- Starý telefón zatiaľ neformátujte: Ponechajte svoj starý telefón plne funkčný, kým neoveríte, že sa úspešne prihlásite do minimálne 2 kľúčových služieb pomocou 6-ciferných kódov vygenerovaných na novom telefóne.
- Dávajte pozor na viacstránkové QR kódy: Ak máte viac ako 10 účtov, Google Authenticator rozdelí exportované dáta do niekoľkých po sebe nasledujúcich QR kódov (napr. 1 z 3, 2 z 3). Naskenujte všetky strany.
- Cloud Sync je dvojsečná zbraň: Hoci synchronizácia s účtom Google uľahčuje obnovu, kompromitované heslo k účtu Google vystaví riziku všetky vaše kľúče dvojfaktorovej autentifikácie.
- Zaveďte pravidlo redundancie na viacerých zariadeniach: Skenovanie QR kódu na dvoch zariadeniach súčasne pri nastavovaní 2FA alebo ukladanie šifrovaných offline záložných kľúčov zabezpečí, že vás poškodenie jedného telefónu nikdy neodstrihne od účtov.
Google Cloud Sync vs. offline export cez QR kód: Kompromisy v oblasti bezpečnosti a súkromia
Spoločnosť Google zaviedla synchronizáciu účtov cez cloud (Google Cloud Sync), aby vyriešila dlhodobý problém používateľov, ktorí pri strate nezálohovaného telefónu natrvalo stratili prístup k svojim účtom. V predvolenom nastavení sa dnes po prihlásení pomocou primárneho účtu Google všetky tokeny TOTP automaticky synchronizujú medzi všetkými registrovanými zariadeniami.
Hoci je to mimoriadne pohodlné, bezpečnostní architekti a používatelia s vysokým profilom ohrozenia musia starostlivo zvážiť zásadné kryptografické kompromisy:
| Kritérium | Google Cloud Sync povolený | Offline prenos cez QR kód (Odporúčané) |
|---|---|---|
| Jednoduchosť prenosu | Okamžitá (prihlásenie do účtu Google na novom zariadení) | Mierna (vyžaduje fyzické optické skenovanie QR kódu) |
| Závislosť od siete | Vyžaduje aktívny internet a cloudové servery Google | 100 % offline, optický prenos z fotoaparátu na obrazovku |
| Jediný bod zlyhania (SPOF) | Závažný: prelomenie účtu Google odhalí všetky 2FA kľúče | Nulový: izolované úložisko tokenov viazané priamo na hardvér |
| Podpora viacerých platforiem | Vyžaduje prihlásenie do ekosystému Google na oboch zariadeniach | Bezchybný prenos medzi Androidom a iOS bez cloudového účtu |
| Zvrchovanosť s nulovou znalosťou (Zero-Knowledge) | Tajné kľúče (seedy) sú uložené na vzdialenej infraštruktúre Google | Absolútna: surové kľúče nikdy neopustia fyzickú pamäť zariadenia |
Kontrolný zoznam pred migráciou a bezpečnostné pravidlá
Pred spustením prenosu overte nasledujúce predpoklady, aby ste predišli náhlym pádom aplikácie alebo zlyhaniam optického rozpoznávania:
- Uistite sa, že oba telefóny majú aspoň 50 % batérie alebo sú pripojené k nabíjačke.
- Pracujte v dobre osvetlenom interiéri bez priameho oslnenia alebo odleskov na displejoch.
- Vyčistite šošovku zadného fotoaparátu na novom telefóne, aby ste predišli rozmazaniu pri skenovaní.
- Stiahnite si oficiálnu aplikáciu Google Authenticator z App Store alebo Google Play (vyhnite sa zavádzajúcim napodobeninám).
- Udeľte aplikácii na novom zariadení oprávnenie na prístup k fotoaparátu.
- Aktualizujte Google Authenticator na starom telefóne na najnovšiu dostupnú verziu.
Kompatibilita medzi platformami: Google Authenticator používa štandardný formát Protobuf zakódovaný do URI schémy otpauth-migration://. Prenos prebieha úplne hladko z Androidu na iPhone aj z iPhone na Android bez akýchkoľvek problémov s kompatibilitou.
Návod krok za krokom: Plynulý offline prenos cez QR kód
Pri prenose vašich počiatočných 2FA kľúčov priamo bez smerovania cez akékoľvek sprostredkujúce servery postupujte podľa oficiálneho postupu optického exportu:
Krok 1: Otvorte ponuku „Preniesť účty“ na starom telefóne
Spustite Google Authenticator na starom zariadení. Ťuknite na svoju profilovú ikonu v pravom hornom rohu (alebo ikonu ponuky s tromi čiarami/bodkami) a z ponuky vyberte možnosť „Preniesť účty“.
Krok 2: Biometrické overenie a výber účtov
Operačný systém si vyžiada overenie pomocou Face ID, odtlačku prsta alebo kódu zámku obrazovky. Po úspešnej autorizácii sa zobrazí zoznam všetkých uložených 2FA tokenov.
💡 V predvolenom nastavení sú vybraté všetky účty. Ak migrujete výhradne na firemné zariadenie, môžete osobné účty odznačiť.
Krok 3: Vygenerovanie exportného QR kódu (skontrolujte rozdelenie na viac častí)
Ťuknite na tlačidlo „Exportovať“ alebo „Ďalej“. Na obrazovke sa vygeneruje QR kód s vysokou hustotou dát.
Krok 4: Naskenujte kód novým telefónom cez „Importovať účty“
Otvorte Google Authenticator na novom telefóne. Pri prvotnom nastavení vyberte možnosť „Preniesť existujúce účty?“ alebo ťuknite na ikonu profilu ➔ „Preniesť účty“ ➔ „Importovať účty“.
Namierte fotoaparát na displej starého telefónu. Aplikácia zavibruje po každom úspešnom načítaní a vyzve vás, aby ste na starom telefóne prešli na ďalší QR kód, kým sa nenaimportujú všetky účty.
Krok 5: Povinné overenie prihlásením (Nevynechávajte!)
Všetky prenesené účty sa okamžite zobrazia v zozname na novom telefóne a každých 30 sekúnd budú generovať nové 6-ciferné kódy.
Zlaté bezpečnostné pravidlo: Okamžite otvorte notebook alebo sekundárny prehliadač, prihláste sa do 1 až 2 kritických služieb (napr. GitHub alebo primárny e-mail) a odošlite 6-ciferný kód zobrazený na novom telefóne. Až po úspešnom overení prihlásenia môžete migráciu považovať za riadne dokončenú.
Sanitizácia starých zariadení: Pravidlo nulových zvyškov
K mnohým bezpečnostným incidentom dochádza vo chvíli, keď sa starý smartfón odovzdá rodinným príslušníkom, vymení cez výkupný program alebo predá na bazári bez riadnej kryptografickej sanitizácie dát:
myaccount.google.com ➔ Zabezpečenie ➔ Vaše zariadenia. Vyhľadajte starý telefón a kliknite na „Odhlásiť sa“, čím okamžite zneplatníte všetky aktívne relácie.
Offline redundancia a studená záloha na viacerých zariadeniach
Spoliehanie sa na jediný fyzický telefón vás vystavuje riziku krádeže, poškodenia vodou alebo náhleho zlyhania základnej dosky. Pre zaistenie nepretržitej dostupnosti implementujte architektúru redundancie 2FA 3-2-1:
Každodenný smartfón
Používaný denne na biometrické overenie a generovanie kódov.
iPad / Záložný domáci telefón
Naskenovaný súbežne pri prvotnom nastavení a bezpečne uložený v trezore či zásuvke.
KeePassXC / Papierový trezor
Surové tajné kľúče Base32 uložené v offline šifrovanom trezore alebo vytlačené na papieri.
Overenie pomocou 2FA-Tool: Kedykoľvek nastavujete novú službu 2FA alebo ukladáte alfanumerický tajný kľúč Base32 (napr. JBSWY3DPEHPK3PXP), môžete ho lokálne otestovať na webe 2FA-Tool. Prepnite počítač do režimu V lietadle, zadajte kľúč do generátora a overte, že generovaný 6-ciferný kód sa presne zhoduje s vašou aplikáciou. Všetky výpočty prebiehajú výhradne na strane klienta prostredníctvom natívneho rozhrania Web Crypto API v prehliadači.
Riešenie problémov a často kladené otázky (FAQ)
Q1: Novoprevedené 6-ciferné kódy sú všade odmietané ako neplatné. Prečo?
V 99 % prípadov je príčinou odchýlka systémového času (Clock Drift). Algoritmus TOTP vypočítava HMAC tokeny na základe striktných 30-sekundových intervalov unixového času. Ak sa čas na vašom novom telefóne rozchádza čo i len o 15 až 20 sekúnd, vygenerovaný token patrí do iného časového okna.
Ako to vyriešiť:
• Android: V aplikácii Google Authenticator prejdite do Nastavenia ➔ „Korekcia času pre kódy“ ➔ „Synchronizovať“.
• iPhone: Otvorte Nastavenia systému iOS ➔ Všeobecné ➔ Dátum a čas ➔ Vypnite a znovu zapnite možnosť „Nastaviť automaticky“, čím vynútite resynchronizáciu siete NTP.
Q2: Čo robiť, ak je obrazovka starého telefónu úplne rozbitá a nezobrazuje QR kódy?
Ak bola na poškodenom telefóne aktivovaná funkcia Google Cloud Sync, jednoducho sa prihláste do rovnakého účtu Google v aplikácii Google Authenticator na novom zariadení. Všetky účty sa automaticky obnovia.
Ak bola synchronizácia vypnutá a nemáte žiadne sekundárne záložné zariadenie, optické dáta z rozbitého displeja nemožno načítať. V takom prípade musíte použiť núdzové záchranné kódy (Recovery Codes) jednotlivých služieb alebo absolvovať overenie identity (KYC) prostredníctvom zákazníckej podpory.
Q3: Môžu môj starý aj nový telefón generovať úplne zhodné kódy súčasne?
Otestujte svoj tajný kľúč 2FA v nástroji 2FA-Tool
Dokončili ste prenos? Overte svoje zálohované tajné kľúče Base32 pomocou nášho generátora Web Crypto bežiaceho na strane klienta. Úplne offline, bleskovo a bezpečne.
📚 Odporúčaní bezpečnostní sprievodcovia
Povinné pravidlá 2FA, ukladanie záložných kódov, súhra s kľúčmi SSH a postupy záchrany účtu.
Ako obnoviť prístup k službám Google, Microsoft, Steam, Binance, Apple a Discord.
Od RFC 4226 po RFC 6238: Matematické skracovanie hashov, desynchronizácia a webové využitie.