本日 Product Hunt に掲載中です! コメントを書く
Authenticator 1.15.2 をリリースしました。 変更点を見る
バージョン 1.15.0
Pro では、拡張機能がアカウントの暗号化コピーを当方のサーバーに保管します。コピーはブラウザの外に出ることのない復旧コードでロックされており、当方には開けません。
{ "iid": "8b0e3c1a-4f5d-4e2b-9a7c-1d2e3f4a5b6c", "kid": "3f9a1c07d2b84e65", "auth": "q0Zt8xVb3N…5mR2kE=", "data": "v1.L7m2Qx9cT1aB4nVe.8sK3pW0yZ…fH6uJ2dR9cQ=="}
当方のサーバーに届いたままのクラウドのコピーを、項目ごとに。アカウントは最後の行です。送信される前に、お使いのブラウザで暗号化されています。
2FA のシークレットキーのバックアップを他人のサーバーに置くのですから、厳しい目で見られて当然です。そこで、当方のサーバーに何が届き、サーバーがそれで何をできるのかを正確にお伝えします。
アカウントは拡張機能の中で、復旧コードから導出した鍵を使い AES-256-GCM で暗号化されます。当方が保存するのはその暗号文で、名前、発行元、シークレットキー、コードはどれも読み取れません。
当方のサーバーが保持するのは、コードの短い ID と、コードから導出したもう一つの値のハッシュです。この値は、ブラウザがコードを保持していることを証明するためのものです。どちらからも、誰であれコードや鍵を割り出すことはできません。コードをなくした場合は、当方にもコピーを開けません。
パソコン上の自動コピーと同じく、クラウドのコピーも足りないアカウントを追加するだけです。復元によって、お持ちのものが置き換えられたり削除されたりすることはありません。
クラウドバックアップをオフにするとすべてのコピーが削除されますが、それにはコードが必要です。拡張機能がほかの場面で使うインストール ID だけでは足りません。パスワード保護がオンなら、拡張機能内に保管されたコードもパスワードで暗号化されます。
以上のいずれも、こちらを信用していただく必要はありません。暗号化、リクエスト、復元は一つのファイルにまとまっています: GitHub で読む。
技術的な変更履歴の全文は GitHub にあります: リリースノート。