我们今天登上了 Product Hunt! 留下评论
Authenticator 1.15.2 已发布。 查看更新内容
版本 1.15.0
开通 Pro 后,扩展会在我们的服务器上保存你账户的加密副本。它由一个永远不会离开你浏览器的备份恢复码锁定——我们无法打开它。
{ "iid": "8b0e3c1a-4f5d-4e2b-9a7c-1d2e3f4a5b6c", "kid": "3f9a1c07d2b84e65", "auth": "q0Zt8xVb3N…5mR2kE=", "data": "v1.L7m2Qx9cT1aB4nVe.8sK3pW0yZ…fH6uJ2dR9cQ=="}
云端副本到达我们服务器时的样子,逐个字段列出。账户就是最后一行:在发送之前已在你的浏览器中加密。
把你的 2FA 密钥备份到别人的服务器上,理应接受严格的审视。所以下面准确说明到达我们服务器的是什么,以及服务器能用它做什么。
你的账户在扩展中用 AES-256-GCM 加密,加密密钥由你的恢复码派生。我们存储的就是这段密文——从中读不出任何名称、服务名称、密钥或验证码。
我们的服务器保存恢复码的简短 ID,以及由它派生的第二个值的哈希;这个值用来证明某个浏览器持有该恢复码。两者都无法让任何人推算出恢复码或加密密钥。如果你丢失了恢复码,我们同样无法打开你的副本。
与你电脑上的自动副本一样,云端副本只会添加缺少的账户。恢复不会替换或删除你已有的任何内容。
关闭云备份会删除所有副本,而这需要恢复码——扩展在其他地方使用的安装 ID 并不够。开启密码保护后,保存在扩展中的恢复码也会用你的密码加密。
这些都不需要你凭信任接受。加密、请求和恢复都在同一个文件里:在 GitHub 上查看。
完整的技术更新日志在 GitHub 上:发行说明。