Door majortom: Ik hoop dat ze in ieder geval versleuteld opgeslagen zijn in de database of anders in een versleutelde vault terecht zijn gekomen, waarbij in beide gevallen de (master)key in een HSM zit. Dat zou goed zijn, maar nog veel beter zou het zijn als wachtwoorden (ten minste plus salt, bij voorkeur plus pepper) versleuteld zouden worden opgeslagen (immers veel mensen hergebruiken wachtwoorden voor meerdere accounts, terwijl die TOTP shared secrets random gegenereerd zijn). Maar ik kan mij niet herinneren ooit na een account-DB datalek gelezen te hebben dat de gekopiejatte wachtwoord-afgeleiden onomkeerbaar versleuteld waren - vaak zal dit dus niet gebeuren. De kans dat dit dan wel wordt gedaan voor TOTP shared secrets lijkt mij -helaas- erg klein. Door Anoniem: Hoewel uiteraard een extra account zonder apps die gevoelige gegevens bevatten natuurlijk aan te bevelen is, zou het natuurlijk nog beter zijn als de Authenticator app ook wordt beveiligd met een vingerprint/code bij openen. Of in ieder ...