Google Authenticator 雲端備份缺少「端對端加密」功能，恐有安全疑慮

更新日期：2023 年 4 月 28 日

Google 前陣子針對 Google Authenticator 2FA 兩步驟驗證程式進行更新，加入 Google 帳號雲端備份功能與全面翻新 Logo 設計，可以有效防止相關設定遺失或無法復原的情況，但是根據外媒報導，有一家安全公司發現這個同步功能設計上的一個相當大的缺陷，也就 Google Authenticator 雲端備份缺少「端對端」加密功能，恐有安全上的疑慮。

Google Authenticator 雲端備份缺少「端對端加密」功能

Mysk 的安全研究員報告說，Google Authenticator 在裝置之間同步密鑰的過程沒有端對端（E2E）加密，因為密鑰是用來產生 2FA 代碼的，用戶利用這些代碼來登入各種帳號，如果缺少 E2E 加密，當網路被入侵、Google 帳號被盜用的時候，駭客能輕易地取得這些密鑰，並控制你的 2FA 代碼。

Google 對外媒表示，端對端加密（E2EE）是一項強大的功能，可以提供額外的保護，但代價是讓用戶有「可能」被自己的資料鎖住而無法恢復，為了確保我們能夠提供一整套選項給用戶，我們也開始在我們的一些產品中提供可選的 E2EE，而且我們計畫在未來也會為 Google Authenticator 提供 E2EE。

雖然在裝置之間同步 2FA 密鑰很方便，但卻要犧牲你的隱私，Mysk 建議暫時先不要使用這個新功能，等到 Google 正式推出端對端加密功能再來使用也不遲，至少可以避免一些安全性疑慮或處於風險危險中。

資料來源

• Sync in Google Authenticator does not have E2E encryption yet, so use it at your own risk – Neowin
• Google’s New Cloud-Based Authentication Isn’t End-to-End Encrypted Yet (cnet.com)