Zgubiony Google Authenticator? Jak działają kopie zapasowe, synchronizacja i odzyskiwanie

Gdy zniknie telefon, na którym znajdowały się kody z Google Authenticator, to, co stanie się dalej, zależy od decyzji podjętych przed jego zgubieniem. Czy kody były synchronizowane, czy zapisano kody zapasowe i czy dana usługa oferuje inny sposób odzyskania dostępu?

Oto jak działają te trzy warstwy, co można zrobić, jeśli żadna z nich nie została skonfigurowana, oraz jak się przygotować. Dokładne kroki różnią się w zależności od usługi, dlatego ten artykuł wyjaśnia ogólne zasady, a instrukcje dotyczące konkretnej witryny można znaleźć w jej centrum pomocy.

Co przechowuje aplikacja i dlaczego zgubiony telefon ma znaczenie

Google Authenticator przechowuje klucze używane przez Twoje konta do obliczania kodów, a same kody generuje bezpośrednio na telefonie. Google informuje, że aplikacja może to robić bez połączenia z internetem i bez dostępu do sieci komórkowej. To wygodne, ale oznacza również, że dane potrzebne do generowania kodów znajdują się na urządzeniu. Zgubienie go staje się więc problemem, chyba że te dane istnieją także w innym miejscu.

Warstwa pierwsza: synchronizacja z kontem Google

Według Google możesz synchronizować kody na wszystkich swoich urządzeniach, logując się na konto Google. Zalogowanie się na nowym urządzeniu automatycznie je synchronizuje. Google informuje, że kody są szyfrowane podczas przesyłania i przechowywania. Jeśli używasz aplikacji bez konta Google, kody są przechowywane wyłącznie na tym urządzeniu i nie są dostępne nigdzie indziej.

To kluczowa różnica w przypadku zgubienia telefonu. Zsynchronizowane kody pojawią się po zalogowaniu na nowym urządzeniu. Kodów, które nigdy nie zostały zsynchronizowane ani przeniesione, nie da się odzyskać z aplikacji. Strona pomocy Google informuje, że trzeba wtedy odwiedzić każdą witrynę, w której skonfigurowano aplikację, usunąć stare kody i połączyć z nią nowe urządzenie. Można ręcznie przenieść kody, ale Google podaje, że wymaga to starego urządzenia, więc jest to możliwe tylko wtedy, gdy nadal je masz.

Synchronizacja wiąże się z pewnym kompromisem. Konto Google staje się sposobem dostępu do Twoich kodów, dlatego jego zabezpieczenia zyskują na znaczeniu. Google zaleca włączenie dodatkowych metod weryfikacji dwuetapowej oraz rozważenie użycia kluczy dostępu. Jeśli po zalogowaniu nie widzisz swoich kodów, Google sugeruje sprawdzić, czy logujesz się na właściwe konto Google.

Warstwa druga: zapisane wcześniej kody zapasowe

Wiele usług udostępnia jednorazowe kody zapasowe lub klucz odzyskiwania podczas włączania weryfikacji za pomocą aplikacji uwierzytelniającej. Kody zapasowe Google do konta Google mają osiem cyfr, a każdy z nich staje się nieaktywny po użyciu. Utworzenie nowego zestawu dezaktywuje poprzedni. Google przypomina również, by nigdy ich nikomu nie udostępniać, i zaznacza, że prosi o kod zapasowy wyłącznie podczas logowania.

Wytyczne NIST dotyczące tożsamości cyfrowej opisują takie kody odzyskiwania jako jednorazowe sekrety, które należy zachować na wypadek utraty innego urządzenia uwierzytelniającego. Nie są odporne na phishing, dlatego przechowuj je offline, a nie jako zrzut ekranu lub notatkę w chmurze. Klucz konfiguracji wyświetlany podczas rejestracji również jest sekretem, ponieważ każdy, kto go posiada, może generować Twoje kody. Jeśli go zapisano, należy traktować go jak hasło.

Warstwa trzecia: własna procedura odzyskiwania dostępu w usłudze

Jeśli nie ma synchronizacji ani kodu zapasowego, dostęp może przywrócić tylko sama usługa. Przygotuj się na weryfikację tożsamości i możliwy okres oczekiwania. Zgodnie z instrukcjami Google odzyskiwanie przebiega najlepiej na urządzeniu i w lokalizacji, z których zwykle korzystasz, oraz przy użyciu dostępnego dla Ciebie adresu e-mail do odzyskiwania. Google zaznacza, że w przypadku kont z weryfikacją dwuetapową proces weryfikacji może potrwać kilka dni.

Pomocne są także inne metody weryfikacji. Google informuje, że w razie utraty głównego telefonu możesz potwierdzić swoją tożsamość za pomocą innego telefonu zalogowanego na Twoje konto, innego dodanego numeru telefonu lub sprzętowego klucza bezpieczeństwa. Im więcej niezależnych metod dostępu zarejestrujesz z wyprzedzeniem, tym mniej będziesz polegać na procedurze odzyskiwania. NCSC zwraca uwagę, że procedury odzyskiwania są często słabszym ogniwem niż samo logowanie i stanowią cel ataków. Dlatego należy korzystać wyłącznie z oficjalnych kanałów danej usługi.

Jeśli telefon został skradziony, a nie tylko zgubiony

Kradzież telefonu stwarza dodatkowy problem, ponieważ ktoś inny może uzyskać dostęp do zapisanych na nim kodów. Google zaleca zadbać o to, by inne osoby nie mogły uzyskać dostępu do kodów, i w miarę możliwości skorzystać z opcji zdalnego wymazania danych z telefonu. Jeśli kody są synchronizowane, możesz też usunąć je, usuwając urządzenie ze swojego konta Google. Google sugeruje również wylogowanie się ze zgubionego telefonu. Wcześniejsze ustawienie blokady, którą trzeba przejść przed otwarciem aplikacji — funkcji nazywanej przez Google Privacy Screen — zapewnia dodatkową ochronę.

Przypomnienie od WEEX: dostęp może przywrócić tylko prawdziwa usługa

WEEX przypomina użytkownikom, że każdy, kto oferuje „odzyskanie dostępu do Google Authenticator” i prosi o kod weryfikacyjny, kod zapasowy, kod QR, klucz konfiguracji, frazę seed lub zdalny dostęp do urządzenia, jest oszustem. Korzystaj wyłącznie z kanałów pomocy dostępnych na oficjalnej stronie lub w oficjalnej aplikacji, a kody zapasowe przechowuj offline. Samo Google informuje, że nigdy nie prosi o hasła ani kody weryfikacyjne za pośrednictwem e-maila, rozmowy telefonicznej lub wiadomości. Żadna z zawartych tu informacji nie stanowi porady finansowej.

Podsumowanie

Odzyskanie dostępu po zgubieniu urządzenia uwierzytelniającego zależy od trzech warstw: tego, czy kody były synchronizowane z kontem, czy zapisano kody zapasowe oraz czego wymaga własna procedura odzyskiwania dostępu danej usługi. Skonfigurowanie co najmniej dwóch z tych możliwości, zanim będą potrzebne, sprawi, że zgubienie telefonu będzie niedogodnością, a nie utratą dostępu do konta. Żadna prawdziwa osoba oferująca pomoc nigdy nie poprosi o sekrety chroniące Twoje konta.

FAQ

1. Co stanie się z moimi kodami, jeśli zgubię telefon z Google Authenticator?
Jeśli były synchronizowane z kontem Google, pojawią się po zalogowaniu na nowym urządzeniu. Jeśli nigdy nie zostały zsynchronizowane ani przeniesione, nie da się ich odzyskać z aplikacji. Potrzebne będą kody zapasowe lub procedura odzyskiwania dostępu danej usługi.

2. Czy mogę odzyskać kody bez starego telefonu?
Tylko jeśli były synchronizowane z kontem Google. Google informuje, że ręczne przeniesienie wymaga starego urządzenia.

3. Czy kody zapasowe są tym samym co kody z Google Authenticator?
Nie. Kody zapasowe to jednorazowe kody wydawane przez usługę na wypadek, gdy nie możesz skorzystać ze zwykłej drugiej metody weryfikacji. Google informuje, że każdy z nich staje się nieaktywny po użyciu.

4. Ile trwa odzyskiwanie dostępu do konta?
Zależy to od usługi. Google zaznacza, że w przypadku kont z weryfikacją dwuetapową proces może potrwać kilka dni.

5. Czy prawdziwa usługa poprosi mnie o kod lub kod QR, aby odzyskać dostęp do aplikacji uwierzytelniającej?
Nie. Google informuje, że prosi o kody zapasowe wyłącznie podczas logowania, a także nigdy nie prosi o hasła ani kody weryfikacyjne za pośrednictwem e-maila, rozmowy telefonicznej lub wiadomości.