Yazılım şirketi Mysk’e göre, Google hesabınız üzerinden bulut tabanlı iki faktörlü kimlik doğrulamasına (2FA) izin vermek için bu hafta başlarında güncellenen Google Authenticator uygulaması uçtan uca şifreli değil.
Gizmodo tarafından Çarşamba günü erken saatlerde bildirildiği üzere Mysk, Twitter aracılığıyla “Uygulama sırları senkronize ettiğinde ağ trafiğini analiz ettik ve trafiğin uçtan uca şifreli olmadığı ortaya çıktı” dedi. “Ekran görüntülerinde gösterildiği gibi, bu, Google’ın sırları, muhtemelen sunucularında depolanırken bile görebileceği anlamına gelir. Sırları korumak için bir parola ekleme seçeneği yoktur.”
Sırlar, korunan veya hassas bilgilerin kilidini açmak için kullanılan özel bir bilgi parçasını ifade eden siber güvenlik jargonudur.
Google, 2FA Authenticator uygulamasını yeni güncelledi ve çok ihtiyaç duyulan bir özelliği ekledi: cihazlar arasında sırları senkronize etme yeteneği.
TL;DR: Açmayın.
Yeni güncelleme, kullanıcıların Google Hesaplarıyla oturum açmasına ve 2FA sırlarını iOS ve Android cihazlarında senkronize etmesine olanak tanır.… pic.twitter.com/a8hhelupZR— Mysk 🇨🇦🇩🇪 (@mysk_co) 26 Nisan 2023
Mysk’teki güvenlik araştırmacıları, insanlara 2FA kodlarını cihazlar ve bulut arasında senkronize etme özelliğini açmamalarını tavsiye ediyor.
Uzun zamandır beklenen 2FA özelliği, telefonunuz kaybolsa veya çalınsa bile kodlarınıza erişmenizi sağlar. Bu, Gmail’in, bankacılık uygulamalarının veya 2FA’ya izin veren çok sayıda diğer hizmetin, orijinal cihazınız hemen kullanılamıyor olsa bile Google hesabınız aracılığıyla erişilen kodlara sahip olabileceği anlamına gelir. Ne yazık ki, özelliği etkinleştirmek, en azından şimdilik aynı düzeyde şifrelemeden yoksundur.
Bir Google sözcüsü CNET’e e-posta yoluyla “Uçtan Uca Şifreleme (E2EE), ekstra koruma sağlayan ancak kullanıcıların kendi verilerini kurtarma olmadan kilitlemelerini sağlama pahasına güçlü bir özelliktir” dedi. “Kullanıcılara eksiksiz seçenekler sunduğumuzdan emin olmak için bazı ürünlerimizde isteğe bağlı E2EE’yi kullanıma sunmaya başladık ve gelecekte Google Authenticator için E2EE’yi sunmayı planlıyoruz.”
Google, kolaylık sağlamak için özelliği bu ilk şekilde sunduğunu söylüyor.
2FA, parolalarınızın üzerinde size ekstra bir güvenlik katmanı sağlar. Authenticator uygulaması aracılığıyla oluşturulan ek kod, kötü niyetli kişilerin yalnızca parolanızla hesabınıza giriş yapmasını engelleyebilir. Ancak Big Tech için parolalar, hesapları güvende tutmanın en nihayetinde savunmasız ve etkisiz bir yoludur.
Google, Apple ve Microsoft, “çevrimiçi hızlı kimlik”in kısaltması olan FIDO Alliance’da bir araya geldi. Amaç, web sitelerinin bunun yerine biyometrik oturum açma için şifrelerden vazgeçmesini sağlamaktır. Bu, parmak izi taramalarını veya yüz taramalarını içerebilir. Telefonla doğrulamayı da içerebilir. Web sitelerini “şifresiz bir geleceğe” geçirmek zaman alacak ve o zamana kadar 2FA, hesapları güvende tutmanın önemli bir yolu olmaya devam edecek.
