Tutto ciò che vale la pena sapere, niente di superfluo.
Da cosa protegge effettivamente ciascuno
Un codice basato sul tempo generato da un'app di autenticazione viene creato sul dispositivo a partire da una chiave segreta condivisa e non transita mai su una rete, risultando quindi immune allo scambio SIM, all'intercettazione SS7 e allo spionaggio a livello di rete. Un codice SMS, viaggia sulla rete dell'operatore, il che significa che può essere reindirizzato in caso di scambio SIM e, su percorsi scarsamente protetti, intercettato a livello di segnalazione. Entrambi i metodi sono efficaci contro il riutilizzo delle password e il credential stuffing, di gran lunga gli attacchi più comuni.
Quanto ti costa ciascuno in termini di utenti
Le app di autenticazione presentano un ostacolo alla registrazione: l'utente deve installare un'app, scansionare un codice e conservare il dispositivo. Una diffusione significativa non è sufficiente a completare questo processo, e chi perde il dispositivo genera un carico di lavoro per l'assistenza. SMS non prevedono alcuna fase di registrazione: l'utente ha già il numero di telefono a disposizione. Nei mercati con una minore diffusione degli smartphone o dove gli utenti cambiano spesso telefono, SMS non sono la scelta meno valida, ma l'unica che funziona.
Una gerarchia sensata
Offri password o un'app di autenticazione come fattore principale e rendi la procedura di registrazione allettante. Mantieni SMS come metodo di riserva, in modo che nessuno rimanga escluso. Riserva le operazioni che richiedono la massima sicurezza, come il trasferimento di denaro, la modifica del conto di pagamento o la disattivazione dei controlli di sicurezza, esclusivamente al fattore principale e aggiungi un controllo dello stato della linea, in modo che un recente cambio SIM imponga un passaggio a un fattore superiore. In questo modo, il fattore debole non proteggerà mai l'elemento più importante da perdere.
Se puoi spedirne solo uno
Inviare codici OTP SMS, e farlo bene: instradare i messaggi direttamente all'operatore in modo che il codice arrivi in pochi secondi anziché in minuti, impostare una breve durata del codice, un basso limite di tentativi e un fallback vocale per la piccola percentuale di messaggi che non vengono recapitati. Un codice SMS recapitato correttamente è più efficace di un'app di autenticazione a cui l'utente non si è mai registrato, e puoi aggiungere questo fattore di sicurezza in un secondo momento senza dover rimuovere il fallback.