חילוץ מפתחות הגדרה של קודי אימות חד-פעמיים

Google Authenticator מאפשרת להעביר את החשבונות שלך לטלפון חדש, אבל היא לא מספקת דרך קלה לייצא אותם לאפליקציות אחרות כמו 1Password או Bitwarden. הסיבה לכך היא שהיא מסתירה את "המפתח" המקורי (קוד ה-QR שסרקת בהתחלה) של כל חשבון.

בלי המפתחות האלה, מעבר למנהל סיסמאות חדש פירושו להגדיר מחדש באופן ידני את האימות הדו-שלבי (2FA) בכל חשבון וחשבון, וזה כאב ראש רציני.

אמנם קיימים כלים אחרים שפותרים את הבעיה הזו, אבל לעיתים קרובות הם דורשים צעדים טכניים כמו הרצת סקריפטים או התקנת תוכנה. הכלי הזה נועד להיות פתרון פשוט ומאובטח שכולם יכולים להשתמש בו.

סורקים את קודי ה-QR מתכונת הייצוא של Google Authenticator או LastPass Authenticator בעזרת המצלמה, או מספקים צילומי מסך שלהם (או קובץ ייצוא של LastPass). הכלי הזה קורא את קודי ה-QR האלה – ממש כאן בדפדפן שלך – ומחזיר לך את המפתח המקורי של כל חשבון. לאחר מכן אפשר להשתמש במפתחות האלה כדי לייבא את החשבונות שלך לכל אפליקציית אימות אחרת.

כן. אבטחה ופרטיות הן בעדיפות העליונה. שום דבר שנעשה כאן לעולם לא יוצא מהמחשב או מהמכשיר הנייד שלך. כל העיבוד מתבצע באופן מקומי, במצב לא מקוון, ממש בדפדפן שלך. תמונות קודי ה-QR והמפתחות שלך לעולם לא נשלחים לשום שרת.

לפרטיות מרבית, יש לפתוח את הכלי הזה במחשב או במכשיר נוסף, וללחוץ על "סריקת QR" כדי לסרוק ישירות את קודי ה-QR לייצוא שבטלפון שלך, בלי לצלם צילומי מסך.

הערה: כל צילומי המסך או הקבצים שהורדו מכילים את המפתחות שלך ללא הצפנה. יש להקפיד לאחסן אותם באופן מאובטח, או למחוק אותם בסיום. זה כולל למחוק אותם גם מתוך "פח", "סל המיחזור", "נמחקו לאחרונה", וגם מכל גיבוי תמונות בענן.

הכלי הזה הוא קוד פתוח, וכל אחד יכול לבחון את הקוד כדי לוודא את הבטיחות ואת שיטת הפעולה שלו. הוא מתארח ב-GitHub Pages, עם תהליך פריסה מאובטח ושקוף.

Google Authenticator מקשה לראות את המפתחות המקוריים ששימשו להגדרת החשבונות שלך. במקום זאת, היא מספקת קוד QR לייצוא שמאגד את כל החשבונות שלך יחד. כך קל להעביר אותם למכשיר חדש, אבל קשה לעבור לאפליקציית אימות אחרת. LastPass כן מספקת קודי QR נפרדים לכל חשבון, וזה שיפור עצום, אבל היא מספקת את המפתחות כטקסט רק בפורמט קוד JSON. לעומת זאת, אפליקציות כמו 1Password מאפשרות גישה קלה למפתחות המקוריים, וכך קל להעביר אותם לאפליקציות 2FA אחרות.

זו שאלה מצוינת, ואחרים כבר שאלו אותה. אחת הסיבות שניתנו היא חשש שפורמט הייצוא של Google עלול להשתנות. עם זאת, הפורמט הזה יציב כבר שנים, ואפליקציות אחרות (כמו Aegis Authenticator) תומכות בו בלי בעיה. נראה שמנהלי סיסמאות כמו 1Password היו יכולים לתמוך בקלות בייבוא ישיר, אבל בחרו שלא לעשות זאת.

LastPass מכניסה את כל החשבונות שלך לקוד QR אחד, ואם יש לך הרבה חשבונות, הפרטים בקוד ה-QR עלולים להיות זעירים וקשים לקריאה. Google Authenticator עוקפת את הבעיה הזו בכך שהיא מספקת יותר מקוד אחד, שכל אחד מהם מכיל כמה חשבונות. למרבה המזל, LastPass מאפשרת לייצא קובץ JSON, שגם אותו הכלי הזה יכול לקרוא. אם יש בעיות עם LastPass, פשוט יש לשמור את קובץ ה-JSON ולייבא אותו במקום.

הכלי הזה נוצר על ידי Matthew Carroll, מפתח שהיה מתוסכל מתהליך העברת קודי אימות מ-Google Authenticator אל 1Password.

נא לדווח על כל בעיה בכלי הזה ב-GitHub.

הכלי הזה מבוסס על עבודתם של כמה פרויקטים בקוד פתוח, ביניהם:

• Extract OTP Secrets, סקריפט ה-Python של Roland Kurmann, שעליו מבוסס הכלי הזה.
• Aegis Authenticator ו-Chris van Marle, על מפרט ה-protobuf של הייצוא.
• Google Authenticator Exporter, פתרון נוסף מבוסס סקריפט Python לאותה בעיה.

ממשק המשתמש ועיבוד קודי ה-QR מבוססים על ספריות הקוד הפתוח האלה:

• jsQR לפענוח קודי QR מתמונות.
• pica לשינוי גודל של תמונות באיכות גבוהה.
• QR Scanner לסריקת קודי QR באמצעות המצלמה.
• protobuf.js לפענוח מטען הנתונים של Google Authenticator.
• node-qrcode ליצירת קודי QR חדשים לכל חשבון.
• thirty-two לקידוד המפתחות ב-Base32.
• Font Awesome לסמלים שבממשק המשתמש.

תודה לכל התורמים לפרויקטים המצוינים האלה!

התרגומים נכתבו ונבדקו על ידי: T12 (Română), n66g4 (简体中文).

במהלך הפיתוח של הכלי הזה נעשה שימוש ב-Gemini Code Assist וב-Claude Code. כל הקוד שנוצר על ידי AI נבדק ידנית בקפידה.

למען האנשים והמקומות שיקרים לך

הפיתוח של הכלי הזה התאפשר בין היתר בזכות התמיכה של Stand.earth. אם הכלי מועיל לך, אפשר לשקול לתרום כדי לתמוך בעבודה של Stand.