- Не форматуйте старий телефон заздалегідь: зберігайте старий пристрій у робочому стані до повної перевірки всіх входів на новому телефоні.
- Зверніть увагу на розбивку QR-кодів: якщо у вас збережено понад 10 акаунтів, Google Authenticator розіб'є експорт на кілька послідовних QR-кодів. Відскануйте їх усі без пропусків.
- Хмарна синхронізація — палиця з двома кінцями: хоча Google Cloud Sync спрощує відновлення в разі втрати смартфона, вона робить ваші 2FA-коди вразливими при зламі чи фішингу облікового запису Google.
- Використовуйте резервування на кількох пристроях: одночасне сканування одного QR-коду на двох смартфонах (основному та запасному) забезпечує безперервність доступу.
Google Cloud Sync проти офлайн-QR: Аналіз ризиків та приватності
Google впровадив хмарну синхронізацію акаунтів (Google Cloud Sync), щоб вирішити головну проблему користувачів — втрату токенів у разі втрати смартфона.
Попри максимальну зручність, архітектори безпеки та користувачі з високою моделлю загроз досі надають перевагу локальному офлайн-експорту.
| Критерий | Синхронизация Google Cloud Sync | Офлайн-експорт за QR (Рекомендовано) |
|---|---|---|
| Простота переноса | Мгновенно (достаточно войти в аккаунт Google на новом телефоне) | Умеренная (требуется физическое сканирование QR-кода) |
| Зависимость от сети | Потрібен активний інтернет та доступ до серверів Google | 100% офлайн, оптична передача «з екрана на камеру» |
| Единая точка отказа (SPOF) | Критическая: взлом аккаунта Google компрометирует все ключи 2FA | Відсутня: ключі ізольовані в пам'яті конкретного пристрою |
| Кросс-платформенность | Потрібна активна сесія акаунта Google на обох пристроях | Ідеально працює між Android та iOS без створення акаунта |
| Суверенитет Zero-Knowledge | Сіди зберігаються віддалено на хмарній інфраструктурі Google | Абсолютний: вихідні ключі ніколи не залишають пам'ять чіпа |
Чек-лист перед перенесенням та правила безпеки
Щоб уникнути раптових збоїв додатків або помилок оптичного розпізнавання, виконайте наступні попередні кроки перед початком міграції:
- Переконайтеся, що обидва телефони заряджені щонайменше до 50% або підключені до зарядного пристрою.
- Працюйте в добре освітленому приміщенні без прямих відблисків на екрані.
- Протріть об'єктив камери нового смартфона, щоб запобігти розмиттю при оптичному скануванні.
- Завантажуйте офіційний додаток Google Authenticator лише з App Store або Google Play Store (остерігайтеся підробок).
- Надайте додатку дозвіл на доступ до камери на новому смартфоні.
- Обновите Google Authenticator на старом телефоне до последней актуальной версии.
Кросплатформна сумісність: Google Authenticator використовує стандартизований формат, що дозволяє переносити акаунти між iOS (iPhone) та Android у будь-якому напрямку без жодних обмежень.
Покрокова інструкція: Безшовне перенесення через QR-код
Дотримуйтесь офіційного процесу оптичного експорту для прямої міграції ключів 2FA без надсилання через інтернет:
Крок 1: Відкрийте меню «Перенесення акаунтів» на старому смартфоні
Запустіть Google Authenticator на старому телефоні. Натисніть на значок профілю у правому верхньому кутку (або меню з трьома смужками/крапками) та виберіть пункт «Перенесення акаунтів» (Transfer accounts).
Крок 2: Біометрична автентифікація та вибір акаунтів
Операційна система вимагатиме підтвердження через Face ID, відбиток пальця або пароль блокування екрана. Після успішної перевірки відкриється список усіх збережених токенів.
💡 За замовчуванням вибрано всі акаунти. Ви можете зняти позначки з особистих записів, якщо переносите токени виключно на корпоративний пристрій.
Крок 3: Генерація QR-коду експорту (контроль пагінації)
Натисніть «Експорт» або «Далі». На екрані з'явиться високощільний QR-код.
Крок 4: Сканування новим телефоном через «Імпорт акаунтів»
Відкрийте Google Authenticator на новому телефоні. Під час першого запуску виберіть «Перенести наявні акаунти?», або відкрийте меню профілю ➔ «Перенесення акаунтів» ➔ «Імпорт акаунтів».
Наведіть камеру на старий телефон. Додаток завібрує після успішного зчитування кожного QR-коду та підкаже прогорнути до наступного на старому екрані, доки не імпортуються всі токени.
Крок 5: Обов'язкова тестова перевірка входу (Золоте правило!)
Усі перенесені записи одразу з'являться у списку нового телефона, генеруючи 6-значні коди кожні 30 секунд.
Золоте правило: негайно відкрийте ноутбук або додатковий браузер, виконайте вхід у 1-2 критичні акаунти (наприклад, GitHub або корпоративну пошту) та підтвердьте вхід кодом із нового телефона. Лише після успішної авторизації міграція вважається повністю завершеною.
Очищення старого пристрою: Політика нульового сліду
Багато інцидентів інформаційної безпеки трапляються, коли старий смартфон віддають родичам, здають у Trade-in чи продають на вторинному ринку без належного криптографічного видалення даних:
myaccount.google.com ➔ Безпека ➔ Ваші пристрої. Знайдіть старий телефон та натисніть «Вийти», щоб відкликати всі активні сесійні токени.
Архітектура офлайн-надлишковості на кількох пристроях
Покладатися на єдиний фізичний смартфон ризиковано: поломка материнської плати, потрапляння у воду або крадіжка можуть призвести до повного блокування акаунтів. Впровадьте архітектуру надлишковості 2FA за правилом 3-2-1:
Повсякденний смартфон
Використовується щодня для біометричної авторизації та отримання кодів.
iPad / Запасной домашний телефон
Синхронно сканується під час початкового налаштування та зберігається в надійному місці.
KeePassXC / Паперовий сейф
Вихідні текстові ключі Base32 зберігаються в ізольованому офлайн-сховищі.
Перевірка за допомогою 2FA-Tool: Щоразу під час налаштування нового сервісу чи збереження буквено-цифрового ключа Base32 (наприклад, JBSWY3DPEHPK3PXP) ви можете перевірити його локально на сайті 2FA-Tool. Переведіть комп'ютер у «Режим польоту» (Airplane Mode), вставте сід у генератор та переконайтеся, що 6-значний код збігається з мобільним додатком. Усі обчислення здійснюються виключно у вашому браузері через стандартний W3C Web Crypto API.
Усунення несправностей та поширені запитання (FAQ)
В1: Нові 6-значні коди відхиляються всіма сервісами. У чому причина?
У 99% випадків проблема пов'язана з розсинхронізацією системного годинника (Clock Drift). Алгоритм TOTP обчислює HMAC-токени на основі суворих 30-секундних інтервалів часу Unix. Якщо годинник вашого нового телефона поспішає чи відстає навіть на 15–20 секунд, згенерований код потрапляє в чужий часовий інтервал і відхиляється сервером.
Як виправити:
• Android: У додатку Google Authenticator відкрийте Налаштування ➔ «Корекція часу для кодів» ➔ «Синхронізувати».
• iPhone: Відкрийте Параметри iOS ➔ Загальні ➔ Дата й час ➔ вимкніть і знову ввімкніть перемикач «Задавати автоматично» для примусової мережевої синхронізації за протоколом NTP.
В2: Що робити, якщо екран старого телефона розбитий і не може відобразити QR?
Якщо на розбитому телефоні було ввімкнено хмарну синхронізацію Google Cloud Sync, просто виконайте вхід у той самий акаунт Google у додатку Google Authenticator на новому телефоні. Усі облікові записи автоматично відновляться.
Якщо хмарну синхронізацію було вимкнено і немає резервних копій, оптично відновити дані з розбитого екрана неможливо. Вам доведеться використовувати аварійні коди відновлення (Recovery Codes) кожного конкретного сервісу або проходити процедуру верифікації особи (KYC) через службу підтримки платформи.
В3: Чи можуть старий та новий телефони генерувати однакові коди одночасно?
Перевірте секретний ключ 2FA в 2FA-Tool
Завершили перенесення? Перевірте ваші резервні ключі Base32 у нашому локальному генераторі на базі Web Crypto. Повністю офлайн, швидко та безпечно.
📚 Рекомендовані посібники з безпеки
Обов'язкова 2FA, збереження резервних кодів, взаємодія з ключами SSH та сценарії відновлення доступу.
Як повернути доступ до сервісів Google, Microsoft, Steam, Binance, Apple та Discord у разі втрати пристрою.
Від RFC 4226 до RFC 6238: математичне усічення гешів, усунення розсинхронізації та розвиток веб-стандартів.