我们今天登上了 Product Hunt! 留下评论

Authenticator 1.15.2 已发布。 查看更新内容

版本 1.15.0

电脑丢了,验证码还在

开通 Pro 后,扩展会在我们的服务器上保存你账户的加密副本。它由一个永远不会离开你浏览器的备份恢复码锁定——我们无法打开它。

云端副本到达我们服务器时的样子,逐个字段列出。账户就是最后一行:在发送之前已在你的浏览器中加密。

工作方式

  1. 1打开「设置」→「备份与恢复」→「云备份」,点击「开启」。你会获得备份恢复码;输入一次以确认你已保存,第一份副本随即发送。
  2. 2此后,每当你的账户有变动且扩展被打开时,或者你点击「立即备份」时,都会发送一份副本。恢复副本只会添加缺少的账户。
  3. 3在新电脑上,先输入许可证密钥,再输入恢复码:最新的副本会立即恢复过来。如果 Pro 已到期,「使用许可证密钥从云备份恢复」在 90 天内仍能找到你的副本。

为什么我们无法读取

把你的 2FA 密钥备份到别人的服务器上,理应接受严格的审视。所以下面准确说明到达我们服务器的是什么,以及服务器能用它做什么。

离开浏览器之前就已加密

你的账户在扩展中用 AES-256-GCM 加密,加密密钥由你的恢复码派生。我们存储的就是这段密文——从中读不出任何名称、服务名称、密钥或验证码。

恢复码永远不会到达我们这里

我们的服务器保存恢复码的简短 ID,以及由它派生的第二个值的哈希;这个值用来证明某个浏览器持有该恢复码。两者都无法让任何人推算出恢复码或加密密钥。如果你丢失了恢复码,我们同样无法打开你的副本。

恢复只会添加

与你电脑上的自动副本一样,云端副本只会添加缺少的账户。恢复不会替换或删除你已有的任何内容。

只有恢复码才能删除

关闭云备份会删除所有副本,而这需要恢复码——扩展在其他地方使用的安装 ID 并不够。开启密码保护后,保存在扩展中的恢复码也会用你的密码加密。

这些都不需要你凭信任接受。加密、请求和恢复都在同一个文件里:在 GitHub 上查看。

本次更新还包括

  • 第二种风格:在「设置」→「外观」中选择「现代」,浅色和深色也在那里切换。「经典」仍是默认风格,在你做出选择之前什么都不会改变。
  • 为了了解新用户卡在哪里,新安装现在会在最初三天内、于几分钟之内报告添加第一个账户的过程——选择了哪种方式、进行到哪一步、显示了哪个错误,只以类型和计数的形式,绝不包含扫描或输入的内容。本次更新之前的安装不会这样做。
  • 卸载页面现在还会带上新安装在添加第一个账户的过程中进行到了哪一步;欢迎页面则会带上安装 ID,而我们的服务器只为来自我们某条广告的安装保存它。
  • 如果 Pro 到期,你的云端副本在 90 天内仍可恢复。从持有之前许可证的浏览器再次购买 Pro,会把备份转移到新许可证下。
  • 没有新增任何权限。依然没有主机权限,也没有内容脚本。

完整的技术更新日志在 GitHub 上:发行说明。

还没安装?

可免费使用、开源,无需注册账号。

添加到 Chrome