2FA боты в мессенджерах vs SMS аутентификация

Опубликовано Anna Окт 22, 2019 | нет комментариев

В этой статье мы расскажем как работают 2FA боты (двухфакторная аутентификация через чат-ботов в мессенджерах), рассмотрим плюсы и минусы этого способа доставки одноразовых паролей, и разберемся что лучше — боты или SMS.

Содержание:

• Как появился OTP токен Protectimus Bot
• Как работает двухфакторная аутентификация через чат-ботов
• 2FA боты — плюсы и минусы
• SMS аутентификация — плюсы и минусы
• Подводим итог: 3 причины отказаться от SMS аутентификации в пользу чат-ботов для MFA

Как появились 2FA боты — OTP токен Protectimus Bot

Однажды один из клиентов Protectimus (платежная система с 2 000 000 активных пользователей) поставил задачу — разработать способ доставки одноразовых паролей, который будет таким же удобным, как SMS аутентификация, но более безопасным и дешевым. Дело в том, что каждый месяц этот клиент тратил около $30 000 на оплату услуг SMS-провайдера и хотел снизить расходы. Через SMS доставлялись одноразовые пароли и системные уведомления (нотификации о поступлении или снятии средств со счета, информационные сообщения и т.п.).

Решением задачи стала двухфакторная аутентификация с помощью чат-ботов в мессенджерах. Через чат-ботов Protectimus Bot в Telegram, Viber или Facebook Messenger можно бесплатно доставлять как одноразовые пароли, так и любые уведомления. И теперь наш клиент экономит на SMS около $20 000 ежемесячно.

2FA боты в мессенджерах решают большинство проблем, присущих SMS аутентификации: во-первых, это более безопасно, а во-вторых, БЕСПЛАТНО! Кроме того, использовать чат-боты почти так же удобно как SMS, а ведь SMS аутентификацию только за удобство и ценят.

Как работает двухфакторная аутентификация через чат-ботов

На данный момент 2FA боты ProtectimusBot доступны в трех мессенджерах:

• Facebook Messenger
• Telegram
• Viber

Как правило, у человека, который пользуется смартфоном, уже установлен хоть один из этих мессенджеров.

Когда пользователь подключает двухфакторную аутентификацию, он:

1. Выбирает любой из указанных мессенджеров, находит там Protectimus Bot.
2. Запрашивает свой уникальный ID с помощью команды /getid.
3. Вводит полученный ID в системе, которую планирует защитить.
4. Дальше сервис двухфакторной аутентификации Protectimus создает токен и отправляет пользователю одноразовый пароль через чат-бота.
5. Пользователь подтверждает, что получил одноразовый пароль, введя его в соответствующую форму, чем и завершается процесс выпуска токена.

Дальше все одноразовые пароли и сервисные сообщения будут приходить через чат-бота. Как для конечного пользователя, так и для нашего клиента двухфакторная аутентификация с помощью 2FA ботов бесплатна.

Пример того, как происходит выпуск токена Protectimus Bot, продемонстрирован в видео ниже.

Коснемся технической части. Программный токен в виде чат-бота поддерживает любой алгоритм двухфакторной аутентификации — HOTP, TOTP и OCRA. Благодаря этому, 2FA боты ProtectimusBot поддерживают и функцию подписи данных CWYS (Confirm What You See). Подпись данных подразумевает генерацию одноразовых паролей на основе данных об операции пользователя, например, могут использоваться данные транзакции: сумма, валюта, получатель, время и т.п. Это незаменимая функция для платежных систем и банков. Таким OTP паролем невозможно подписать нелегальную транзакцию даже если злоумышленник перехватит его. На данный момент только четыре токена Protectimus поддерживают функцию CWYS: приложение Protectimus Smart, а также Protectimus Mail, Protectimus SMS и чат-боты.

| Читайте также: Информационная безопасность в FinTech: 10 инструментов для защиты платежной

Чат-боты для 2FA vs SMS аутентификация 

2FA боты — плюсы и минусы

Плюсы

1. Чат-боты для двухфакторной аутентификации доступны бесплатно как для клиента, так и для конечного пользователя.
2. Через 2FA бота Protectimus Bot можно доставлять как одноразовые пароли, так и другие сообщения и уведомления.
3. Сообщения в мессенджерах передаются в зашифрованном виде, если кто-то и перехватит одноразовый пароль, то не успеет его расшифровать.
4. Вход в мессенджер, который используется для доставки OTP, защищен паролем. Можно дополнительно защитить доступ к мессенджеру двухфакторной аутентификацией. 
5. Если кто-то попытается войти в ваш аккаунт, вы моментально получите об этом уведомление. 
6. Сообщения доставляются не по сети сотовой связи. Значит невозможно использовать уязвимости GSM сетей для перехвата одноразовых паролей.
7. Пока мы не слышали о вирусах, которые могут вытянуть одноразовый пароль из мессенджера. В свою очередь, вирусов, которые вытягивают OTP из SMS-сообщений, достаточно.
8. Токен Protectimus Bot будет работать вне зоны доступа сети, если есть интернет.
9. Чтобы активировать токен, пользователю не нужно устанавливать дополнительное приложение или покупать аппаратный токен, в 99% случаев один из мессенджеров уже установлен на телефоне пользователя.
10. Чат-бота для двухфакторной аутентификации можно использовать даже если в текущий момент у вас нет доступа к телефону, существуют web-версии Telegram, Viber и Facebook Messenger.

Минусы

1. Для работы мессенджера необходим доступ в интернет. Но сегодня у вас скорее возникнут проблемы с сотовым покрытием, чем с интернетом. Технологии 3G / 4G / 5G доступны везде, где есть мобильная связь, а там, где нет доступа к сети, можно найти Wi-Fi или проводной интернет.
2. В учетную запись в мессенджере можно войти с нескольких разных устройств, а потом забыть выйти, оставив несколько активных сессий. Например, когда я пишу эту статью, у меня активны три сессии в Telegram: на смартфоне, на рабочем компьютере и на домашнем ноутбуке.
3. Для выпуска токена пользователь должен сам добавить чат-бота ProtectimusBot.

| Читайте также: Эволюция средств двухфакторной аутентификации

SMS аутентификация — плюсы и минусы

Плюсы

1. Если коротко, то у двухфакторной аутентификации с помощью SMS сообщений есть один глобальный плюс — удобство. Чтобы пользователь начал получать одноразовые пароли, не нужно просить его прийти в ваш офис, оставить адрес для доставки токена, установить приложение. Как только вы получили номер телефона человека, уже можно отправлять ему OTP. Часто этого одного преимущества достаточно, чтобы клиент выбрал именно двухфакторную аутентификацию с помощью SMS. Компании легко жертвуют безопасностью во имя удобства.
2. SMS-аутентификация подходит владельцам кнопочных телефонов, которые просто не могут установить приложение на свой телефон.
3. Как и 2FA боты Protectimus Bot, токены Protectimus SMS поддерживают функцию подписи данных CWYS (Confirm What You See).

Минусы

В остальном — сплошные минусы:

1. SMS-сообщения можно перехватить при доставке по сети сотовой связи.
2. Временный пароль можно перехватить прямо с устройства пользователя с помощью вируса.
3. Злоумышленники заказывают перевыпуск SIM-карты и таким образом получают доступ к номеру жертвы.
4. Часто в таких преступных схемах могут быть замешаны сотрудники SMS-оператора.
5. Если абонент находится вне зоны действия сети, то он не получит OTP пароль.
6. Компании тратят сотни тысяч долларов на оплату услуг SMS-операторов.

| Читайте также: Что скрывает SMS-аутентификация?

Подводим итог: 3 причины отказаться от SMS аутентификации в пользу чат-ботов для MFA

У любого способа двухфакторной аутентификации есть свои сильные и слабые стороны. Но сравнив SMS-аутентификацию и доставку одноразовых паролей с помощью чат-ботов в мессенджерах, мы четко видим, что токены Protectimus Bot побеждают по всем фронтам:

1. Экономическая эффективность. Использовать двухфакторную аутентификацию с помощью 2FA ботов выгодно с финансовой точки зрения.
2. Безопасность. Мультифакторная аутентификация через чат-ботов в Telegram, Viber, Facebook Messenger во много раз безопасней.
3. Удобство. По удобству 2FA боты не уступают SMS-аутентификации, а в некоторых случаях превосходит ее (например, в роуминге).

Переходите на мессенджеры и экономьте, при этом уровень безопасности только вырастет. По всем вопросам обращайтесь к нам по адресу [email protected]. 

Читайте также:

• Как работает двухфакторная аутентификация
• Аппаратный или программный токен – какой выбрать
• Одноразовые пароли: алгоритмы генерации и обзор основных видов токенов
• BYOD: о будущем лучше подумать сегодня
• Социальная инженерия: как это работает
• Фишинг, вишинг, смишинг, фарминг – в чем разница
• Вирус-шифровальщик – платить или нет