- Pagaidām neformatējiet savu veco tālruni: Saglabājiet savu veco tālruni neskartu, līdz esat pārliecinājies, ka vismaz 2 galvenās pieteikšanās ir veiksmīgas ar jaunā tālruņa ģenerētajiem 6 ciparu kodiem.
- Uzmanieties no vairāku lappušu QR kodiem: Ja jums ir vairāk nekā 10 konti, Google Authenticator segmentē eksporta datus secīgos QR kodos (piemēram, 1 no 3, 2 no 3). Noskenējiet tos visus.
- Cloud Sync ir abpusēji griezīgs zobens: Lai gan Google konta Cloud Sync padara atkopšanu vienkāršu, kompromitēta Google parole pakļauj riskam visus jūsu otrā faktora autentifikācijas marķierus.
- Ieviesiet vairāku ierīču dublēšanas politiku: Dubultā skenēšana 2FA iestatīšanas laikā vai šifrētu bezsaistes rezerves atslēgu glabāšana garantē, ka bojāts tālrunis nekad neliegs jums piekļuvi.
Google Cloud Sync pret bezsaistes QR eksportu: drošības un privātuma kompromisi
Google ieviesa mākoņa kontu sinhronizāciju (Google Cloud Sync), lai atrisinātu vēsturisko problēmu, kad lietotāji neatgriezeniski zaudēja piekļuvi saviem kontiem, pazaudējot nedublētu tālruni. Mūsdienās pēc noklusējuma, ja piesakāties ar savu primāro Google kontu, visi TOTP marķieri tiek automātiski sinhronizēti visās reģistrētajās ierīcēs.
Lai gan tas ir ērti, drošības arhitektiem un augsta riska personām rūpīgi jāizvērtē fundamentālie kriptogrāfiskie kompromisi:
| Dimensija | Google Cloud Sync iespējots | Bezsaistes punkts-punkts QR (ieteicams) |
|---|---|---|
| Pārsūtīšanas vienkāršība | Tūlītēja (pierakstieties Google kontā jaunajā ierīcē) | Mērena (nepieciešama fiziska optiskā QR skenēšana) |
| Tīkla atkarība | Nepieciešams aktīvs internets un Google mākoņserveri | 100% bezsaistē, kameras-ekrāna optiskā pārsūtīšana |
| Viena atteices punkts (SPOF) | Smags: Google konta kompromitēšana atklāj visas 2FA atslēgas | Nulle: izolēta, ar aparatūru saistīta marķieru glabāšana |
| Starp-platformu atbalsts | Nepieciešama aktīva Google ekosistēmas pieteikšanās abās ierīcēs | Lieliski darbojas starp Android un iOS bez mākoņa konta |
| Nulles zināšanu suverenitāte | Sēklas tiek glabātas attālināti Google infrastruktūrā | Absolūta: neapstrādātas sēklas nekad neatstāj klienta fizisko atmiņu |
Pirmsmigrācijas kontrolsaraksts un drošības noteikumi
Novērsiet pēkšņas lietotņu avārijas vai optiskās atpazīšanas kļūmes, pirms pārsūtīšanas procesa sākšanas pārbaudot šādus priekšnosacījumus:
- Pārliecinieties, vai abu tālruņu akumulatora uzlādes līmenis ir vismaz 50% vai tie ir pievienoti strāvai.
- Strādājiet labi apgaismotā iekštelpu vidē, lai no tālruņu ekrāniem neatstarotos tiešs spīdums.
- Notīriet jaunā tālruņa aizmugurējās kameras objektīvu, lai novērstu optiskās skenēšanas izplūšanu.
- Lejupielādējiet oficiālo Google Authenticator no App Store vai Google Play veikala (izvairieties no maldinošiem pakaļdarinājumiem).
- Piešķiriet lietotnei kameras piekļuves atļaujas jaunajā ierīcē.
- Atjauniniet Google Authenticator vecajā tālrunī uz jaunāko versiju.
Starp-platformu saderība: Google Authenticator izmanto standarta Protobuf lietderīgo slodzi, kas iekodēta otpauth-migration:// URI. Tā nevainojami pārsūtās no Android uz iPhone un no iPhone uz Android bez jebkādiem saderības šķēršļiem.
Soli pa solim: nevainojama bezsaistes QR pārsūtīšana
Izpildiet oficiālo optiskā eksporta darba plūsmu, lai migrētu savas 2FA sēklas tieši, nevirzot atslēgas caur starpniekserveriem:
1. darbība: Atveriet kontu pārsūtīšanas izvēlni vecajā tālrunī
Palaidiet Google Authenticator vecajā ierīcē. Pieskarieties sava profila iemiesojumam augšējā labajā stūrī (vai trīs līniju/trīs punktu izvēlnes ikonai) un izvēlnē atlasiet "Transfer accounts".
2. darbība: Biometriskā autentifikācija un kontu atlase
Operētājsistēma pieprasa Face ID, pirksta nospieduma vai bloķēšanas ekrāna piekļuves koda verifikāciju. Pēc autorizācijas parādās visu saglabāto 2FA marķieru kontrolsaraksts.
💡 Pēc noklusējuma ir atlasīti visi konti. Varat noņemt atzīmi personīgajiem kontiem, ja migrējat tikai uz uzņēmumam piederošu ierīci.
3. darbība: Ģenerējiet eksporta QR kodu (pārbaudiet lappušu numerāciju)
Pieskarieties "Export" vai "Next". Ekrānā tiek parādīts augsta blīvuma QR kods.
4. darbība: Skenējiet ar jauno tālruni, izmantojot "Import accounts"
Atveriet Google Authenticator jaunajā tālrunī. Jaunā iestatīšanā atlasiet "Transfer existing accounts?" vai pieskarieties profila ikonai ➔ "Transfer accounts" ➔ "Import accounts".
Pavērsiet kameru pret veco tālruni. Lietotne novibrē pēc katras veiksmīgas lapas skenēšanas un aicina pāršķirt uz nākamo QR kodu vecajā tālrunī, līdz visi marķieri ir importēti.
5. darbība: Obligāta pieteikšanās verifikācija (neizlaidiet!)
Visi pārsūtītie konti nekavējoties aizpildīs jaunā tālruņa sarakstu, atsvaidzinot 6 ciparu kodus ik pēc 30 sekundēm.
Zelta likums: Nekavējoties atveriet klēpjdatoru vai sekundāro pārlūkprogrammu, piesakieties 1 vai 2 kritiskos pakalpojumos (piemēram, GitHub vai savā primārajā e-pastā) un iesniedziet 6 ciparu kodu, kas redzams jaunajā tālrunī. Tikai pēc veiksmīgas pieteikšanās migrācija tiek uzskatīta par pabeigtu.
Veco ierīču sanitizācija: nulles atlieku drošības politika
Daudzi drošības incidenti notiek, kad vecs viedtālrunis tiek nodots ģimenes locekļiem, apmainīts tirdzniecības programmā vai pārdots lietotu preču tirgos bez kriptogrāfiskas sanitizācijas:
myaccount.google.com ➔ Security ➔ Your devices. Atrodiet savu veco tālruni un noklikšķiniet uz "Sign out", lai atsauktu visus aktīvos sesijas marķierus.
Bezsaistes vairāku ierīču aukstās dublēšanas arhitektūra
Paļaušanās uz vienu fizisku tālruni padara jūs neaizsargātu pret zādzībām, iekrišanu ūdenī vai negaidītām mātesplates kļūmēm. Ievērojiet 3-2-1 2FA dublēšanas arhitektūru, lai nodrošinātu nepārtrauktu darbību:
Ikdienas viedtālrunis
Tiek nēsāts ikdienā biometriskajai autentifikācijai un kodu ģenerēšanai.
iPad / mājas rezerves tālrunis
Noskenēts vienlaikus iestatīšanas laikā un droši glabāts atvilktnē vai seifā.
KeePassXC / papīra seifs
Neapstrādātas Base32 slepenās atslēgas, kas glabājas fiziski izolētā šifrētā seifā vai fiziskā izdrukā.
Pārbaude ar 2FA-Tool: Ikreiz, kad iestatāt jaunu 2FA pakalpojumu vai saglabājat burtciparu Base32 slepeno sēklu (piemēram, JBSWY3DPEHPK3PXP), varat to pārbaudīt lokāli vietnē 2FA-Tool. Pārslēdziet datoru lidojuma režīmā, ievadiet atslēgu ģeneratorā un apstipriniet, ka iegūtais 6 ciparu kods atbilst jūsu autentifikatora lietotnei. Visi aprēķini tiek veikti klienta pusē, izmantojot pārlūkprogrammas iebūvēto Web Crypto API.
Problēmu novēršana un bieži uzdotie jautājumi (FAQ)
1. jautājums: Jaunpārsūtītie 6 ciparu kodi visur tiek noraidīti kā nederīgi. Kāpēc?
99% verifikācijas kļūmju izraisa pulksteņa nobīde (Clock Drift). TOTP aprēķina HMAC marķierus, pamatojoties uz stingriem 30 sekunžu Unix laikmeta intervāliem. Ja jūsu jaunā tālruņa pulkstenis atpaliek vai steidzas pat par 15–20 sekundēm, ģenerētais marķieris pieder nepareizajam laika posmam.
Kā to novērst:
• Android: Lietotnē Google Authenticator atveriet Settings ➔ "Time correction for codes" ➔ "Sync now".
• iPhone: Atveriet iOS Settings ➔ General ➔ Date & Time ➔ izslēdziet un atkal ieslēdziet "Set Automatically", lai piespiestu NTP tīkla atkārtotu sinhronizāciju.
2. jautājums: Ko darīt, ja mana vecā tālruņa ekrāns ir pilnībā sasists un nevar parādīt QR kodus?
Ja bojātajā tālrunī bija iespējots Google Cloud Sync, vienkārši piesakieties tajā pašā Google kontā lietotnē Google Authenticator savā jaunajā ierīcē. Visi konti tiks automātiski atjaunoti.
Ja Cloud Sync bija atspējots un jums nav sekundāras rezerves ierīces, optiskos datus no sasistā ekrāna nevar atgūt. Jums jāizmanto katra pakalpojuma ārkārtas rezerves atkopšanas kodi (Recovery Codes) vai jāaizpilda identitātes pārbaudes / KYC veidlapas ar klientu atbalstu.
3. jautājums: Vai mans vecais un jaunais tālrunis var vienlaikus ģenerēt identiskus kodus?
Pārbaudiet savu 2FA slepeno atslēgu rīkā 2FA-Tool
Vai pabeidzāt pārsūtīšanu? Pārbaudiet savas dublētās Base32 slepenās sēklas, izmantojot mūsu klienta puses Web Crypto ģeneratoru. Pilnīgi bezsaistē, ātri un droši.
📚 Ieteicamās drošības rokasgrāmatas
Obligātā 2FA atbilstība, atkopšanas kodu saglabāšana, SSH atslēgu mijiedarbība un glābšanas darba plūsmas.
Kā atgūt piekļuvi Google, Microsoft, Steam, Binance, Apple un Discord.
No RFC 4226 līdz RFC 6238: matemātiskā heša apcirpšana, desinhronizācija un ieviešana tīmeklī.