私たちはそれについて報告しました: Google 社は Google Authenticator を更新し、必要に応じて Google アカウント経由で OTP コードを同期できるようになりました。 Google Authenticator は、2 要素認証 (2FA) または多要素認証 (MFA) に使用されるモバイル アプリです。アプリは、ユーザーと認証を必要とするサービスとの間の共有「秘密」に基づいて、時間ベースのワンタイム パスワード (TOTP) または HMAC ベースのワンタイム パスワード (HOTP) を生成します。
認証アプリを使用したコードによる 2FA は、たとえパスワードを知っていたとしても、他人がオンライン アカウントにアクセスできないようにするセキュリティ対策です。つまり、ログインするには、ユーザー名とパスワードの組み合わせと、アプリが吐き出す一時コードという 2 つのものが必要です。次のようなさまざまな認証アプリがあります。 B. ここで言及されている Google、Authy、2FAS、Aegis、または Microsoft Authenticator のもの。これらはさまざまなオンライン サービスに接続できます。現在、多くのパスワード マネージャー (Bitwarden、1Password、Enpass、SafeInCloud) もこの機能を提供しているため、単一のソースからすべてを入手できます。
認証アプリを使用するには、ユーザーはまずスマートフォンにアプリをダウンロードし、QR コードをスキャンするかキーを入力してオンライン アカウントにリンクする必要があります。その後、ログインするときにパスワードに加えてアプリからコードを入力する必要があります。これにより、攻撃者はログインするためにパスワードとスマートフォンの両方が必要となるため、アカウントの安全性が高まります。
しかし、問題は動いている可能性があります。最初の QR コードを安全な場所に保存して使用できる場合は、非常に簡単です。または、秘密キーを公開して別のアプリに追加できる使いやすいエクスポート機能があれば。これは、特に 1Password をサポートします。これを行う方法については、このガイドですでに説明しました。
しかし、Google Authenticator を使用しても、それはそれほど簡単ではありません。では、2FA アカウントをエクスポートするにはどうすればよいでしょうか?もちろん、Google Authenticator を使用するとそれも可能になります。ただし、提供されるのは QR コードのみであり、Google Authenticator でのみ使用できます。しかし、将来的に別のソフトウェアを使用したい場合はどうすればよいでしょうか? Google Authenticator から秘密鍵を直接取得するにはどうすればよいですか?実際にはまったく、少なくとも直接的にはもう助けが必要です。
Windows、macOS、Linux 用のextract_otp_secretsがあります。このソフトウェア (macOS および Linux) をインストールするか、直接実行します。起動すると、プログラム ウィンドウが開き、Web カメラがオンになります。次に、Google Authenticator からエクスポートした QR コードをウェブカメラの前に掛けます。ソフトウェアはシークレット、いわば 2FA 開始コードを読み取り、バックアップ用にそれらを提示します。画面にも示されているように、それらを別の形式で保存することもできます。したがって、開始コードを取得するだけで、他のアプリで使用できます。
いくつかの考察の材料とさらなるリンク: 多くの製品は現在オールインです。パスワードと 2FA コードを 1 つのアプリで管理できます。 「卵はすべて 1 つのカゴに入れる」という原則に従って仕事をしているかどうかを確認する必要があります。また、プロバイダーがエンドツーエンド暗号化を宣伝していない場合は、提供しない可能性が高くなります。また考えられるのは、パスキーが間もなく勢いを増すということです。
左：
Google Authenticator が Google アカウントの同期をサポートするようになりました
パスワード マネージャーと OTP アプリ: 2FA コードの移行
Google Authenticator: スマートフォンを変更して 2FA コードを持ち歩く
