Tutto ciò che vale la pena sapere, niente di superfluo.
Come funziona
Anziché inviare un codice, l'app richiede a un'API di verifica di confermare il numero tramite la sessione dati mobile. Poiché il dispositivo è già autenticato presso l'operatore tramite la sua SIM, la rete può attestare che la SIM attualmente presente nel telefono corrisponde al numero MSISDN verificato, senza alcuna interazione da parte dell'utente. Questa funzionalità viene standardizzata e resa disponibile tramite l'iniziativa GSMA Open Gateway e l'API di verifica del numero CAMARA, in modo che gli sviluppatori possano accedervi in modo coerente con tutti gli operatori partecipanti.
- Verifica la corrispondenza tra SIM e numero durante la sessione dati mobile.
- Non viene inviato, digitato o visualizzato alcun codice: è un processo "silenzioso".
- Accesso tramite GSMA Open Gateway / Verifica del numero CAMARA.
- È l'operatore, non l'utente, a fornire la prova.
Perché è meglio dell'OTP via SMS
L'OTP via SMS richiede all'utente di ricevere e reinserire un codice, il che crea attrito e tre vulnerabilità alle frodi: phishing (un sito falso raccoglie il codice), SIM-swap (un malintenzionato trasferisce il numero sulla propria SIM) e SMS pumping/AIT (i truffatori inviano in massa OTP per guadagnare commissioni di terminazione). L'autenticazione silenziosa di rete elimina tutte e tre queste vulnerabilità: non c'è alcun codice da rubare tramite phishing, il controllo è legato alla SIM fisica presente nel dispositivo e non viene inviato alcun SMS a pagamento, il tutto in una frazione di secondo.
- Nessun codice da tentare di effettuare phishing o intercettare.
- Vincolato alla SIM fisica, non consente lo scambio della SIM.
- Nessun SMS inviato: elimina il rischio di invio massivo di SMS e di attacchi AIT.
- Quasi istantaneo e senza intoppi per l'utente.
Limitazioni e modalità di implementazione
SNA richiede una connessione dati mobile attiva sul dispositivo da verificare (solo Wi-Fi, l'operatore non può visualizzare la sessione, quindi il controllo non può essere eseguito) e richiede la partecipazione dell'operatore dell'abbonato. Per questo motivo, lo schema standard prevede l'utilizzo dell'autenticazione di rete silenziosa come metodo principale e, in caso di indisponibilità, l'OTP via SMS, la chiamata flash o l'OTP via WhatsApp. Ciò garantisce la massima sicurezza e velocità laddove possibile, e una copertura universale ovunque.
- Richiede una connessione dati mobile sul dispositivo (non solo Wi-Fi).
- Richiede la partecipazione dell'operatore a Open Gateway / CAMARA.
- Implementare come metodo principale con fallback tramite SMS/chiamata flash/OTP di WhatsApp.
- Il meglio dei due mondi: forte copertura dove disponibile, copertura universale nel complesso.
Autenticazione di rete silenziosa vs OTP via SMS
| Autenticazione di rete silenziosa | OTP via SMS | |
|---|---|---|
| Azione dell'utente | Nessuna | Leggere e digitare un codice |
| Velocità | Quasi istantaneo | Da secondi a minuti |
| Rischio di phishing | Resistente (nessun codice) | Esposto |
| Resistenza al SIM swap | Legato alla SIM del dispositivo | Vulnerabile |
| Esposizione a SMS pumping / AIT | Nessuno (nessun SMS inviato) | Sì |
| Richiede | Dati mobili + supporto dell'operatore | Qualsiasi telefono abilitato agli SMS |