- Älä alusta vanhaa puhelintasi vielä: Pidä vanha puhelimesi toimintakunnossa, kunnes olet varmistanut vähintään kahden kriittisen kirjautumisen onnistuvan uuden puhelimen tuottamilla 6-numeroisilla koodeilla.
- Varo moniosaisia QR-koodeja: Jos sinulla on yli 10 tiliä, Google Authenticator jakaa vientitiedot peräkkäisiin QR-koodeihin (esim. 1/3, 2/3). Skannaa ne kaikki.
- Cloud Sync on kaksiteräinen miekka: Vaikka Google-tilin Cloud Sync tekee palauttamisesta vaivatonta, murrettu Google-salasana paljastaa kaikki toisen vaiheen todennustunnuksesi.
- Ota käyttöön usean laitteen varmistus: Samanaikainen kaksoisskannaus 2FA:ta määritettäessä tai salattujen offline-varmuuskopioavainten säilyttäminen varmistaa, ettet koskaan joudu lukituksi ulos laiterikon vuoksi.
Google Cloud Sync vs. offline-QR-vienti: Tietoturva- ja yksityisyyskompromissit
Google esitteli pilvitilien synkronoinnin (Google Cloud Sync) ratkaistakseen historiallisen ongelman, jossa käyttäjät menettivät pysyvästi pääsyn tileilleen kadottaessaan puhelimen, josta ei ollut varmuuskopiota. Nykyään oletusarvoisesti kaikki TOTP-tunnisteet synkronoituvat automaattisesti rekisteröityjen laitteiden välillä, kun kirjaudut sisään ensisijaisella Google-tililläsi.
Vaikka tämä on kätevää, tietoturva-arkkitehtien ja korkean uhkatason käyttäjien on arvioitava huolellisesti perustavanlaatuiset kryptografiset kompromissit:
| Ominaisuus | Google Cloud Sync käytössä | Offline point-to-point QR (Suositeltu) |
|---|---|---|
| Siirron helppous | Välitön (kirjaudu Google-tilille uudella laitteella) | Kohtalainen (vaatii fyysisen optisen QR-koodin skannauksen) |
| Verkkoriippuvuus | Vaatii toimivan internet-yhteyden ja Googlen pilvipalvelimet | 100 % offline-tilassa, optinen siirto kamerasta näyttöön |
| Yksittäinen vikaantumispiste (SPOF) | Vakava: Google-tilin murtuminen paljastaa kaikki 2FA-avaimet | Ei lainkaan: Eristetty, laitesidonnainen tunnisteiden tallennus |
| Järjestelmien välinen tuki | Vaatii aktiivisen kirjautumisen Google-ekosysteemiin molemmilla laitteilla | Täysin saumaton Androidin ja iOS:n välillä ilman pilvitiliä |
| Zero-Knowledge-suvereniteetti | Siemenavaimet säilytetään etänä Googlen infrastruktuurissa | Absoluuttinen: raa'at siemenavaimet eivät koskaan poistu asiakkaan fyysisestä muistista |
Ennen siirtoa: Tarkistuslista ja turvasäännöt
Estä sovelluksen odottamattomat kaatumiset tai optisen tunnistuksen virheet tarkistamalla seuraavat esivaatimukset ennen siirtoprosessin aloittamista:
- Varmista, että kummassakin puhelimessa on vähintään 50 % akkua tai että ne on kytketty laturiin.
- Työskentele hyvin valaistussa sisätilassa siten, ettei puhelinten näyttöihin heijastu häikäisyä.
- Puhdista uuden puhelimesi takakameran linssi estääksesi optisen skannauksen sumeuden.
- Lataa virallinen Google Authenticator App Storesta tai Google Play Kaupasta (varo harhaanjohtavia kopioita).
- Myönnä sovellukselle kameran käyttöoikeus uudessa laitteessa.
- Päivitä vanhan puhelimen Google Authenticator uusimpaan versioon.
Järjestelmien välinen yhteensopivuus: Google Authenticator käyttää standardia Protobuf-hyötykuormaa, joka on koodattu otpauth-migration:// -muotoiseen URI-osoitteeseen. Siirto toimii saumattomasti Androidista iPhoneen ja iPhonesta Androidiin ilman yhteensopivuusongelmia.
Vaiheittainen opas: Saumaton siirto QR-koodilla offline-tilassa
Noudata virallista optista vientiprosessia siirtääksesi 2FA-siemenavaimet suoraan ilman avainten kulkemista minkään välipalvelimen kautta:
Vaihe 1: Avaa vanhan puhelimen Tilien siirto -valikko
Käynnistä Google Authenticator vanhassa laitteessasi. Napauta profiilikuvakettasi oikeassa yläkulmassa (tai kolmen viivan/pisteen valikkokuvaketta) ja valitse valikosta "Transfer accounts" (Siirrä tilejä).
Vaihe 2: Biometrinen todennus ja tilien valinta
Käyttöjärjestelmä pyytää Face ID-, sormenjälki- tai lukitusnäytön pääsykoodivahvistusta. Tunnistautumisen jälkeen näkyviin tulee luettelo kaikista tallennetuista 2FA-tunnisteista.
💡 Oletuksena kaikki tilit on valittu. Voit poistaa valinnan henkilökohtaisista tileistä, jos siirrät tunnisteita vain yrityksen omistamalle laitteelle.
Vaihe 3: Luo viennin QR-koodi (tarkista moniosaisuus)
Napauta "Export" tai "Next". Näyttöön muodostetaan tiheä QR-koodi.
Vaihe 4: Skannaa uudella puhelimella "Import accounts" -toiminnon kautta
Avaa Google Authenticator uudessa puhelimessasi. Uudessa asennuksessa valitse "Transfer existing accounts?" tai napauta profiilikuvaketta ➔ "Transfer accounts" ➔ "Import accounts".
Suuntaa kamera vanhaan puhelimeesi. Sovellus värähtää jokaisen onnistuneen sivun skannauksen jälkeen ja pyytää pyyhkäisemään vanhassa puhelimessa seuraavaan QR-koodiin, kunnes kaikki tunnisteet on luettu.
Vaihe 5: Pakollinen kirjautumisen varmistus (älä ohita tätä!)
Kaikki siirretyt tilit ilmestyvät välittömästi uuden puhelimesi luetteloon ja päivittävät 6-numeroisia koodeja 30 sekunnin välein.
Kultainen sääntö: Avaa välittömästi kannettava tietokone tai toissijainen selain, kirjaudu 1–2 kriittiseen palveluun (kuten GitHub tai ensisijainen sähköposti) ja syötä uuden puhelimen näyttämä 6-numeroinen koodi. Vasta onnistuneen kirjautumisen jälkeen siirto on varmuudella valmis.
Vanhan laitteen tyhjennys: Zero-remnant -tietoturvakäytäntö
Monet tietoturvaloukkaukset tapahtuvat, kun vanha älypuhelin annetaan perheenjäsenelle, viedään vaihto-ohjelmaan tai myydään käytettynä ilman kryptografista puhdistusta:
myaccount.google.com ➔ Security ➔ Your devices. Etsi vanha puhelimesi ja napsauta "Sign out" mitätöidäksesi kaikki aktiiviset istuntotunnisteet.
Usean laitteen offline-kylmävarmistusarkkitehtuuri
Yhden ainoan puhelimen varaan jättäytyminen tekee sinusta haavoittuvan varkauksille, vesivahingoille tai emolevyn odottamattomalle rikkoutumiselle. Noudata 3-2-1-periaatteen mukaista 2FA-varmistusarkkitehtuuria varmistaaksesi keskeytyksettömän toiminnan:
Päivittäinen älypuhelin
Kulkee mukana päivittäin biometrista todennusta ja koodien luomista varten.
iPad / Kotona säilytettävä varapuhelin
Skannattu samanaikaisesti käyttöönoton yhteydessä ja säilytetään turvallisesti laatikossa tai kassakaapissa.
KeePassXC / Paperiholvi
Raa'at Base32-salaisuusavaimet tallennettuina verkkoyhteydettömään salattuun holviin tai tulostettuina paperille.
Testaus 2FA-Tool-työkalulla: Aina kun otat käyttöön uuden 2FA-palvelun tai tallennat aakkosnumeerisen Base32-siemenavaimen (esim. JBSWY3DPEHPK3PXP), voit tarkistaa sen paikallisesti 2FA-Toolissa. Kytke tietokoneesi lentokonetilaan, syötä avain generaattoriin ja varmista, että saatu 6-numeroinen koodi vastaa todennussovellustasi. Kaikki laskelmat suoritetaan asiakaspuolella selaimen oman Web Crypto API:n kautta.
Vianmääritys ja usein kysytyt kysymykset (FAQ)
K1: Uudet siirretyt 6-numeroiset koodit hylätään virheellisinä kaikkialla. Miksi?
99 % vahvistusvirheistä johtuu kellonajan heitosta (Clock Drift). TOTP laskee HMAC-tunnisteet tiukkojen 30 sekunnin Unix-aikavälien perusteella. Jos uuden puhelimesi kello heittää vaikkapa 15–20 sekuntia, luotu koodi kuuluu väärään aikaikkunaan.
Korjausohje:
• Android: Valitse Google Authenticatorissa Asetukset ➔ "Time correction for codes" ➔ "Sync now".
• iPhone: Siirry iOS-asetuksissa kohtaan Asetukset ➔ Yleiset (General) ➔ Päivä ja aika (Date & Time) ➔ Kytke "Aseta automaattisesti" (Set Automatically) pois päältä ja takaisin päälle pakottaaksesi NTP-verkkosynkronoinnin.
K2: Entä jos vanhan puhelimeni näyttö on täysin pirstaleina eikä se voi näyttää QR-koodeja?
Jos Google Cloud Sync oli käytössä rikkinäisessä puhelimessa, kirjaudu vain samalle Google-tilille uuden laitteesi Google Authenticator -sovelluksessa. Kaikki tilit palautuvat automaattisesti.
Jos Cloud Sync ei ollut käytössä eikä sinulla ole toissijaista varalaitetta, optista dataa ei voida palauttaa rikkinäiseltä näytöltä. Sinun on käytettävä kunkin palvelun hätäpalautuskoodeja (Recovery Codes) tai suoritettava henkilöllisyyden vahvistus- / KYC-menettely asiakastuen kanssa.
K3: Voivatko vanha ja uusi puhelimeni luoda täsmälleen samoja koodeja samanaikaisesti?
Testaa 2FA-salaisuusavaimesi 2FA-Tool-työkalussa
Oletko saanut siirron valmiiksi? Varmista varmuuskopioidut Base32-siemenavaimesi asiakaspuolen Web Crypto -generaattorillamme. Täysin offline-tilassa, nopea ja turvallinen.
📚 Suositellut tietoturvaoppaat
Pakollinen 2FA-yhteensopivuus, palautuskoodien tallentaminen, SSH-avainten vuorovaikutus ja pelastusmenetelmät.
Miten palauttaa pääsy tileille Google, Microsoft, Steam, Binance, Apple ja Discord.
RFC 4226:sta RFC 6238:aan: Matemaattinen tiivisteen katkaisu, desynkronointi ja verkkokäyttö.