Ícone do autenticador errado? Por que o logotipo não prova nada
Um logotipo ausente não diz nada sobre quem detém o seu segundo fator. Verifique o registo pela conta e nunca envie o código QR para reparar uma imagem.
Quadrados cinzentos onde deveria estar o logotipo de uma marca parecem alarmantes, e no entanto são a coisa errada sobre a qual agir. A imagem que um autenticador desenha é um detalhe de exibição derivado das etiquetas da entrada, enquanto a questão de segurança é se o segredo dentro dessa entrada pertence à sua conta. Manter essas duas coisas separadas é o que distingue uma reparação cosmética de um incidente de credenciais. Também impede a reparação que piora as coisas.
O ícone e o segredo respondem a perguntas diferentes
Uma entrada do autenticador é criada a partir de um URI de chave que transporta um segredo partilhado juntamente com uma etiqueta de conta e um nome de emissor. A aplicação desenha um logotipo do emissor que reconhece, e um emissor desconhecido ou alterado produz simplesmente uma imagem genérica. Nada nessa apresentação lhe diz quem mais tem uma cópia do segredo, e nada num logotipo correto lhe diz que a entrada é só sua. Leia a exibição como uma pista sobre uma etiqueta, não como uma afirmação sobre a custódia.
O contrário também é verdadeiro, e é a direção mais perigosa. Um logotipo convincente prova ainda menos do que um ausente.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Nunca volte a registar-se para reparar uma imagem
A reparação que circula online é regenerar o código QR, o que significa exportar o segredo e passá-lo por outra ferramenta. Isso transforma um problema de exibição numa divulgação, porque a exportação contém exatamente o material de que um atacante precisa para produzir códigos válidos. Enviá-la para um gerador web entrega o segundo fator a terceiros em troca de um ícone mais bonito.
Se a conta ainda verifica códigos, o registo está intacto e a exibição é cosmética. Consulte a documentação do próprio autenticador sobre etiquetas de emissor e pesquisa de ícones, e deixe a entrada em paz. Editar a etiqueta para forçar um logotipo é uma alteração na entrada por um motivo que nada tem que ver com autenticação.
Mantenha a imagem QR original, o URI de chave em bruto e qualquer segredo manual fora de tickets, fios de conversa, capturas de ecrã e rastreadores públicos de problemas. Uma captura de ecrã de uma página de configuração contém frequentemente mais do que a pessoa que a tirou pretendia.
Quando o segredo foi realmente exposto
Trate a divulgação como um incidente separado com a sua própria resposta. Use o processo de substituição suportado pelo serviço para registar um novo autenticador, confirme que a nova entrada produz códigos aceites e retire o registo antigo no servidor. Apagar a entrada localmente não remove o registo do lado do servidor, por isso o segredo exposto pode continuar a funcionar até o serviço ser informado do contrário. É nessa lacuna entre o apagamento local e o estado do servidor que está a maior parte do risco.
A ordem importa aqui. Registe primeiro a substituição, verifique-a e só depois remova a antiga, porque a maioria dos serviços irá bloqueá-lo se o último fator desaparecer. Os códigos de recuperação também fazem parte dessa sequência, pois são a via alternativa quando o telefone não está disponível.
Verifique se o mesmo segredo foi usado noutro lugar. Um URI de chave colado num gerador saiu do seu controlo, e a conta por trás dele deve ser tratada como partilhada até o registo ser substituído.
Os pedidos de suporte devem descrever o problema visual sem incluir códigos ou material de configuração. Tudo o que é específico da conta pertence ao canal verificado do fornecedor, não a um fio público.
Guarde uma via de recuperação antes de apagar
Antes de remover qualquer entrada que funcione, confirme que existe uma via de recuperação aprovada e que a pode usar. Uma reparação cosmética que termina num bloqueio é um resultado pior do que o logotipo errado, e os bloqueios são comuns quando o único dispositivo registado é aquele que está a ser editado.
A condição de aceitação é estreita: uma relação verificada entre a conta e o autenticador, com o material do registo guardado em privado. Um distintivo familiar não faz parte dessa condição, e a sua ausência não é prova de comprometimento.
O próprio formato do URI de chave está documentado na especificação do URI de chave do Google Authenticator, que também recorda que a carga contém um segredo e não um logotipo. Leia-a antes de exportar qualquer coisa de uma entrada que não pode dar-se ao luxo de perder.