Google Authenticator2 Backup

[rupe]

Hallo Leute,

ich habe mit adb ein "Vollständiges" Backup meines Nexus 4 erstellt.
Ich fühlte mich auf der sicheren Seite, jedoch musste ich nach dem restore feststellen das meine Authenticator Keys weg sind.

Leider habe ich Keys deren Wiederherstellung 2 Wochen dauern oder andere Zugänge wo die Wiederherstellung sogar kostenpflichtig ist.

Ich hab das Backupfile entpackt und kann keine Datenbank finden welche meine Keys enthalten würde.
Es gibt im Backupfile nichtmal einen Ordner mit den Namen der app. (com.google.android.apps.authenticator)

Weiß jemand wo ich noch suchen könnte?
Gibt es irgendwas was ich übersehe?
Ist es normal das diese App nicht gesichert wird?

Danke schon mal im voraus.

 

[rihntrha]

Die App Daten dieser App sind als "nicht Backuppen" geflaggt. Sicherhaltshalber, sonst könnte dir jeder dem dein Handy mal 5 Minuten in die Handy fällt die Codes unbemerkt klauen.

Ich habe mir die Keys (zusammen mit den qr-Codes) in meiner Passwortdatenbank gespeichert. Da kann ich mir am PC auch schnell nen Code generieren und den Authentikator auch mal schnell jederzeit neu einrichten (einfach die gespeicherten qr-Codes neu scannen).

Und keepass2android kann jetzt auch TOTP
Keepass2Android - Download: 0.9.4-pre1

Da hat man dann die Daten sicher in der keepass Datenbank (sinnigerweise liegt die in der Dropbox) und muss nicht Backuppen.
Ferner ist der Zugriff auf die Codes per quick unlook Key geschützt. Und somit auch sicher wenn dir das Handy geklaut wird.

Ist es normal das diese App nicht gesichert wird?

Ja.

cu

 

[rupe]

Oh man, das ist bitter.

Ok, der letzte Strohhalm ist dann wohl FileRecovery.
Gibts da eine App Empfehlung?
Oder soll ich es gleich vergessen?

 

[girouno]

kann mich da mal jemand aufklären oder mir einen hilfreichen Link geben?

Wann und wozu benötige ich diese Keys? Wenn ich bei Google 2-Factor aktiviert habe, benötige ich doch "nur" Passwort und ggf. ein gedrucktes Reserve Token (quasi eine TAN) und schon hab ich wieder kompletten Zugriff, oder?

 

[rihntrha]

Der Server erzeugt ein zufälliges Passwort und zeigt es dir in Form eines qr-Codes.

Mit diesem Passwort kann man nach rfc<irgendwas> für jeden beliebigen 30 Sekunden Slot eine 6(8) Zahl errechnen.
Das tut der Authentikator und das tut der Server (der merkt sich das Passwort ja auch). Stimmen sie überein dann hat der User nachgewiesen das er im Besizt dieses Passwortes ist.
Und der User hat das nachgewiesen (und das ist der Trick) ohne das Passwort irgendwo einzugeben.

Und dieses Passwort sollte man sich merken.
Hat man es verloren (oder hat keinen Zugriff auf die App die den 2. Faktor berechnet) dann gibt es diese reserve TAN(s) (jeweils einmal gültig) die in Verbindung mit dem normalen Login Passwort Zugriff erlaubt.

Und üblicherweise kann man sich dann nen neues 2-Faktor Passwort geben lassen. Aber offenbar ist DAS bei den Konten die rupe nutzt nicht so einfach.


(So, einfach mal ausführlicher, auch für die stillen Mitleser)

cu

 

[rupe]

Aber offenbar ist DAS bei den Konten die rupe nutzt nicht so einfach.

Das mit den Reserve Token ist von Google.
Heutzutage kann man aber fast überall eine 2 Faktoren Authentifizierung einrichten, nicht nur bei Google.

Und andere Dienste haben andere Mechanismen um diese Keys wiederherzustellen, manche leider auch mit Münzeinwurf.

 

[Otandis_Isunos]

Was ich bemerkenswert finde: Per adb lässt sich der Authenticator also nicht sichern, wohl aber per Hand

Allerdings braucht es dazu root-rechte :/ Ist dann wohl die bittere Seite.

Zumindest lässt sich der Ordner (com.google.android.apps.authenticator2) auf den externen Speicher kopieren und da lässt sich sogar die Datenbank einsehen, was vorher nicht ging (auch mit root nicht).

Und ich werde es jetzt nicht extra ausprobieren und den Authenticator neu installieren Evtl gibts da noch andere Sicherheitsvorkehrungen. Wenn nicht, wär das ziemlich arm

 

[rihntrha]

Das soll/muss ja garnicht soooo sicher sein.
Das ist ja nur der zweite Faktor, wenn jemand im Internetcaffe dein Username/Passwort ausspäht, dann muss er halt noch dein Handy klauen. Weil mal schnell "ausleihen" und per adb die Datenbank klauen ist ja nicht.


Wie gesagt, keepass2android kann das jetzt auch. Da habe ich lange drauf gewartet, jetzt kann der Authentikator runter.

cu