Treceți dincolo de codul SMS fără să slăbiți recuperarea contului

Dacă dezvoltați un produs cu autentificare, oferiți mai întâi chei de acces, numite passkeys, sau o aplicație de autentificare, înainte de a face din SMS al doilea factor implicit. Dificultatea apare la trecere: clienții trebuie să își poată accesa conturile, iar o cale veche de recuperare nu trebuie să anuleze protecția nouă. Schimbarea butonului de pe pagina de conectare este doar începutul.

Privită din noiembrie 2026, investigația despre SMS din iulie 2024 arată o dependență pe care echipele o explică rar clienților. Codul poate trece prin organizații aflate în afara aplicației și a telefonului utilizatorului. Alegând această metodă, includeți și acel traseu în mecanismul de autentificare.

Intermediarul participă la autentificare

La 11 iulie 2024, Chaos Computer Club a anunțat că cercetătorii avuseseră acces în timp real la peste 200 de milioane de mesaje SMS asociate cu peste 200 de companii. Investigația privea un sistem expus al unui furnizor. Nu demonstra că toate rețelele mobile sau toate conturile cu autentificare prin SMS fuseseră compromise. Arăta însă că un atacator putea vedea codul fără să fure telefonul.

Separat, o alertă Twilio privind Authy descria un punct de acces care nu cerea autentificare și permitea identificarea unor informații asociate conturilor, inclusiv numere de telefon. Twilio avertiza asupra atacurilor prin inginerie socială și preciza că nu avea dovezi privind accesul la alte date sensibile sau la sistemele sale. Era o problemă diferită: divulgarea numerelor nu dovedește furtul secretelor de autentificare ori al codurilor generate.

Distincția contează când explicați alegerea clienților. O aplicație de autentificare evită transmiterea fiecărui cod printr-un furnizor SMS. Nu face însă imposibilă divulgarea datelor în serviciile asociate, iar un cod introdus manual poate fi în continuare obținut prin phishing.

Potriviți protecția cu puterea contului

WebAuthn permite autentificarea cu chei publice, limitată la serviciul pentru care a fost creată acreditarea. Recomandarea W3C Level 2 din 8 aprilie 2021 exista înaintea incidentului. Legătura cu originea site-ului este o diferență importantă față de introducerea unui cod într-o pagină. O implementare cu passkeys are totuși nevoie de verificări corecte pe server și de reguli clare pentru adăugarea sau înlocuirea cheilor.

Pentru un cont care păstrează preferințe obișnuite, înscrierea treptată poate fi suficientă. Conturile care pot exporta datele clienților, modifica detalii bancare sau acorda acces administrativ justifică reguli mai stricte. Stabiliți întâi aceste puteri. Familiaritatea câmpului pentru numărul de telefon nu arată că aceeași protecție este potrivită pentru orice acțiune.

Actualul ghid NIST pentru autentificare, publicat după incidentul din 2024, tratează autentificarea prin rețeaua telefonică drept metodă cu restricții și cere alternative. Distinge și codurile introduse manual de autentificarea rezistentă la phishing. Este o referință tehnică ulterioară, nu o afirmație că orice produs comercial trebuie să respecte un anumit nivel de asigurare al administrației americane.

Recuperarea poate anula îmbunătățirea

Să luăm un exemplu ipotetic: un cont are o cheie de acces și un buton de recuperare prin SMS. Dacă simplul control al numărului permite eliminarea cheii și adăugarea alteia, autentificarea obișnuită mai puternică lasă deschisă o cale mai slabă de preluare a contului. Limitarea încercărilor reduce ghicirea codurilor și abuzul de mesaje. Nu împiedică interceptarea sau obținerea prin înșelăciune a unui cod trimis corect.

Proiectați recuperarea în funcție de acțiunile permise în cont. Unde este potrivit, oferiți coduri de recuperare sau încă o cheie înregistrată și explicați păstrarea lor. Pentru conturile sensibile, cereți verificări suplimentare înainte de înlocuirea cheilor sau de schimbări importante. Înregistrați evenimentul și anunțați utilizatorul printr-un canal de încredere deja existent. Sunt recomandări de proiectare, nu o implementare testată ori o garanție împotriva preluării contului.

Aceeași atenție trebuie acordată asistenței umane. Un angajat care poate elimina toți factorii după o poveste convingătoare participă la protecția contului. Stabiliți ce dovezi poate accepta, cine aprobă excepțiile și ce acțiuni rămân limitate ulterior. Nu lăsați personalul să improvizeze verificarea identității în timp ce clientul așteaptă.

Pregătiți trecerea pentru clienții existenți

Inventariați căile reale: conectare, parolă uitată, număr schimbat, intervenția asistenței și versiuni vechi ale aplicației mobile. Identificați conturile fără alternativă. Un plan care acoperă doar cel mai nou parcurs din browser poate păstra comportamentul vechi pe termen nedefinit.

Invitați clienții să adauge o alternativă cât timp încă au acces. Explicați schimbarea prin nevoia de a păstra contul accesibil și protejat. Lăsați-i să confirme metoda nouă înainte de eliminarea celei vechi și oferiți instrucțiuni pentru pierderea telefonului. În conturile de firmă, analizați dacă un al doilea administrator autorizat poate ajuta fără să primească putere nelimitată asupra identității altei persoane.

Măsurați înscrierile finalizate și recuperările eșuate fără să înregistrați secrete. Citiți solicitările de asistență și urmăriți abandonul înainte de extindere. Includeți în etapa-pilot dispozitivele și nevoile de accesibilitate ale clienților. Aceste observații pot arăta dacă trecerea funcționează pentru produsul concret. Investigația citată nu oferă rate de conversie sau estimări ale costurilor de asistență.

Obiecția serioasă privește accesul. SMS funcționează și pentru persoane care nu pot instala o aplicație sau nu pot folosi experiența passkey propusă. Eliminarea imediată le poate exclude. O cale limitată poate fi justificată dacă riscurile contului permit acest lucru. Explicitați riscul acceptat și limitați acțiunile sensibile, fără să prezentați toate metodele drept echivalente.

În următorul proiect de software la comandă, descrieți întregul parcurs al contului, inclusiv ziua în care clientul pierde telefonul. Cereți demonstrarea înscrierii, conectării și recuperării după aceleași reguli. Rezultatul util este un cont pe care clientul îl poate recupera fără să ofere atacatorului o intrare mai ușoară.