Cara kerjanya

Tidak ada backend. Ekstensi ini adalah ekstensi Chrome Manifest V3 yang membuat kode TOTP/HOTP secara lokal dengan OTPAuth. Kami tidak mengoperasikan server, tidak menyimpan akun, dan tidak punya saluran yang bisa membawa data pengguna kepada kami.

Karena tidak ada server, tidak ada pula material kunci di sisi server, tidak ada penitipan kunci, dan tidak ada jalur pemulihan yang kami kendalikan. Jika pengguna lupa kata sandi dan kehilangan kode pemulihannya, kami tidak bisa membantu — memang dirancang begitu.

Perlindungan kata sandi bersifat opsional dan mati secara bawaan. Saat dinyalakan:

Sandi

AES-256-GCM, IV acak 96-bit untuk tiap catatan dan tiap penulisan ulang

Derivasi kunci

PBKDF2-HMAC-SHA256, 600.000 iterasi, salt acak 128-bit (sesuai panduan OWASP)

Kunci utama

256-bit, dari crypto.getRandomValues, dibuat sekali; kata sandi hanya membungkusnya

Sidik jari

HMAC-SHA256 dengan subkunci turunan HKDF, dipakai untuk menggabungkan catatan antarperangkat

Penyimpanan kunci yang terbuka

chrome.storage.session — hanya di memori, tidak pernah ditulis ke disk, dihapus saat peramban ditutup, dan tak terjangkau oleh content script

Kunci otomatis

Setiap kali dibuka / setelah 5, 15, atau 60 menit tanpa aktivitas / sampai peramban ditutup

Implementasi

Hanya WebCrypto. Tidak ada primitif yang ditulis sendiri dan tidak ada pustaka kripto yang disertakan.

Data tidak pernah dienkripsi langsung dengan kunci turunan kata sandi. Catatan dienkripsi oleh kunci utama acak; keluaran PBKDF2 hanya membungkus kunci utama itu. Ada dua akibatnya, dan keduanya penting:

• Mengganti kata sandi menulis ulang 32 byte, bukan mengenkripsi ulang setiap catatan, setiap cadangan, dan setiap ekspor. Justru pada penulisan ulang massal seperti itulah sistem penyimpanan kehilangan data.
• Kode pemulihan 160-bit dapat membungkus kunci utama yang sama secara terpisah, jadi kata sandi yang terlupa masih bisa dipulihkan. Kode ditampilkan sekali, harus diketik ulang untuk konfirmasi, dan diganti setiap kali dipakai. Tidak ada yang ditulis ke disk sebelum pengguna mengonfirmasinya.

Dengan perlindungan kata sandi aktif, seluruh catatan akun dienkripsi kecuali pengenal dan sidik jarinya — termasuk nama layanannya, sehingga profil yang dicuri tidak membocorkan di layanan mana saja pengguna punya akun. Saat diaktifkan, ekstensi mengenkripsi catatan, memverifikasinya dengan mendekripsi dan membandingkan, lalu barulah menghapus semua salinan teks biasa: penyimpanan lokal peramban, sinkronisasi, dan ketujuh snapshot cadangan bergilir.

Singkatnya: ini melindungi data saat tersimpan. Ia tidak, dan tidak bisa, menjaga perangkat yang saat dipakai sudah berada dalam kendali penyerang.

Manifes mendeklarasikan tepat dua izin dan tanpa izin host:

storage

Akun dan pengaturan di penyimpanan lokal, kunci yang terbuka di penyimpanan sesi, serta salinan sinkronisasi opsional

activeTab

Membaca nama host tab aktif untuk menyorot akun yang cocok, dan menangkap tab saat pengguna memindai kode QR dari layar

Tidak ada content script, tidak ada izin tabs, cookies, atau webRequest, dan tidak ada sumber daya yang bisa diakses web. Ekstensi tidak dapat membaca atau mengubah isi halaman mana pun.

Pemindaian QR dengan kamera berjalan di halaman ekstensi yang dibuka dalam tab, bukan di popup — popup dimusnahkan begitu kehilangan fokus, dan permintaan izin melakukan persis itu. Untuk ini tidak perlu izin apa pun di manifes: yang dipakai adalah permintaan kamera bawaan peramban, diberikan per origin ekstensi dan bisa dicabut di setelan situs, dan tidak pernah muncul sebelum pengguna membuka pemindai. Video didekode secara lokal dan tidak pernah dikirim atau disimpan.

Dalam pemakaian normal ekstensi tidak melakukan permintaan otomatis apa pun, dan Manifest V3 melarang kode jarak jauh. Semua koneksi yang mungkin ia buat:

Tidak ada font, skrip, gaya, atau gambar yang dimuat dari host pihak ketiga. Semua yang dibutuhkan untuk menggambar antarmuka sudah ada di dalam paket.

Anda tidak perlu memercayai satu pun hal di atas begitu saja. Ekstensi ini sumber terbuka, dan setiap rilis dapat direproduksi:

1. Unduh .crx yang dipublikasikan dari Chrome Web Store lalu ekstrak
2. Checkout tag git yang sesuai
3. Jalankan npm ci && npm run build di Node 20 LTS
4. Bandingkan dist/ yang dihasilkan dengan paket yang diekstrak

SHA-256 untuk setiap berkas di dalam dist/ hasil build dipublikasikan pada setiap rilis GitHub sebagai SHA256SUMS-v<version>.txt, dalam format sha256sum, sehingga langkah 4 cukup satu kali menjalankan sha256sum -c. Perbedaan seharusnya terbatas pada urutan berkas di dalam arsip dan spasi pada keluaran terminifikasi antarversi patch Node.

Dependensi runtime sengaja sedikit — OTPAuth, React, jsQR, Zustand, Framer Motion, dan Lucide — dikunci oleh lockfile yang ikut di-commit. SBOM CycloneDX tersedia atas permintaan.

Kami vendor kecil dan independen. Jika salah satu hal berikut adalah syarat mutlak dalam proses Anda, lebih baik tahu sekarang daripada tiga minggu setelah evaluasi berjalan:

• Tidak ada sertifikasi SOC 2, ISO 27001, atau yang setara
• Belum pernah memesan uji penetrasi pihak ketiga sampai hari ini
• Tidak ada program bug bounty berbayar

Sebagai gantinya kami menawarkan keterbukaan penuh kode sumber, build yang dapat diverifikasi, permukaan izin yang minimal, dan tidak adanya infrastruktur server yang bisa menyimpan data Anda sejak awal.

Laporan kerentanan dan pertanyaan keamanan: security@authenticator.sh. Kebijakan pengungkapan, cakupan, waktu tanggap, dan ketentuan safe harbour ada di halaman kebijakan keamanan; apa yang disimpan dan apa yang keluar dari perangkat dijelaskan di kebijakan privasi.

Dengan senang hati kami mengisi kuesioner penilaian vendor tertulis atau menelusuri kode bersama tim keamanan Anda.

Untuk hal apa pun yang bukan soal keamanan — pemasangan, pemulihan akun, pertanyaan penagihan dari sebuah penerapan — lihat dukungan. Mohon jangan mengirim laporan kerentanan ke sana; kotak masuk itu tidak diperlakukan sebagai rahasia.