Google Authenticator - Tokens sumiram
comentada em 28/01/2021 14:05

Não seria mais simples você retornar aos sites cujos tokens sumiram, e gerar novos? Ou algo está impedindo isso?

O token que sumiu foi da Bittrex, uma exchange de bitcoin. Não achei nada no site sobre eventual possibilidade de gerar outro token ou desabilitar a autenticação em dois fatores.

O Google Authenticator não guarda as chaves em nuvem, só localmente... 

Então se vc perdeu as chaves por qualquer motivo, vai precisar ou inserí-las novamente caso tenha as hashes anotadas em algum lugar, ou então fazer o processo da plataforma em questão para obter um novo hash.

Não tem muito o que fazer.

Obrigado pela ajuda! Vou ver o que eu consigo fazer.

Pra ja evitar problemas ORUTUFs, onde eu encontro essas hashes para anotar?

@Bitinho
Tive um problema com um celular e fui obrigado a voltá-lo ao padrão de fábrica. Não tinha anotado o hash da corretora e perdi o meu token. Para criar um novo, a corretora pediu uma gravação em que precisava constar o meu passaporte junto ao meu rosto, além de pronunciar uma frase específica. Acesso restabelecido com todos os hashes salvos em um local seguro.

Como backup, eu procuro colocar os tokens em mais de um aparelho. Na verdade, tem no meu, no da minha esposa e num celular velho que fica em casa.

@bastter era merrequinha heheh
Vou tentar entrar em contato com a exchange e ver se tem alguma opção nesse sentido e, se der certo, ver onde eu encontro essas hashes pra anotar e guardar.

@Bitinho comigo eu perdi o código da corretora de BTC por motivo de troca de celular ...

Eu achei que era só logar o google autenticador que aparecia lá meus códigos - burrice "a lot"..
Enfim, foi fácil - cliquei em recuperar código 2fa e pediram um monte de confirmação, mas relativamente tranquilo!
O que tá me dificultando é que eu perdi o da microsoft TBM e pediram 2 meses para devolver minha conta! 

@Bitinho Respondendo a outra questão, no pior dos casos você pode, sim, tentar restaurar o backup do iPhone, mas tem um porém: esse backup só é completo (guardando inclusive tokens de segurança) quando você o faz mediante o uso de uma senha para a encriptação do mesmo. Se você estiver fazendo só aquele backup básico, talvez não resolva, mas ainda assim vale tentar.

Geralmente vem junto uns códigos de backup que voce deve anotar no em algum lugar seguro. (De preferência Gerenciador de senha)

Mas baixa o Authy eles salvamos hashs na nuvem. E é vem.melhor que o Google authenticator

@Bitinho básicão de 2FA:



- Google Authenticator não salva nada em nuvem, nem na sua conta do Google. Fica tudo local no seu aparelho. Perdeu o aparelho? Perdeu os tokens. Seu filho deletou sem querer? Perdeu os tokens. Desinstalou o app? Perdeu os tokens. Formatou o celular? Perdeu os tokens. Simples assim.



- Existem algumas soluções que salvam isso em nuvem, como o Authy já citado aqui. Você tem que estar ciente que confia em um terceiro que sabe uma informação sensível sua. Local é sempre mais seguro do que na nuvem.



- Na hora de habilitar o QR Code do 2FA em algum site, ao invés de ler com o Google Authenticator direto, abra um leitor de QR Code (pode ser a própria câmera do celular, em alguns casos) e salve a "URL" que vai aparecer ali. De preferência, anote num papel e guarde em local seguro. As vezes usar a sua agenda na gaveta e escrever letra por letra é mais fácil do que tentar recuperar a conta e provar que você é... você. Depois que anotar, aí sim abra o Google Authenticator e scaneie normalmente.



- Salve também uma cópia em algum cofre de senhas, de preferência offline (como o Keepass). Existem soluções online também, como o Lastpass ou 1Password (cai no mesmo problema de confiar uma info sensível a um terceiro).


- Alguns sites te dão alguns códigos de back-up temporários para você logar na sua conta sem o 2FA (no seu caso, que "sumiu") e conseguir gerar um novo token / remover o token antigo. Use a mesma estratégia de anotar esses códigos no papel ou em algum cofre de senhas.


- Jamais forneça o OTP (One-Time Password, os números aleatórios que ficam trocando de tempos em tempos na tela do seu app) a nenhum terceiro, por mais que se identifique como funcionário ou consultor. Nem o OTP gerado no Google Authenticator, nem OTP recebido por SMS ou email.

- Jamais forneça a chave privada (aquela que você anotou na sua agenda ou no cofre) a nenhum terceiro.

 

- Se depois de tudo isso você ainda conseguiu perder o seu token, não se desespere. A maioria dos sites tem mecanismos para você logar novamente e gerar um novo token. Maioria porque pode ter um ou outro que não ofereça esse suporte. Pode levar minutos, horas ou dias. Em uma situação de perigo, esse tempo fará muita diferença. Portanto, prepare-se sempre para o pior...

@Bastter podia virar um FAQ. Como faço pra escrever um?

Muito obrigado a todos de novo!

só queria deixar registrado aqui como faço para nunca ficar trancado pra fora das minhas contas (eu ativo 2 etapas em todas que possível)

 

1ª Camada - app Authy (tipo o authenticator, mas ele salva as tokens na nuvem), assim a única forma de eu ficar sem acesso ao app é se roubarem meu celular, mas aí posso buscar outro chip na operadora.

 

2ª Camada - Todos os códigos de backup estão salvos em um serviço na nuvem, ex: GDrive, Dropbox, Onedrive (eu uso o onedrive pq a conta da microsoft usa outro app separado para verificação duas etapas, então essa acaba sendo uma 3ª camada também)

 

no caso sempre que ativo duas etapas em algum lugar eu já tiro print/anoto em um .txt e mando pra outra nuvem o código de backup