Google Authenticator krijgt cloudback-ups, maar is dat een goed idee?
Google kondigt aan dat de Google Authenticator-app voortaan ondersteuning aanbiedt voor back-ups van de eenmalig gegeneerde codes, voor in de cloud. Maar uit onderzoek blijkt dit niet zo veilig te zijn als je zou hopen. Is het dan wel een goed idee om de functie te activeren?
Met de Google Authenticator-app kun je nu de eenmalige codes back-uppen in de cloud. In principe is dit best een goed idee, want het kan het gebruik van de app toegankelijker maken.
- Wat verandert er nu aan de app?
- Waarom is de functie vooralsnog niet veilig?
- En wat kun je als gebruiker nu het beste doen?
Lees ook: Accounts extra beveiligen met authenticatie-apps
Misschien heb je de update voor Google Authenticator inmiddels ontvangen. Maar het kan ook nog even duren voordat je aan de beurt bent. Maar zodra de update er eenmaal is, dan krijg je als gebruiker toegang tot een handige functionaliteit: cloudback-ups voor je eenmalige codes. Je kunt de gegeneerde codes voortaan met je Google-account synchroniseren, zodat je er altijd toegang tot hebt. In een blogpost hierover schrijft Google dat gebruikers om deze functie gevraagd hebben, omdat er vaak problemen ontstaan wanneer een smartphone kapot gaat of gestolen wordt.
Wat doet Google Authenticator?
Voorheen was het namelijk zo dat die belangrijke codes (waarmee je tweestapsverificatie gebruikt voor online accounts) alleen lokaal, op je smartphone, opgeslagen werden. Echter, wanneer je telefoon kapot gaat of gestolen wordt, dan is het echt een heel gedoe om weer toegang te krijgen tot die accounts, zonder die unieke codes. Je kunt dan wel met andere sleutels werken, maar die moet je dan op netjes opgeslagen hebben. En dat levert een beveiligingsrisico op, want waar sla je dergelijke sleutels op? Kortom: zo’n cloudback-up kan veel problemen voorkomen.
Wanneer je de functie activeert, dan synchroniseert Google die eenmalige codes dus via de cloud. Zodoende heb je er altijd toegang toe (mits je kunt inloggen op je Google-account, waar je misschien ook tweestapsverificatie voor ingesteld hebt). Zodra je de update hebt ontvangen, zie je dat wanneer je Google Authenticator opent. In beeld staat de melding dat de optie beschikbaar is, evenals een knop die het proces initieert. Je hoeft alleen aan te geven dat je een (bestaand) Google-account wilt gebruiken voor de back-ups. Met twee keer tikken heb je het proces helemaal voltooid.
Is dit wel een goed idee?
Hoewel dit een mooie functie is in het kader van gemak, kun je je toch afvragen of dit wel zo’n goed idee is. Uit onderzoek van twee digitale beveiligingsonderzoekers (een Twitter-account genaamd Mysk, dat vaker recente ontwikkelingen onder de loep legt) blijkt dat het verkeer dat de Google Authenticator-app geneert, niet van eind tot eind versleuteld is. Kwaadaardige personen zouden dat verkeer kunnen onderscheppen en daarmee de zogenaamde seed (de geheime sleutel) kunnen blootleggen en zodoende zelf een code kunnen aanmaken waarmee ze kunnen inloggen.
En dat doet het doel van tweestapsverificatie teniet. Die inlogmethode is juist ontwikkeld zodat mensen zonder toegang tot specifieke hardware (zoals een smartphone of een usb-encryptiesleutel) niet kunnen inloggen op je accounts wanneer ze alleen je wachtwoord en gebruikersnaam in handen hebben. Bovendien kan Google ook zien wat voor accounts je synchroniseert, aangezien de sleutels informatie bevatten over de diensten die je gebruikt. Zo kan de internetgigant bijvoorbeeld nog persoonlijkere advertenties voorschotelen, wetende waar je allerlei accounts hebt geregistreerd.
Dat is misschien nog niet eens het ergste, zo laten de onderzoekers weten. Want stel dat Google getroffen wordt door een datalek, dan liggen deze gegevens mogelijk ook op straat. De informatie wordt niet goed beschermd, waardoor dit dus (ironisch genoeg) een nieuw beveiligingsprobleem vormt. Het is voor gebruikers niet mogelijk zelf extra stappen te ondernemen om problemen te voorkomen (door de codes extra te beschermen met eigen wachtwoorden of iets dergelijks), waardoor ook wij willen aanbevelen de cloudback-up voorlopig links te laten liggen.
Christiaan Brand, een productmanager van Google, laat in een reactie op Twitter weten dat dataverkeer altijd van eind tot eind versleuteld wordt. En hoewel de app zelf nu geen ondersteuning aanbiedt voor versleuteling van gebruiker tot server, is het wel de bedoeling dat die functie in de toekomst toegevoegd wordt. Wanneer het echter zover is, dat laat Brand niet weten. Gelukkig is het nog altijd mogelijk de app helemaal offline te gebruiken, zodat je je geen zorgen hoeft te maken over een extra beveiligingsrisico. De cloudback-ups zijn vooralsnog een optionele functionaliteit.
Cloudback-ups verwijderen
Je kunt de de cloudback-ups op elk moment uitschakelen. Wanneer je dat doet, dan verwijder je geen belangrijke data of sleutels. Je gaat daarvoor naar de app > profielfoto > Gebruiken zonder account. Als je wilt dat alle data ook uit de cloud gehaald wordt, maak dan eerst een offline back-up aan van de codes (door ze te exporteren naar een andere, offline smartphone) en verwijder alle accounts van je telefoon die je zelf gebruikt. De app moet die handeling synchroniseren met de server. Tik dan op Gebruiken zonder account en hevel vervolgens de codes over van die andere telefoon.
