Apple ja Discord.
RFC 4226 kuni RFC 6238: Matemaatiline räsikärbe, desünkroniseerimine ja veebikasutus.