Nøglepunkter
- SMS-koder når næsten alle og kræver ingen app, men de er svagere over for SIM-swap og phishing i realtid.
- Authenticator-apps afhænger ikke af telefonnettet, men kræver opsætning og kan stadig udsættes for phishing.
- Passkeys modstår phishing og er hurtige at bruge, men ikke alle brugere og enheder er klar.
- Tilbyd mere end én metode, og tilpas styrken til risikoen ved handlingen.
De tre muligheder side om side
| SMS-kode | Authenticator-app | Passkey | |
|---|---|---|---|
| Rækkevidde | Næsten alle mobiltelefoner | Smartphonebrugere, der installerer en app | Moderne enheder og browsere |
| Opsætning for brugeren | Meget lille | Middel | Lille til middel |
| Afhænger af telefonnettet | Ja | Nej | Nej |
| Største svagheder | SIM-swap, aflytning, phishing i realtid, forsinkelser | Phishing i realtid, mistet enhed | Mistet enhed og gendannelse, ujævn understøttelse |
| Pris pr. login | En besked hver gang | Ingen | Ingen |
Hvor SMS er det rigtige svar
SMS er svær at slå på rækkevidde og lavt besvær. Det virker for folk, der aldrig installerer en authenticator, ved første bekræftelse af et telefonnummer og som gendannelses- eller fallback-metode.
Standardiseringsorganer ser forsigtigt på det. Fx behandler NIST-vejledningen koder, der sendes over telefonnettet, som en begrænset metode, der skal bruges med forståelse for risikoen. For mange tjenester er det acceptabelt, men for tjenester med høj værdi er det ikke nok alene.
Hvor du hellere bør vælge noget andet
- Handlinger med høj værdi som store betalinger eller ændringer af sikkerhedsindstillinger
- Konti med særlige rettigheder eller administratorkonti
- Brugere, der rejser meget og ofte ikke har pålidelig mobildækning
- Tjenester, der ofte er mål for SIM-swap-svindel
En praktisk blanding
- Tilbyd passkeys eller en authenticator-app først, med SMS som den universelle mulighed
- Brug SMS til bekræftelse af telefonnummer og til gendannelse
- Skru op for kravet ved risikable handlinger frem for ved hvert login
- Fortæl brugerne, når deres nummer eller sikkerhedsindstillinger ændres, via en anden kanal
- Hold øje med pris- og misbrugssiden af SMS-koder, som vi beskriver i artiklen om SMS-pumping
Hvordan ZafeConnect passer ind
ZafeConnect leverer SMS-engangskoder og andre A2P-beskeder til 190+ lande, med intelligent routing og fallback og leveringsrapporter fra operatørerne. Hvordan du kombinerer SMS med andre faktorer, er en beslutning for dit sikkerhedsteam.