Όπως είχαμε γράψει πριν από μερικές ημέρες εδώ στο techmaniacs.gr, η Google έφερε επιτέλους την πολυαναμενόμενη αναβάθμιση στον Google Authenticator, η οποία ενεργοποιεί τον συγχρονισμό των 2FA κωδικών στις διάφορες συσκευές που έχει ο χρήστης μέσω του Google λογαριασμού του. Ερευνητές της Mysk security αναφέρουν ότι οι άκρως ευαίσθητοι κωδικοί one time που συγχρονίζονται στο cloud δεν φέρουν κρυπτογράφηση end to end, αφήνοντάς τους εκτεθειμένους και ευάλωτους σε επιθέσεις διαδικτυακών εγκληματιών.
Πριν την ενσωμάτωση της νέας αυτής δυνατότητας, όλοι οι κωδικοί 2fa του Google Authenticator ήταν αποθηκευμένοι στη συσκευή, κάτι που σημαίνει ότι αν χανόταν η συσκευή σου δεν θα μπορούσες να είχες πρόσβαση σε αυτούς και ως εκ τούτου και στους λογαριασμούς σου που είχες ρυθμίσει το 2fa. Ωστόσο, αποδεικνύεται ότι ενεργοποιώντας το χαρακτηριστικό του cloud-based συγχρονισμού, η Google έχει εκθέσει τους χρήστες σε πιθανούς κινδύνους.
Αναλύσαμε το traffic του δικτύου όταν το app συγχρονίζει τους μυστικούς κωδικούς και αποδεικνύεται ότι το traffic δεν φέρει end to end κρυπτογράφηση. Αυτό εν ολίγοις σημαίνει ότι η Google μπορεί να δει τους μυστικούς κωδικούς, πιθανόν ακόμη και όταν βρίσκονται στους servers της εταιρείας. Δεν υπάρχει επιλογή να ρυθμίσεις ένα passphrase για να τα καταστήσεις προσβάσιμα μόνο από εσένα, δηλώνει η Mysk.
Η Mysk επίσης επισημαίνει πως ανακάλυψε ότι το μη κρυπτογραφημένο traffic περιέχει ένα seed που χρησιμοποιείται για τη δημιουργία των εν λόγω 2FA κωδικών. Οποιοσδήποτε έχει πρόσβαση σε αυτό το seed μπορεί να δημιουργήσει τους δικού του κωδικούς και να εισέλθει στο λογαριασμό. Ως εκ τούτου προτείνει τη μη ενεργοποίηση του cloud-based sync feature. Από την μεριά της η Google επισημαίνει ότι το χαρακτηριστικό θα καταφθάσει σύντομα.
Realme 11 Pro+: Κάτι περισσότερο από εντυπωσιακό! (φωτογραφίες)
