- Kol kas neformatuokite senojo telefono: Laikykite senąjį telefoną nepakeistą, kol neįsitikinsite, kad bent 2 svarbios prisijungimo operacijos sėkmingai atliktos naudojant naujojo telefono sugeneruotus 6 skaitmenų kodus.
- Atkreipkite dėmesį į kelių dalių QR kodus: Jei turite daugiau nei 10 paskyrų, Google Authenticator eksportavimo duomenis padalija į kelis paeiliui einančius QR kodus (pvz., 1 iš 3, 2 iš 3). Būtinai nuskaitykite juos visus.
- Cloud Sync yra dviašmenis kalavijas: Nors Google paskyros sinchronizavimas su debesimi (Cloud Sync) palengvina atkūrimą, pažeistas Google slaptažodis atskleidžia visus jūsų antrojo veiksnio autentifikavimo raktus.
- Pritaikykite kelių įrenginių rezervavimo politiką: Dvigubas nuskaitymas nustatant 2FA arba šifruotų neprisijungusių atsarginių raktų saugojimas garantuoja, kad sugedus telefonui niekada nebūsite užblokuoti.
Google Cloud Sync prieš neprisijungusį QR eksportą: saugumo ir privatumo kompromisai
Google pristatė debesies paskyros sinchronizavimą (Google Cloud Sync), kad išspręstų įsisenėjusią problemą, kai vartotojai visam laikui prarasdavo prieigą prie savo paskyrų pametę telefoną be atsarginių kopijų. Šiandien pagal numatytuosius nustatymus, jei prisijungiate prie savo pagrindinės Google paskyros, visi TOTP raktai automatiškai sinchronizuojami tarp registruotų įrenginių.
Nors tai labai patogu, saugumo architektai ir didesnės rizikos vartotojai privalo atidžiai įvertinti esminius kriptografinius kompromisus:
| Matmuo | Įjungtas Google Cloud Sync | Neprisijungęs tiesioginis QR (Rekomenduojama) |
|---|---|---|
| Perkėlimo paprastumas | Akimirksniu (prisijungus prie Google paskyros naujame įrenginyje) | Vidutinis (reikalingas fizinis optinis QR nuskaitymas) |
| Priklausomybė nuo tinklo | Reikalauja aktyvaus interneto ir Google debesijos serverių | 100 % neprisijungus, optinis perkėlimas kamera-į-ekraną |
| Pavienis gedimo taškas (SPOF) | Kritiškas: pažeidus Google paskyrą atskleidžiami visi 2FA raktai | Nulinis: izoliuota su aparatine įranga susieta raktų saugykla |
| Kelių platformų palaikymas | Reikalauja aktyvaus Google ekosistemos prisijungimo abiejuose įrenginiuose | Nepriekaištingas tarp Android ir iOS be debesijos paskyros |
| Nulinio žinojimo suverenumas | Pradiniai raktai (seeds) talpinami nuotoliniu būdu Google infrastruktūroje | Absoliutus: neapdoroti pradiniai raktai niekada nepalieka kliento fizinės atminties |
Pasiruošimo perkėlimui kontrolinis sąrašas ir saugumo taisyklės
Išvenkite netikėtų programėlės strigčių ar optinio atpažinimo klaidų patikrindami šias išankstines sąlygas prieš pradėdami perkėlimo procesą:
- Įsitikinkite, kad abiejų telefonų baterijos įkrautos bent 50 % arba jie prijungti prie maitinimo lizdo.
- Dirbkite gerai apšviestoje vidaus patalpoje be tiesioginių šviesos atspindžių telefonų ekranuose.
- Nuvalykite naujojo telefono galinės kameros objektyvą, kad išvengtumėte optinio nuskaitymo suliejimo.
- Atsisiųskite oficialią Google Authenticator programėlę iš App Store arba Google Play Store (venkite apgaulingų kopijų).
- Suteikite programėlei prieigos prie kameros leidimą naujajame įrenginyje.
- Atnaujinkite Google Authenticator senajame telefone iki naujausios galimos versijos.
Kelių platformų suderinamumas: Google Authenticator naudoja standartinį Protobuf naudingąjį krovinį, užkoduotą otpauth-migration:// URI. Jis sklandžiai perkelia duomenis iš Android į iPhone ir iš iPhone į Android be jokių suderinamumo trikdžių.
Žingsnis po žingsnio pamoka: sklandus neprisijungęs QR perkėlimas
Laikykitės oficialios optinio eksporto eigos, kad perkeltumėte savo 2FA pradinius raktus tiesiogiai, nenukreipdami raktų per jokius tarpinius serverius:
1 veiksmas: atidarykite paskyrų perkėlimo meniu senajame telefone
Paleiskite Google Authenticator savo senajame įrenginyje. Viršutiniame dešiniajame kampe palieskite savo profilio pseudoportretą (arba trijų linijų / taškų meniu piktogramą) ir išskleidžiamajame meniu pasirinkite „Perkelti paskyras“ (Transfer accounts).
2 veiksmas: biometrinis autentifikavimas ir paskyrų pasirinkimas
Operacinė sistema paprašys patvirtinti tapatybę naudojant Face ID, piršto atspaudą arba ekrano užrakto kodą. Autorizavus, pateikiamas visų išsaugotų 2FA raktų kontrolinis sąrašas.
💡 Pagal numatytuosius nustatymus pažymėtos visos paskyros. Galite panaikinti asmeninių paskyrų žymėjimą, jei perkeliate duomenis tik į įmonei priklausantį įrenginį.
3 veiksmas: sugeneruokite eksportavimo QR kodą (patikrinkite puslapius)
Palieskite „Eksportuoti“ arba „Kitas“. Ekrane pateikiamas didelio tankio QR kodas.
4 veiksmas: nuskaitykite naujuoju telefonu per „Importuoti paskyras“
Atidarykite Google Authenticator savo naujajame telefone. Pradinio nustatymo lange pasirinkite „Perkelti esamas paskyras?“ arba palieskite profilio piktogramą ➔ „Perkelti paskyras“ ➔ „Importuoti paskyras“.
Nukreipkite kamerą į senąjį telefoną. Programėlė suvibruoja po kiekvieno sėkmingo puslapio nuskaitymo ir paprašo senajame telefone perbraukti prie kito QR kodo, kol bus importuoti visi raktai.
5 veiksmas: privalomas prisijungimo patikrinimas (nepraleiskite!)
Visos perkeltos paskyros akimirksniu atsiras jūsų naujojo telefono sąraše, o 6 skaitmenų kodai bus atnaujinami kas 30 sekundžių.
Auksinė taisyklė: Nedelsdami atidarykite nešiojamąjį kompiuterį arba antrinę naršyklę, prisijunkite prie 1 ar 2 svarbių paslaugų (pvz., GitHub ar savo pagrindinio el. pašto) ir pateikite naujajame telefone rodomą 6 skaitmenų kodą. Tik tada, kai prisijungimas pavyksta, migracija laikoma visiškai baigta.
Senų įrenginių išvalymas: nulinio likučio saugumo politika
Daugybė saugumo incidentų įvyksta, kai senas išmanusis telefonas perduodamas šeimos nariams, atiduodamas pagal keitimo programą arba parduodamas antrinėje rinkoje be tinkamo kriptografinio išvalymo:
myaccount.google.com ➔ Sauga ➔ Jūsų įrenginiai. Raskite senąjį telefoną ir spustelėkite „Atsijungti“, kad atšauktumėte visus aktyvius sesijos raktus.
Neprisijungusio kelių įrenginių šaltojo rezervavimo architektūra
Pasikliaudami tik vienu fiziniu telefonu tampate pažeidžiami vagystės, panardinimo į vandenį ar netikėto pagrindinės plokštės gedimo atveju. Laikykitės 3-2-1 2FA rezervavimo architektūros, kad užtikrintumėte nulinę prastovą:
Kasdienis išmanusis telefonas
Nešiojamas kasdien biometriniam autentifikavimui ir kodų generavimui.
iPad / atsarginis namų telefonas
Nuskenuojamas lygiagrečiai pradinio nustatymo metu ir saugomas seife ar stalčiuje.
KeePassXC / Popierinė saugykla
Neapdoroti Base32 slaptieji raktai, saugomi visiškai izoliuotoje šifruotoje saugykloje arba fiziniame atspaude.
Testavimas su 2FA-Tool: Kaskart, kai nustatote naują 2FA paslaugą arba išsaugote raidinį-skaitmeninį Base32 slaptąjį raktą (pvz., JBSWY3DPEHPK3PXP), galite patikrinti jį vietiškai su 2FA-Tool. Įjunkite kompiuteryje lėktuvo režimą, įveskite raktą į generatorių ir įsitikinkite, kad sugeneruotas 6 skaitmenų kodas sutampa su autentifikavimo programėle. Visi skaičiavimai atliekami kliento pusėje per vietinę naršyklės Web Crypto API.
Trikčių šalinimas ir dažniausiai užduodami klausimai (DUK)
1 klausimas: naujai perkelti 6 skaitmenų kodai atmetami kaip neteisingi. Kodėl?
99 % patvirtinimo klaidų sukelia laiko neatitikimas (Clock Drift). TOTP apskaičiuoja HMAC raktus pagal griežtus 30 sekundžių Unix epochos intervalus. Jei naujojo telefono laikrodis vėluoja ar skuba bent 15–20 sekundžių, sugeneruotas kodas priklauso neteisingam laiko langui.
Kaip ištaisyti:
• Android: Programėlėje Google Authenticator eikite į Nustatymai ➔ „Laiko korekcija kodams“ ➔ „Sinchronizuoti dabar“.
• iPhone: Eikite į iOS Nustatymai ➔ Bendra ➔ Data ir laikas ➔ Išjunkite ir vėl įjunkite „Nustatyti automatiškai“, kad priverstinai atliktumėte NTP tinklo sinchronizavimą.
2 klausimas: ką daryti, jei senojo telefono ekranas visiškai sudužęs ir nerodo QR kodų?
Jei sugedusiame telefone buvo įjungtas Google Cloud Sync, tiesiog prisijunkite prie tos pačios Google paskyros Google Authenticator programėlėje savo naujajame įrenginyje. Visos paskyros automatiškai atsiras iš naujo.
Jei Cloud Sync buvo išjungtas ir neturite antrinio atsarginio įrenginio, optinių duomenų iš sudužusio ekrano atkurti neįmanoma. Turite naudoti kiekvienos paslaugos avarinius atsarginius atkūrimo kodus (Recovery Codes) arba atlikti tapatybės patvirtinimo / KYC procedūrą susisiekę su klientų aptarnavimo tarnyba.
3 klausimas: ar senas ir naujas telefonai gali generuoti identiškus kodus vienu metu?
Išbandykite savo 2FA slaptąjį raktą su 2FA-Tool
Baigėte perkėlimą? Patikrinkite atsarginius Base32 slaptuosius raktus naudodami mūsų kliento pusės Web Crypto generatorių. Visiškai neprisijungus, greitai ir saugiai.
📚 Rekomenduojami saugumo gidai
Privalomas 2FA laikymasis, atkūrimo kodų išsaugojimas, SSH raktų sąveika ir atkūrimo procesai.
Kaip atkurti prieigą Google, Microsoft, Steam, Binance, Apple ir Discord paslaugose.
Nuo RFC 4226 iki RFC 6238: matematinis maišos sutrumpinimas, desinchronizacija ir pritaikymas saityne.