Utente reale o truffatore: indovinate o siete sicuri?

Le app mobili non utilizzano i cookie e le alternative probabilistiche commettono inevitabilmente degli errori. Per fortuna c'è un altro modo.
‍

Come proprietario di un'app, come si fa a fornire la migliore esperienza agli utenti autentici e a tenere lontani i cattivi? Non è un problema facile da risolvere, soprattutto su mobile.
‍

Sui dispositivi desktop, è possibile inserire un cookie in un browser web e questo ci darebbe un alto grado di sicurezza sull'identità di quel dispositivo in futuro. Purtroppo, sui dispositivi mobili non funziona così: le app non possono utilizzare i cookie del browser o comunicare tra loro.
‍

Di conseguenza, molte aziende si affidano ad approcci probabilistici all'identità dei dispositivi mobili - raccogliendo dati sul dispositivo e sulle impostazioni dell'utente - per fare poco più di una supposizione educata sul fatto che il cellulare sia davvero lo stesso usato in precedenza per quell'account.
‍

Ma indovinare significa fare un difficile compromesso tra rischio e usabilità. O si ha una soglia di frode bassa, che facilita l'accesso degli utenti buoni, ma lascia passare molti cattivi attori. Oppure si fa l'opposto: si reprime duramente la frode, ma si sottopone gli utenti legittimi a un'interfaccia utente ad alto coefficiente di attrito, che inevitabilmente provoca l'abbandono di molti buoni utenti.
‍

Nessuna delle due soluzioni è ottimale. Fortunatamente, ora esiste un'altra soluzione, che offre una sicurezza affidabile senza attriti. Non dovrete più tirare a indovinare sull'identità del dispositivo mobile, ma potrete essere sicuri di saperlo con certezza, grazie a una soluzione basata sul possesso che fornisce una risposta semplice e definitiva.
‍

In questo articolo spiegheremo in modo più dettagliato perché le app non possono utilizzare i cookie e illustreremo le sfide affrontate dagli approcci probabilistici all'identificazione. Infine, vi offriremo un'alternativa sorprendentemente semplice, che vi permetterà di evitare qualsiasi compromesso scomodo tra frode e attrito...

‍

Cookie su dispositivi mobili

‍

I cookie sono dati che un sito web memorizza sul dispositivo dell'utente per una serie di funzioni. Di base, i cookie vengono utilizzati per assegnare un'identità a ciascun dispositivo visitato, in modo che il sito possa riconoscerlo.
‍

È così che i siti web sono in grado di mantenere gli utenti connessi e che i siti che non richiedono il login sono comunque in grado di tenere traccia dei singoli visitatori e di ottenere informazioni sul pubblico. Al contrario, quando si visita un sito per la prima volta o si utilizza un dispositivo diverso, si viene avvisati della presenza di cookie e possono essere attivate l'autenticazione a due fattori (2FA) e altre sfide di identificazione. I cookie funzionano in modo analogo su un browser mobile e su un computer.
‍

Le applicazioni mobili, tuttavia, non funzionano come un browser. Per loro natura, le applicazioni hanno un design "sandbox", ovvero sono chiuse all'interazione con altre applicazioni sul telefono. Lo noterete se provate, ad esempio, ad accedere a un gioco utilizzando i dati del vostro account Facebook. Il gioco non è in grado di riconoscere automaticamente che avete effettuato l'accesso all'app di Facebook o a Safari: aprirà invece la propria WebView (browser in-app) e vi chiederà di inserire nuovamente i vostri dati.
‍

Questo inconveniente è stato progettato per essere un'importante misura di sicurezza: se si scarica un'applicazione che contiene effettivamente del malware, la sandbox chiusa significa che non può infettare o spiare il resto del telefono. Tuttavia, la mancanza di cookie comporta un grosso problema di identità dell'utente nelle app, che devono cercare di verificare i propri utenti con altri mezzi, con livelli di successo variabili.
‍

Molti degli approcci attuali utilizzano i dati del telefono e i dati dell'applicazione, spesso con una sorta di intelligenza artificiale, per "indovinare" la risposta. Vediamo ora come funzionano questi metodi probabilistici e perché sono sbagliati.

ID statistico

‍

Un'alternativa probabilistica ai cookie è la costruzione di un "ID statistico". Diversi servizi offrono la possibilità di costruire un profilo dell'utente - a fini di identità o di marketing - tracciando le informazioni sul dispositivo dell'utente.
‍

Ad esempio, l'app potrebbe essere abilitata a prendere nota del modello del dispositivo, dell'user-agent, del sistema operativo, dell'indirizzo IP e persino di dettagli quali le dimensioni dello schermo, le impostazioni della lingua e i caratteri. Raccogliendo questi dati, il servizio può costruire un profilo dell'utente, consentendo alcuni gradi di variazione, per cercare di determinare chi è l'utente (e se si tratta della stessa persona in più istanze). In teoria, questi dati sono affidabili perché l'utente non può falsificare questi dettagli. In realtà, però, questo non è del tutto vero, poiché gli utenti che effettuano il "root" dei loro telefoni sono in grado di alterare anche questi dati fondamentali.
‍

Il rooting è un tipo di hacking che consente agli utenti di aggirare le restrizioni e modificare le impostazioni principali del telefono, normalmente escluse dall'accesso dell'utente, compresi i file di sistema essenziali. Poiché il sistema operativo Android è open source, chiunque può costruirci sopra e, sebbene sia più difficile, anche i dispositivi Apple possono essere manomessi (noto come "jailbreak"). Le persone effettuano il rooting dei propri telefoni per una serie di motivi, ma spesso si tratta di modificare le impostazioni del sistema per andare oltre le capacità previste del telefono, il che significa che i dati provenienti dal dispositivo non possono più essere attendibili.

‍

Dati dell'app

‍

Un problema evidente della profilazione statistica è la privacy: gli utenti sono comprensibilmente preoccupati che le loro informazioni personali vengano raccolte. Inoltre, le stesse app possono essere violate, il che significa che i malintenzionati possono avere accesso ai dati raccolti, quindi le app che memorizzano ogni dettaglio dei loro utenti rischiano di far trapelare tali informazioni.
‍

Il panorama sta cambiando in risposta. Non solo le leggi del GDPR hanno imposto alle aziende dell'UE di consentire agli utenti la scelta di rinunciare a questo tipo di trattamento dei dati, ma questo approccio sta diventando uno standard globale.
‍

A partire da iOS 14, Apple richiede ora il consenso esplicito per il tracciamento dei dati all'interno delle app. Se gli utenti si rifiutano, il loro IDFA, una forma di ID utente che Apple offre agli inserzionisti, è inutilizzabile per gli editori di app. L'ID equivalente di Android è meno facile da rifiutare: gli utenti possono attualmente solo azzeramentonon rifiutano l'elaborazione dei dati. Ma il risultato è lo stesso: le app mobili non possono profilare i propri utenti senza il loro consenso, il che significa che i malintenzionati possono semplicemente dire no alla tracciabilità.
‍

Probabilistico vs deterministico

‍

Il difetto fondamentale di metodi probabilistici come questi è che si tratta sempre di congetture, il che significa dover fare un compromesso tra lasciare entrare i malintenzionati o segnalare gli utenti legittimi come minacce.
‍

Con una soglia elevata - minore sicurezza per facilitare l'onboarding degli utenti - non ci sono abbastanza informazioni per fare una valutazione sicura e ad alta affidabilità: dopo tutto, gli attori malintenzionati possono generare facilmente infiniti alias usa e getta, come gli indirizzi e-mail.
‍

Per questo motivo, in genere si imposta una soglia bassa, ovvero requisiti di sicurezza più elevati per l'onboarding degli utenti, per catturare i cattivi attori. Ma questo comporta un numero eccessivo di falsi positivi: gli utenti reali vengono catturati dalla sicurezza e sottoposti a ulteriori controlli. Come abbiamo visto, la profilazione degli utenti a questo livello è sempre più difficile e comporta rischi in caso di compromissione.
‍

Tutta questa insoddisfazione dell'utente si traduce anche in tassi di conversione bassi, soprattutto nella fase di onboarding, che a sua volta può portare a problemi di reputazione. I nuovi utenti abbandoneranno rapidamente un'applicazione che dà la prima impressione di una UX frustrante e cercheranno un'alternativa.

‍

Problemi di privacy

‍

La possibilità di identificare un dispositivo mobile può avere dei vantaggi per l'utente (ad esempio, un'esperienza di login a basso attrito), ma può anche avere degli svantaggi (ad esempio, preoccupazioni relative alla privacy). È necessario trovare un equilibrio: mantenere un livello accettabile di privacy dell'utente (in cui l'utente ha il controllo esplicito di quali dati vengono condivisi) in cambio di un'esperienza utente notevolmente migliorata, tenendo al contempo lontani i malintenzionati.
‍
‍
Questo equilibrio si ottiene utilizzando il numero di cellulare. Gli utenti sono generalmente disposti a condividere il proprio numero di cellulare per accedere a un sito web o a un'applicazione. A condizione che non vengano richieste altre informazioni personali e che il numero venga utilizzato solo per identificarli al fine di consentire l'accesso e prevenire le frodi, si tratta di un compromesso che gli utenti sono disposti a fare.

‍

Deterministico e mobile-nativo

‍

L'utilizzo del numero di telefono cellulare come identificativo, insieme alla carta SIM del telefono cellulare dell'utente per l'autenticazione (sicurezza), fornisce una soluzione deterministica (cioè senza congetture).
‍

La carta SIM è crittograficamente sicura e può essere verificata con certezza in tempo reale. Se utilizzato insieme al numero di telefono cellulare, questo metodo di identificazione diventa di fatto un "cookie lato server" per il telefono cellulare. Il funzionamento è semplice: l'utente inserisce il proprio numero di cellulare e l'applicazione comunica istantaneamente con l'MNO (operatore di rete mobile) per verificare che il numero sia quello collegato a quella SIM.
‍

In questo modo si garantisce che l'utente possiede un dispositivo fisico unico e non è un bot o un truffatore che utilizza identità multiple. Più che probabilistica, questa soluzione è deterministica: fornisce una semplice risposta sì/no, offrendo all'utente un'esperienza priva di attriti e dando all'applicazione la certezza che ogni utente sia un individuo autentico.

‍

IDlayr: l'autenticazione mobile reimmaginata

‍

IDlayr può aiutarvi a implementare questo approccio del XXI secolo all'identità degli utenti. Basta con la raccolta di dati inaffidabili e invasivi: la nostra gamma di prodotti basati su API vi consente di implementare in modo rapido e semplice un'autenticazione degli utenti mobile deterministica, sicura e priva di attriti, riducendo le frodi e aiutandovi ad aumentare i ricavi della telefonia mobile.

‍