Всё, что стоит знать, и ничего лишнего.
Как это работает
Вместо отправки кода приложение запрашивает у API проверки номер для подтверждения его подлинности через мобильный интернет. Поскольку устройство уже аутентифицировано оператором через свою SIM-карту, сеть может подтвердить, что SIM-карта, установленная в телефоне, соответствует проверяемому MSISDN — без какого-либо взаимодействия с пользователем. Эта возможность стандартизируется и предоставляется в рамках инициативы GSMA Open Gateway и API проверки номеров CAMARA, поэтому разработчики могут получать к ней доступ согласованно у всех участвующих операторов.
- Проверяет совпадение номера SIM-карты в сети мобильного интернета.
- Никакой код не отправляется, не вводится и не отображается — он «молчит».
- Доступ осуществляется через GSMA Open Gateway / CAMARA Number Verification.
- Доказательство предоставляет оператор, а не пользователь.
Почему это лучше, чем SMS OTP
SMS-код подтверждения (OTP) запрашивает у пользователя получение и повторный ввод кода, что создает препятствия и три возможности для мошенничества: фишинг (поддельный сайт собирает код), подмена SIM-карты (злоумышленник перемещает номер на свою SIM-карту) и SMS-рассылка (мошенники запускают массовую рассылку OTP для получения платы за завершение вызова). Бесшумная сетевая аутентификация исключает все три варианта — нет кода для фишинга, проверка привязана к физической SIM-карте в устройстве, и не отправляются платные SMS-сообщения — и все это происходит за доли секунды.
- Нет кода для фишинга или перехвата.
- Привязан к физической SIM-карте — устойчив к замене SIM-карты.
- SMS-сообщения не отправляются — исключается возможность рассылки SMS-сообщений и воздействия AIT-технологий.
- Практически мгновенно и без каких-либо проблем для пользователя.
Ограничения и способы развертывания
Для работы SNA требуется активное мобильное интернет-соединение на проверяемом устройстве — при использовании только Wi-Fi оператор не видит сессию, поэтому проверка не может быть выполнена — и требуется участие оператора абонента. Поэтому стандартная схема заключается в использовании скрытой сетевой аутентификации в качестве основного метода и переходе к SMS-коду, мгновенному звонку или коду подтверждения WhatsApp, если они недоступны. Это обеспечивает наилучшую безопасность и скорость там, где это возможно, и повсеместное покрытие в остальных случаях.
- Для работы требуется мобильный интернет на устройстве (не только Wi-Fi).
- Требуется участие оператора в Open Gateway / CAMARA.
- Развернуть в качестве основного приложения с резервным вариантом в виде SMS/быстрого звонка/OTP-кода WhatsApp.
- Сочетание лучших качеств: высокий уровень охвата там, где это возможно, и повсеместное распространение в целом.
Бесшумная сетевая аутентификация против SMS OTP
| Бесшумная сетевая аутентификация | SMS OTP | |
|---|---|---|
| Действие пользователя | Не требуется | Прочитать и ввести код |
| Скорость | Почти мгновенно | От секунд до минут |
| Риск фишинга | Защищён (кода нет) | Подвержен |
| Устойчивость к SIM swap | Привязка к SIM-карте устройства | Уязвим |
| Риск SMS pumping / AIT | Нет (SMS не отправляется) | Да |
| Требует | Мобильный интернет + поддержка оператора | Любой телефон с поддержкой SMS |