Google is van plan om end-to-end encryptie toe te voegen aan de Authenticator-tool

Google Authenticator krijgt end-to-end encryptie – eindelijk. Nadat beveiligingsonderzoekers het bedrijf hadden bekritiseerd omdat het het niet had opgenomen in de Authenticator-accountsynchronisatie-update, Google-productmanager Christiaan Brand Hij antwoordde op Twitter door te zeggen dat het bedrijf “plannen heeft om E2EE te introduceren” in de toekomst.

“Voorlopig geloven we dat ons bestaande product voor de meeste gebruikers de juiste balans biedt en aanzienlijke voordelen biedt ten opzichte van offline gebruik”, schreef Brand. “De mogelijkheid om de app offline te gebruiken blijft echter een alternatief voor degenen die liever hun eigen back-upstrategie beheren.”

Eerder deze week begon Google Authenticator eindelijk gebruikers de mogelijkheid te geven om tweefactorauthenticatiecodes te synchroniseren met hun Google-accounts, waardoor het veel gemakkelijker wordt om in te loggen op accounts op nieuwe apparaten.

Hoewel dit een welkome verandering is, brengt het ook enkele beveiligingsproblemen met zich mee, aangezien hackers die inbreken in iemands Google-account daardoor mogelijk toegang kunnen krijgen tot tal van andere accounts. Als de functie E2EE ondersteunt, kunnen hackers en andere derde partijen, waaronder Google, deze informatie niet zien.

Beveiligingsonderzoekers Misk hebben enkele van deze risico’s belicht In een bericht op Twitter, waarin staat dat “in het geval van een datalek of als iemand toegang krijgt tot uw Google-account, al uw geheimen voor tweefactorauthenticatie in gevaar komen.” Ze voegden eraan toe dat Google informatie die aan uw accounts is gekoppeld, kan gebruiken om gepersonaliseerde advertenties weer te geven en adviseerde gebruikers ook om de synchronisatiefunctie niet te gebruiken totdat E2EE wordt ondersteund.

Het merk wees de kritiek van de hand en zei dat terwijl Google “gegevens onderweg en in rust, in onze producten, inclusief Google Authenticator”, versleutelt, E2EE “ten koste gaat van het in staat stellen van gebruikers om hun eigen gegevens te hebben zonder herstel.” Er is echter nog geen tijdlijn voor wanneer Google E2EE daadwerkelijk naar Authenticator’s nieuwe accountsynchronisatiefunctie zal brengen, waardoor gebruikers de mogelijkheid hebben om de functie zonder E2EE te gebruiken of om Google Authenticator offline te blijven gebruiken.