O Google Authenticator, aplicativo de senhas temporárias (OTP, na sigla em inglês) usado para autenticação em dois fatores (2FA), foi atualizado. Agora, os códigos temporários podem ser sincronizados via Conta Google.
Segundo Christiaan Brand, gerente de produtos do Google, era um pedido antigo dos usuários que, ignorando os códigos de backup gerados durante a configuração da 2FA, se viam sem saída quando perdiam o celular, ficando trancados para fora das suas contas digitais.
Não há dúvida de que a sincronia via Conta Google é mais conveniente. Por outro lado, essa solução fragiliza um pouco a proteção que a 2FA oferece. Alguém que invada sua Conta Google, por exemplo, teria a faca e o queijo na mão.
Piora. Aparentemente, os dados do Google Authenticator não são criptografados de ponta a ponta, o que significa que o Google ou autoridades com um mandado de busca e apreensão da Justiça poderiam apossar-se dos códigos.
O que fazer, então? O Google ainda permite o uso do Authenticator sem fazer a sincronia. É o ideal. Caso perca seu celular, existe uma saída segura que são os códigos de backup gerados durante a configuração da 2FA. É importante guardá-los em local seguro e acessível.
Quem procura conveniência pode tentar aplicativos do tipo que fazem o backup online/sincronia com criptografia de ponta a ponta, como o Authy. Via Blog de segurança do Google, @mysk@defcon.social/Mastodon (ambos em inglês).