> ## Content Index
> Fetch the complete content index at: https://admin.kod.ru/llms.txt
> Use this file to discover other available public pages before exploring further.

# Коды Google Authenticator, синхронизированные с облаком, не зашифрованы
- URL: https://admin.kod.ru/google-authenticator-codes-fail/
- Published: 2023-04-27T15:09:25.000Z
- Updated: 2023-04-27T15:22:09.000Z
- Description: К счастью, возможность синхронизации опциональна.
- Author: Влад Войтенко
- Tags: Новости

Недавнее обновление Authenticator от Google [обеспечило](https://kod.ru/6898?ref=admin.kod.ru) опциональное резервное копирование и синхронизацию паролей двухэтапной аутентификации на устройствах с аккаунтом Google.

До этого одноразовые коды аутентификации генерировались исключительно на устройстве, и его потеря могла привести к невозможности доступа к аккаунтам, которые связаны с Google Authenticator. Новая функция должна была бы решить эту проблему, но она принесла другую.

[Google Authenticator добавил облачную синхронизацию кодовПриложение Google Authenticator, предназначенное для двухэтапной аутентификации, теперь поддерживает облачную синхронизацию через аккаунт Google.![](https://kod.ru/icons/logo-maskable-512x512.png)Код ДуроваИгорь Савкин![](https://i.kod.ru/rs:fill/w:1200/q:85/plain/https%3A%2F%2Fadmin.kod.ru%2Fcontent%2Fimages%2F2023%2F04%2F-----------_2023-04-26_165008226.png)](https://kod.ru/6898?ref=admin.kod.ru)

Эксперты по кибербезопасности из Mysk [обнаружили](https://www.macrumors.com/2023/04/27/google-authenticator-cloud-sync-no-e2e/?ref=admin.kod.ru), что когда приложение синхронизирует эти коды с «облаком», трафик не шифруется «из конца в конец». В незашифрованном трафике специалисты обнаружили seed-информацию, доступ злоумышленников к которой позволит им генерировать собственные одноразовые коды.

Так как QR-коды, используемые для настройки двухэтапной аутентификации, содержат название аккаунта или сервиса, злоумышленники могут идентифицировать аккаунты, поэтому риск взлома аккаунтов, связанных с Google Authenticator, достаточно высокий.

Если бы были взломаны серверы Google, на которых теперь могут храниться одноразовые пароли двухфакторной аутентификации, произошла бы масштабная утечка.

Проблема заключается в том, что для защиты этих одноразовых паролей нет возможности добавить парольную фразу, чтобы сделать их доступными только для пользователя. Поэтому Mysk советует не включать новую функцию.

В Google в ответ на исследование сообщили, что сквозное шифрование в будущем появится:

> Чтобы гарантировать, что мы предлагаем пользователям полный набор возможностей, мы также начали внедрять опциональное E2EE в некоторые наши продукты, и мы планируем предложить E2EE для Google Authenticator в будущем.