Сотрудники Калифорнийского университета провели исследование "Security and Privacy Failures in Popular 2FA Apps", в рамках которого проверили на сколько безопасны механизмы резервного копирования в TOTP-приложениях (на Android).

Было проанализировано 22 TOTP-приложения из Google Play, у каждого из которых не менее 100 тысяч загрузок (в т.ч. и отечественный Яндекс.Ключ).
В результате изучения возможностей резервного копирования и механизмов шифрования были выявлены недостатки в их безопасности и сформулированы рекомендации по их возможному устранению.

Из интересного:
❗️Многие приложения позволяют экспортировать резервные копии в открытом виде (без какого-либо шифрования). Какие-то разработчики идут сознательно (для удобства пользователей) на такой шаг, предварительно предупреждая о рисках экспорта в таком виде, но большинство никак не сигнализирует об этом.
Использование QR-кода (в качестве резервной копии) является неплохим компромиссом между безопасностью и удобством для пользователей👌
❗️В механизмах шифрования резервных копий нескольких приложений имеются недостатки, связанные как со слабыми требованиями к пользовательскому паролю (например, не введено ограничение на минимальную длину пароля), так и более "архитектурные" изъяны - "захардкоженная соль" и использование слабых алгоритмов шифрования🤨
❗️В нескольких приложениях зашифрованная резервная копия и пароль от нее отправляются на серверы разработчиков, что может говорит о том, что они потенциально могут получить доступ к данным пользователя😐

ℹ️ Подробнее: по ссылке в начале поста и в репозитории Github.
#2fa #apps #research #otp #totp