Le app autenticatore sono il miglior metodo 2FA per i vostri utenti?

Le password da sole sono deboli. Esperti lo sanno da molto tempo, e il resto di noi ne sta diventando consapevole, dato che sempre più fughe di notizie sulla sicurezza e casi di frode ha conquistato le prime pagine dei giornali. Di conseguenza, le aziende che effettuano l'accesso digitale degli utenti stanno riconoscendo la necessità di una forma di autenticazione a due fattori (2FA) - spiegata di seguito - per garantire che gli utenti siano chi dicono di essere.
‍

Ma con così tante soluzioni 2FA ora disponibili, può essere scoraggiante capire quale sia il modo migliore per autenticare gli utenti reali. Le app Authenticator offrono un'alternativa più solida alla vulnerabile autenticazione via e-mail e SMS, ma sono la scelta giusta per la vostra verifica?
‍

In questo blog spiegheremo i punti di forza e di debolezza dei codici generati dalle app in termini di sicurezza, accessibilità e rischio di compromissione e li confronteremo con il login senza password con autenticazione basata su SIM. (Potete anche vedere un un pratico confronto a colpo d'occhio qui.) Iniziamo con uno sguardo al motivo per cui sono stati sviluppati gli autenticatori.

‍

Come fa un'app a dimostrare l'identità?

Per una sicurezza solida, è raccomandata da molte autorità, come la Strong Customer Authentication di UK Finance. linee guidaper rafforzare il metodo o la credenziale di identità iniziale con uno dei tre fattori di prova dell'identità:
‍

• Conoscenza (qualcosa che si conosce, ad esempio una password o una risposta segreta)
• Inerenza (qualcosa che si è, ad esempio un'impronta digitale o una scansione del volto)
• Possesso (qualcosa che si possiede, ad esempio un codice o un telefono cellulare).
  ‍

Le password sono un tipo di basato sulla conoscenza sicurezza, che è difettosa perché la conoscenza può essere condivisa o rubata. E non tutti gli utenti sono in grado (o disposti) a condividere i dati biometrici. ereditarietà informazioni come le loro impronte digitali, quindi per il secondo fattore la maggior parte delle aziende si rivolge a possesso: di solito un codice generato in modo casuale noto come OTP (one-time password).
‍

Ma quando un possesso non è un possesso? L'utente è considerato in possesso dell'OTP, anche se è digitale, perché è stato appena generato e inviato 'solo' a lui. Tuttavia, quando questi codici vengono inviati tramite SMS o e-mail, possono essere facilmente rubati da un malintenzionato. Gli utenti possono essere indotti con l'inganno a inviare l'OTP a un criminale, come nelle truffe di phishing, oppure i criminali possono intercettare direttamente l'OTP con un attacco MITM (man-in-the-middle) o tramite commettere una frode di scambio di SIM.
‍

Le app Authenticator sono state sviluppate appositamente per risolvere queste vulnerabilità, generando l'OTP all'interno dell'ambiente (presumibilmente) protetto dell'applicazione e imponendo una limitazione temporale. Ma c'è ancora un problema...

Un'azione passata è uguale a un controllo presente?

Le app di autenticazione funzionano in genere in questo modo:
‍

• L'utente crea un account per il servizio A con un nome utente e una password.
• Abilitano la 2FA tramite l'App B
• Aprono l'App B e si collegano al Servizio A, utilizzando quel nome utente e quella password per dimostrare la loro identità iniziale.
• L'app B è ora in grado di generare una TOTP (time-based one-time password) che l'utente potrà utilizzare per autenticarsi in futuro per il servizio A.
  ‍

Tuttavia, c'è un difetto: L'App B non è attivamente collegata ad alcuna forma di identità.. Tutto ciò dimostra che in passato l'utente ha autorizzato l'applicazione utilizzando il primo set di credenziali.
‍

Le app di autenticazione hanno lo scopo di dimostrare che l'utente è in possesso di un dispositivo precedentemente autorizzato. Ma cosa succede se il dispositivo viene perso o rubato? La maggior parte dei codici di accesso dei telefoni cellulari sono facili da indovinare, il che significa che chiunque possieda quel dispositivo potrebbe accedere rapidamente a un TOTP, anche se l'utente si attiva per chiamare il proprio operatore e disattivare la propria SIM.
‍

La mancanza di connessione tra l'identità e il dispositivo significa anche che la tecnologia potrebbe essere usata contro una vittima: un aggressore che viene a conoscenza delle credenziali di una vittima potrebbe impostare la 2FA per quell'account sul telefono dell'aggressore stesso, bloccando l'utente da remoto.

‍

Un'app esterna è la migliore esperienza per l'utente?

Sappiamo tutti che qualsiasi attrito nell'esperienza utente (UX) provoca l'abbandono degli utenti, soprattutto al momento dell'onboarding. Dal punto di vista dell'UX, le app di autenticazione sono una richiesta importante: richiedono che l'utente abbia uno smartphone con memoria e che si prenda il tempo di scaricare un'app esterna.
‍

Questo esclude molti utenti che non sono in grado di scaricare un'applicazione, non sono disposti a dedicare tempo e fatica o non capiscono il processo. In pratica, si pone una barriera per gli utenti di una certa età o con un certo livello di confidenza con la tecnologia - gli stessi che spesso sono i più vulnerabili ad attori malintenzionati.
‍

Anche se l'utente si sforza di scaricare e iscriversi a un software esterno, deve comunque passare ogni volta a un'altra app per recuperare il codice. Inoltre, poiché i codici sono sensibili al tempo e il processo richiede un passaggio da un servizio all'altro, gli utenti inevitabilmente sbagliano a digitare i codici.
‍

Nel complesso, si tratta di un'interfaccia utente lunga e frustrante, per cui non è realistico aspettarsi un'adozione elevata della 2FA se si supporta solo l'autenticazione basata su app.

‍

L'alternativa: Autenticazione basata su SIM

La buona notizia è che esiste un nuovo metodo di verifica che è nativo per i dispositivi mobili, è universale, offre una migliore esperienza all'utente ed è progettato per tenere lontani i malintenzionati. Lo chiamiamo autenticazione basata sulla SIM.
‍

Il funzionamento è semplice: l'utente inserisce il proprio numero di cellulare nell'app o nel sito web, che comunica istantaneamente con l'MNO (operatore di rete mobile) per verificare che il numero sia effettivamente quello collegato alla carta SIM del dispositivo mobile. Nessun dato dell'utente viene elaborato o memorizzato.
‍

Non essendoci password o codici, si tratta di un fattore di possesso potente e presente, che non può essere compromesso da malintenzionati. IDlayr può anche controllare attivamente l'attività di scambio di SIM per ridurre il rischio di frodi di scambio di SIM.
‍

L'utente attende solo un paio di secondi, la sua identità viene verificata e può continuare: nessun passaggio a un'altra app, nessuna lunga attesa e codice da memorizzare, nessun inconveniente. In netto contrasto con le app, presuppone che l'utente non abbia alcuna familiarità con la tecnologia. Il risultato è un'esperienza di autenticazione invisibile e senza sforzo, con una sicurezza più forte che sembra una magia.

‍

Come iniziare

I prodotti di IDlayr si integrano facilmente in qualsiasi architettura applicativa client-server utilizzando API restful e SDK per iOS, Android, React Native e Mobile Web.
‍

Gli sviluppatori possono trovare tutto ciò di cui hanno bisogno per iniziare nel nostro sito documentazione, comprese le guide all'integrazione di tutti i nostri prodotti. Semplicemente iscriviti per iniziare l'integrazione e testare gratuitamente oggi stesso - oppure contatto Vendite per scoprire come IDlayr può aiutare la vostra azienda.