Tire as suas chaves secretas do Google Authenticator.

• A chave secreta

  É base32 do RFC 4648, em maiúsculas e sem preenchimento, exatamente como um app autenticador a exibe. Dezesseis caracteres para uma chave de dez bytes, trinta e dois para uma de vinte. Isso é a credencial inteira. Todo o resto são metadados sobre ela.

• Emissor e conta

  O serviço e a conta a que a chave pertence. O Google às vezes coloca o emissor em um campo próprio e às vezes o embute no rótulo da conta, como «emissor:conta», então os dois são lidos e os dois são exibidos, separadamente.

• Algoritmo, dígitos e tipo

  Quase sempre SHA-1, seis dígitos e baseado em tempo, porque é isso que os serviços realmente usam. Quando a exportação deixa um deles sem valor, o padrão convencional é aplicado e o campo é marcado como padrão, não como dado.

• O link otpauth

  Um URI otpauth:// padrão, remontado a partir dos campos acima em vez de decodificado, então ele é exatamente o que outro autenticador espera. Cada um também ganha um QR code, pronto para ser escaneado direto em outro app.

• O período, rotulado com honestidade

  Toda conta informa trinta segundos, e isso não é decodificado de nada. O formato de exportação tem campos para a chave secreta, o nome, o emissor, o algoritmo, a quantidade de dígitos, o tipo e o contador, e campo nenhum para o período. O Google Authenticator usa trinta segundos para tudo o que exporta, então é isso que é informado, marcado como padrão para que nunca seja confundido com algo que estava no código.

• Contas baseadas em contador

  Algumas contas são baseadas em contador em vez de baseadas em tempo, então o código delas não muda sozinho. O contador é exibido como foi exportado. Trate essas com cuidado: usar um código avança o contador no serviço, e uma cópia que ficou atrasada para de funcionar.

Perguntas que valem a pena.

É seguro colocar o meu código de exportação em um site?

A resposta honesta é que você não deveria colocar uma credencial em uma página que não pode verificar, e é por isso que esta é verificável. Nada é transmitido, o código é publicado, e existe uma versão de arquivo único que você pode baixar e rodar com a rede desligada. Se você preferir não confiar em página nenhuma, use essa versão.

Alguma coisa é enviada para os servidores de vocês?

Não, e não há nada do nosso lado que pudesse receber isso. A decodificação, a análise e a geração de códigos rodam todas no seu navegador. Abra o painel de rede do seu navegador, extraia um código, e você não verá requisição nenhuma.

Posso usar sem conexão com a internet?

Sim. Baixe o arquivo HTML único na página de releases do repositório e abra-o. Ele não tem referência externa de nenhum tipo e traz uma política de segurança de conteúdo que proíbe conexões por completo. Tudo funciona, menos a câmera, que alguns navegadores não liberam para uma página aberta a partir de um arquivo; soltar ou colar uma captura de tela sempre funciona.

Se alguém pegar o meu código de exportação, como eu o revogo?

Não há como revogar uma chave secreta isoladamente. Desligue a autenticação em duas etapas no serviço afetado e configure de novo, o que emite uma chave nova e deixa a antiga inútil. Trocar a sua senha não faz isso, e apagar o app ou restaurar o telefone também não.

O Google me deu vários QR codes. E agora?

Capture todos e adicione um por um. Eles compartilham um identificador de lote e cada um traz o seu próprio índice, então se juntam em qualquer ordem e a ferramenta diz quais partes ainda faltam. Adicionar de novo um que você já tem não causa problema. Códigos de duas exportações diferentes são recusados em vez de juntados, porque a lista combinada seria uma que nunca existiu no seu telefone.

Por que toda conta diz trinta segundos?

Porque o formato de exportação não tem campo de período, e o Google Authenticator usa trinta segundos para tudo. O valor está certo e não é decodificado de nada, e é por isso que ele é rotulado como padrão em vez de exibido como dado. Se um serviço usasse um intervalo diferente, uma exportação deste app não diria isso a você.

Uma das minhas contas tem um código que não muda.

Essa é uma conta baseada em contador: o código não muda, e é assim que deve ser. O contador dela é exibido como foi exportado. Tome cuidado com ela: usar um código avança o contador no serviço, então uma cópia que ficou atrasada deixará de ser aceita.

Quais algoritmos são suportados?

SHA-1, SHA-256 e SHA-512, usando a própria criptografia do navegador. O MD5 aparece na lista de algoritmos do formato, mas os navegadores não conseguem calculá-lo, então nenhum código é gerado para ele; a chave secreta e todos os outros parâmetros continuam sendo devolvidos corretamente. Na prática, os serviços usam SHA-1 com seis dígitos, e o Google Authenticator ignora qualquer outra coisa de todo modo.

A câmera não funciona.

Ela precisa de uma página segura, então não abre por http simples e pode não abrir a partir de um endereço de arquivo. Uma recusa costuma ficar memorizada, então confira as configurações do site no seu navegador. Independentemente da câmera, soltar ou colar uma captura de tela funciona em todo lugar.

Não abre a foto do meu iPhone.

As fotos do iPhone são HEIC, e nenhum navegador além do Safari decodifica esse formato. Tire uma captura de tela em vez de uma foto, ou converta o arquivo para PNG ou JPEG. A captura de tela é a melhor entrada de qualquer forma, porque não tem reflexo nem perspectiva.

Posso mover isso para outro autenticador?

Sim. Cada conta tem o seu próprio QR code no formato otpauth padrão, que todo app autenticador lê, e você também pode digitar a chave em base32 à mão. Compare um código gerado com o do seu telefone antes de remover qualquer coisa dele.

Já vi isso ser feito com o zbarimg e um programa em Go.

São as mesmas três decodificações, com três instalações na frente delas: ler o QR code, decodificar o parâmetro data em base64, analisar o protobuf. Isto faz tudo em uma página, e o pacote por trás é publicado, caso você prefira automatizar. Nada aqui chama essas ferramentas; o decodificador de QR e o leitor de protobuf foram escritos a partir das especificações deles.