Привет! Меня зовут Ася Лаврентьева, я из i-Digital. Подготовили для вас небольшой обзор сервисов, которые можно использовать для авторизации пользователей, подтверждения номера телефона, списаний с карты лояльности.
11 показов
3.9K открытий
Почему пишем об этом
В 2019 годы мы вывели на рынок новый продукт, сервис авторизации по звонку Flashсall. На тот момент мы были в числе первых поставщиков услуги. Сейчас флешкол активно использует ритейл, финансовый сектор, в прошлом году один из крупных банков начал авторизовывать клиентов с помощью флешкол.
К сервису привыкли пользователи, а бренды оценили надежность и экономичность кодов в номере телефона.
Но в конце 2021 года качество сервиса стало падать. Пулы номеров, с которых поступали звонки, начали блокировать операторы массово и в ручном режиме: искали сервисы, которые присылают флешкол и вносили пулы номеров в блок.
Почему блокируют Flashсall
Для Flashсall используются так называемые «дешевые» звонки: тарификация за соединение не применяется, а для получения кода не нужно снимать трубку. На этих звонках операторы теряют деньги: трафик уходит из SMS во флешколы.
Госуслуги: код авторизации и банковская карта
Коды в звонке
Если речь идет о таком же экономичном способе с максимальным покрытием, то альтернатив немного.
Text-to-Speech
Это те же голосовые рассылки, только вместо предложения бесплатного обследования полости рта робот продиктует код. Text-to-Speech тарифицируется по-разному: посекундно, по 5 или 10 секунд. Чем длиннее код, тем дороже звонок. Средняя стоимость у разных провайдеров: 3-3,6 рублей за минуту при посекундной тарификации. Например, если вы диктуете код в течение 15 секунд, то его стоимость будет от 0,8₽ и выше.
VoiceCode. Коды в звонке, для получения кода пользователь должен прослушать код.
VoiceCode для пользователя не отличается от обычных голосовых рассылок, но технически построен иначе. Звонки совершаются с пула номеров мобильного оператора РФ, регистрировать номер не нужно, для получения кода пользователь должен прослушать звонок. Если сравнивать с Flashcall, то сервис теряет в удобстве: проще прочитать код с экрана, чем отвечать на звонок. Но мы искали возможность предоставить клиентам доступный и экономичный сервис, для которого риск блокировки со стороны операторов будет значительно меньше.
Этого мы добиваемся за счет того, что используем «дорогой канал» для VoiceCode: во-первых, оплата идет уже за факт соединения, а значит операторам не интересно такой трафик блокировать, во-вторых, пользователь снимает трубку, значит применяется посекундная тарификация звонка.
В VocieCode мы используем стандартные текстовые шаблоны. Это удобно с точки зрения тарификации звонка – мы укладываемся в 15 секунд. Плюс, предполагая, что большая часть брендов, которые работали с флешколом, перейдут в VoiceCode, нам кажется разумным унифицировать такие звонки, чтобы пользователи к ним привыкли и лояльно реагировали.
Если сравнивать голосовые рассылки с технологией Text-to-Speech, то VoiceCode удобнее с точки зрения подключения: не нужно регистрировать номер, придумывать шаблон – достаточно только провести интеграцию и передавать запросы по API.
Значение слова авторизация. Что такое авторизация.
Текстовые коды
Для компаний, которые не шлют критичный трафик: пароли для входа в интернет-банк, мобильные приложения, 3D-secure коды, можно рассмотреть варианты отправки кодов в альтернативных каналах. Они уступают SMS и звонкам в скорости и покрытии, но стоят дешевле.
Вконтакте/Одноклассники
Отправка кодов доступна через рассылки Вконтакте. Однако в этом сервисе есть существенные ограничения: человек, которому вы отправляете код должен быть активным пользователем VK, в идеале у него должно быть установлено мобильное приложение. Скорость доставки таких кодов не такая высокая, поэтому пароли во Вконтакте присылают редко.
Коды в Telegram
Telegram рассылки набирают популярность – бизнесу нужна независимая от тарифов сотовых операторов альтернатива смс, которые постоянно дорожают,
В рамках Telegram-рассылок, которые недавно стали доступны пользователям нашего сервиса рассылок i-digital direct, мы проработали кейс с авторизацией с помощью бота. Важный момент: для получения сообщений от бота, пользователь должен на него подписаться и поделиться своим номером телефона, иначе рассылки работать не будут.
Вариантов реализации отправки кода в Telegram два.
- Если вы уже начали использовать Telegram-рассылки и ваш клиент подписался на бота, можно сразу отправлять код в Telegram, настроив переотправку в SMS на случай если код не доставится.
- Если пользователь еще не подписан на Telegram-бота, то можно предложить ему перейти по ссылке для подписки и получить код в Telegram.
Схема требует больше действий от пользователя, чем звонок, но кому-то удобнее иметь текстовый код под рукой, чем слушать и запоминать четыре цифры.
Дополнительные плюсы в телеграм кодах в том, что пользователь подпишется на ваш канал. После подписки вы сможете отправлять ему полезные сервисные уведомления и сокращать затраты на SMS трафик.
Коды в WhatsApp
В 2019 году, когда на рынке появился WhatsApp Business, его начали использовать в том числе для отправки авторизационных кодов. Механика простая: пользователь переходит по ссылке с предустановленной фразой, в ответ бот отправляет ему код авторизации.
Эта схема хорошо работала до тех пор, пока в 2022 году входящие сообщения от пользователей не стали платными. Несмотря на то, что WhatsApp сохранил 1000 бесплатных сессий в месяц, для многопользовательских сервисов этот вариант авторизаций перестал быть привлекательным и экономичным. Если количество диалогов превысит 1000 в месяц, даже за каждое входящее сообщение придется платить 3,4₽, плюс абонентскую плату.
Но не все так плохо. На рынке уже существуют сервисы для WhatsApp-рассылок, для работы с которыми не нужно открывать официальный WhatsApp аккаунт и стоят они дешевле. При выборе такого сервиса для отправки кодов и паролей в WhatsApp важно обращать внимание на следующие возможности:
- отправка сообщений по API и добавления WhatsApp-канала в каскад
- обработка входящих сообщений и интеграция простой механики для отправки кода в ответ на входящее сообщение пользователя.
Ограничения у этого метода есть: WhatsApp следит за активностью в таких каналах и может заблокировать аккаунт, в котором количество исходящих сообщений сильно превышает входящие.
Источник: vc.ru
Как устроена и зачем нужна двухфакторная аутентификация
Недавно мы рассказали, чем отличается аутентификация от авторизации. Сегодня пойдём дальше — выясним, что такое двухфакторная аутентификация и зачем она нужна.
Аутентификация: подтверждение того, что вы — это вы, а не кто-то другой, кто пытается прикинуться вами.
Авторизация: что вам разрешено делать в системе, на сайте или в приложении после аутентификации. Проще говоря, авторизация — это когда система даёт вам какие-то права доступа. Какие — зависит от авторизации.
Однофакторная аутентификация
Это самый простой и самый распространённый тип аутентификации: вы вводите логин и пароль. Софт смотрит, есть ли такие логины и пароли в базе данных. Если да — узнает вас. Дальше смотрит, есть ли у вас какие-то права.
Системе неважно, кто именно вводит логин и пароль. Главное — чтобы они совпали с базой. Если злоумышленник подсмотрит, как мы вводим логин и пароль от какого-нибудь форума, потом он сможет зайти от нашего имени творить зло.
✅ Если помните логин и пароль, вход будет относительно быстрым.
❌ Если кто-то другой узнает ваш логин и пароль, он сможет залезть в софт под вашим именем.
❌ Часто люди в качестве логина используют адрес почты — это публичная информация, её легко вычислить.
❌ Люди нечасто используют много разных паролей для разных сервисов. Если какой-то один сервис сольёт ваш пароль, злоумышленники смогут воспользоваться им и в других сервисах.
❌ Очень часто пароль — это дата рождения, что тоже может быть публичной информацией.
Двухфакторная аутентификация
При двухфакторной аутентификации система использует два не связанных между собой способа аутентификации. Первый обычный, а второй — для дополнительной безопасности.
Второй способ должен быть независимым: на другом устройстве или принципиально другим методом. Расчёт на то, чтобы существенно усложнить жизнь злоумышленникам, которые могут захотеть воспользоваться чужим логином и паролем.
❌ Входить в сервис намного дольше.
✅ Надёжность выше: чтобы войти от вашего имени, нужно получить доступ к вашему телефону или почте. Плюс нужно знать пароли от них.
✅ Войти сложно, даже если у вас везде один и тот же пароль.
Примеры второго фактора
СМС-код с подтверждением. Предполагается, что человек не передаёт свой телефон другим людям, поэтому если отправить ему СМС, то прочитает его именно он. Так работают почти все интернет-банки.
Также код могут отправить на почту или в приложение. Смысл тот же.
Ссылка на электронную почту. После логина и пароля система отправляет специальную одноразовую ссылку, после клика на которую система убеждается, что вы — это вы. Не слишком безопасно, потому что почту несложно взломать.
Подтверждение в приложении. Если у сервиса есть приложение и вы его установили, сервис может связаться с приложением на вашем телефоне и задать вам там вопрос: «Это вы входите?». Вход в аккаунт Гугла, например, работает именно так.
Приложение-аутентификатор с кодом. Для более злых сценариев есть специальные приложения — например, «Ключ» у Яндекса. Сервер и ваше приложение договариваются о каком-то принципе криптографии. Когда нужно ввести второй код, вы смотрите его не в смс, а в приложении.
Таким методом пользуются для входа в некоторые почтовые сервисы или в защищённые контуры корпоративных сетей. Например, если у вас почта Яндекса, можно настроить вход через «Яндекс-ключ».
Аутентификация по QR-коду. В приложении может быть функция «Считать QR-код»: подносите камеру к компьютеру, и система убеждается, что перед экраном сидите именно вы.
Так работает аутентификация в веб-версию WhatsApp или в почту Яндекса через приложение «Ключ».
Устройство-аутентификатор. Обычно их делают в виде флешки с кнопкой и экранчиком. Нажимаете на кнопку — высвечивается код. Потеряется флешка — нужно будет идти к тому, кто её выдавал, без этого система никуда просто по логину и паролю не пустит.
USB-токен. Тоже выглядит как флешка, но внутри стоит специальная микросхема и криптософт. Этот софт безопасно соединяется с системой и сам вводит нужный код доступа, который ему генерирует микросхема. Если потерять, то доступ тоже будет утерян.
NFC-карта или карта с магнитной лентой. Иногда у сотрудников банков к компьютеру подключён специальный ридер для карт. Чтобы совершить важную операцию, сотрудник должен подтвердить её своей картой: мол, это точно я.
Биометрия. Биометрия — это всё, что касается вашего тела: распознавание отпечатков, лица, голоса, биоритмов, ауры и что там ещё придумают. Как правило, применяется на крупных и важных объектах с повышенными требованиями к безопасности.
Правила безопасности для двухфакторной аутентификации
- Берегите мобилу.
- Если есть возможность включить двухфакторную аутентификацию в системе, сервисе или в приложении — включите.
- Если есть возможность использовать две симки — используйте. СМС-коды отправляйте на вторую симку, которая не засветилась на сайтах объявлений, форумах и в чужих записных книжках.
- Лучше иметь запасной электронный адрес, который вы нигде не светите, чтобы по нему входить в важные сервисы.
- Если у приложения есть пин-код — не ставьте на него дату рождения кого-либо.
- Не используйте один и тот же пароль везде. Как минимум добавляйте в пароль название сервиса, в который вы входите.
- Скачивайте приложения только из официального магазина приложений. В неофициальных можно встретить всякую мерзость, которая сможет перехватывать ваши коды.
Источник: thecode.media
Что такое Google Authenticator: где взять код и как пользоваться?
Где взять код Google Authenticator и как начать использование программы? Разберемся вместе – составили простую подробную инструкцию, которая поможет справиться с тонкостями настройки и приступить к работе.
Что такое двухфакторная аутентификация
Чтобы понять, как пользоваться Гугл Аутентификатор, необходимо разобраться с самим понятием двухфакторной аутентификации или 2FA. Сервис разработчика как раз обеспечивает 2FA пользователю, поэтому мы начнем с определения.
Это метод добавления дополнительного уровня безопасности профиля путем ввода специальных проверочных кодов, получаемых пользователем. Суть ясна? Дополнительное подтверждение может производиться различными путями:
- Через пин-код или пароль;
- Ответы на секретные вопросы или определенная последовательность нажатия клавиш;
- Ввод кода подтверждения;
- Биометрические данные – отпечаток пальца или сканирование лица.
Специалисты кибербезопасности признают способ не самым надежным, так как обычно коды приходят в СМС, которые можно перехватить! Теперь попробуем понять, как действует софт от разработчика – он позволяет избежать входящих сообщений.
Чуть позже вы поймете, где взять ключ Гугл Аутентификатор – а пока немного об алгоритмах работы. Это бесплатное и надежное программное обеспечение, реализующее двухэтапные сервисы проверки с использованием алгоритмов TOTP и. HMAC. Time-based One-time Password Algorithm – это алгоритм, который основывается на времени, Hash-based Message Authentication Code – это код проверки подлинности сообщений, использующий хеш-функции.
Давайте разберемся, как пользоваться Google Authenticator! Процесс несложный, достаточно один раз вникнуть в тонкости настройки сервиса.
Начало работы
Чтобы понять, как пользоваться Google Authenticator на Андроид, нужно его установить – это первый шаг. Программу можно найти в магазине Гугл Плэй Маркет абсолютно бесплатно.
Пока программа загружается, открываем настройки аккаунта в браузере:
- Переходим к разделу «Безопасность» ;
- Ищем блок «Вход в аккаунт» ;
- Кликаем на строку «Двухэтапная аутентификация» ;
- Найдите иконку «Добавить дополнительные варианты» ;
- Перейдите к разделу «Приложение…» и щелкните «Создать» внутри;
- Выберите тип устройства.
Сейчас первый этап завершается – а нам пора вернуться к загруженному на смартфон приложению!
- Откройте программу и нажмите на кнопку «Начать настройку» на главном экране;
- Появится два варианта добавления аккаунта – вручную или же сканировать штрих-код для Google Authenticator.
Вернемся к открытой в браузере странице настройки – на экране вы увидите сгенерированный цифровой код и картинку с QR-кодом. Выбор за вами!
- Выбирайте нужный вариант в меню приложения на смартфоне;
- Вводите число-буквенный код или отсканируйте штрихкод для Google Authenticator с помощью камеры телефона.
После окончания настройки вы увидите надпись «Готово». Поздравляем! Вы справились, смогли активировать опцию и успешно настроили работу сервиса.
Вам не нужно думать о том, как и где взять ключ для Google Authenticator – они будут генерироваться системой автоматически, как только вам понадобится комбинация для авторизации в профиле.
Напоследок объясняем, как пользоваться Google Authenticator на телефоне для сторонних сервисов. Если вы хотите настроить двухэтапную аутентификацию для какого-то сайта, убедитесь, что он поддерживает такую возможность.
Ресурсы, предлагающие возможность дополнительной защиты аккаунта, выводят кнопку сервиса на странице настроек. Вам останется нажать на иконку Гугл Аутентификатора, выбрать способ подтверждения – числовой код или кьюар и завершить процедуру авторизации так, как рассказано выше. Работает для любых сайтов!
Рассказали вам не только, где найти штрих-код для Google Authenticator, но и как установить приложение и воспользоваться обычным кодом. Теперь вы сможете пользоваться надежным сервисом и не будете переживать за сохранность личных данных!
Источник: googlechro-me.ru