Переход на авторизацию только по мобильному телефону?

Question

[Константин Б.]

Какие камни могут случиться при переходе на авторизацию по мобильному телефону?

Для тех кому вдруг не понятно, но я надеюсь нет таких)) Это значит что предвидится полное отсутствие связки
логин\эмейл\ и пароль. Только ввел номер -> получил смс -> ввел код if true авторизован, ip занесен в базу, зашел с того же автоматом авторизован, нет отправляем новый код.

Пока мне в голову идет только мысль о потере телефона..

Answer 1

[Дмитрий Энтелис]

DevMan

Профукал телефон/номер/вырубился роуминг (или его вообще нет) - давай досвидания.

Как показывает практика - это вообще не проблема.
Номер телефона восстановить гораздо проще чем украденную почту.

Я вижу несколько других проблем:
1) Затраты на отправку смс. Авторизация это достаточно частое событие в общем случае, смс надо будет слать много.
2) Пользователи с опаской относятся к идее ввода на сайты чего либо пришедшего по смс, все эти истории с подписками чему то научили все таки.
3) Долгий процесс авторизации. Пока смс придет, пока юзер перепишет код. Если такие условия будут на каком то обычном сайте - я как пользователь плюнул бы и ушел.

В целом я не вижу причин почему авторизацию надо делать именно через одноразовый код.
Если приложение с повышенными требованиям по безопасности - нужно использовать и логин пароль, и одноразовый код (т.к телефон могут украсть и авторизироваться)
Если приложение обычное - лучше использовать вход по номеру телефона и паролю, а смс использовать для восстановления пароля или отправки пароля при регистрации.
PS

авторизован, ip занесен в базу, зашел с того же автоматом авторизован, нет отправляем новый код

Лучше ставить куку и проверять её наличие, дополнительно сверяя IP если кука есть.
UPD
Kostik_1993 , DevMan : подтверждение любых критический действий через смс с одноразовым кодом - давным давно стандарт в банковской индустрии и понемногу проникает в остальные. Двухфакторная авторизация (по желанию пользователя в не критичных случаях и принудительно - в критичных), восстановление пароля - отличные кейсы для смс.

По сути у нас сейчас нет способа иначе проверить пользователя.
Или приложение на ios с биометрией, или одноразовые смс.
При выборе нормального оператора связи - номер телефона это единственный способ связи с пользователем который пользователь не может неосознанно потерять на долгое время.

Comments

[DevMan]

Дмитрий Энтелис особенно легко и непринужденно восстанавливается номер когда ты находишься за рубежом или не можешь выйти из дома.

[Дмитрий Энтелис]

DevMan: я думаю что если человек протерял телефон за рубежом или его заперли в доме и он не может выйти - вопрос доступа к какому то вебсервису он явно будет решать не в первую очередь.

[Dmitry Bay]

Дмитрий Энтелис: а такая проблема - человек находится за границей, и телефон ему включать ой как не хочется, так как 1 смс - -30 рублей, а включишь телефон, и на тебя просто нападают такие смс?

[DevMan]

Дмитрий Энтелис: оба случая из моей личной жизни:
1) приехал в Швецию, и роуминг включен, и счет пополнен, а связи нет.
2) месяц сидел дома с поломаной ногой и ребрами, симка сдохла.
пичальбида и привет клиентбанку с подтверждением операций по sms.

[Дмитрий Энтелис]

Дмитрий Бай: входящие смс бесплатны в международном роуминге у всех мне известных операторов давным давно.

[DevMan]

Дмитрий Энтелис: > подтверждение любых критический действий через смс с одноразовым кодом - давным давно стандарт в банковской индустрии и понемногу проникает в остальные.
a вот и фигушки. нормальные и клиентоориентированные банки не делают подтверждение по sms единственным доступным способом.

[Дмитрий Энтелис]

DevMan:
1) Была такая проблема, правда в азию летал - вопрос решился за 20 минут звонком с резервного телефона в РФ друзьям и просьбой поругаться с оператором связи.
2) Грустный случай, да. Но явно не массовый. Если критически нужно - всегда можно что то сделать.
Можно вызвать нотариуса на дом, написать доверку на друга и восстановить.
Я вообще если честно не представляю как можно жить месяц без сим карты.
Но как я писал выше - случай явно редкий, а вот потери людей если разрешить операции без смс - будут массовые и на порядки больше.

[Дмитрий Энтелис]

DevMan: нормальные клиентоориентированные - это кто?

[Дмитрий Энтелис]

DevMan: я больше того скажу - по протоколу Visa/Mastercard 3DSecure который у нормальных банков строго обязателен при платежах больше 10-15 т.р - смс это в принципе единственный способ подтвердить платеж через интернет-эквайринг

[Константин Б.]

Ну пока убедили, не делать, просто интересно, потому что части пользователей авторизация совсем не нужна, вторая часть это обязательное наличие сот.телефона, так как это единственный нормальный способ связи с ними(половина это люди за от 30, у которых в почте по 5000 не прочитанных писем, а пароль от сайта они помнят только первые 5 сек. при регистрации )

[DevMan]

Дмитрий Энтелис: > а вот потери людей если разрешить операции без смс
не будет никаких потерь, если нормально одойти к вопросу: сейчас обслуживаюсь в двух банках, в которых помимо подтверждения по sms, есть карточка с одноразовыми кодами.

> при платежах больше 10-15 т.р - смс это в принципе единственный способ подтвердить платеж через интернет-эквайринг
не единственный, но, возможно, в банки в России об этом не знают или не хотят заморачиваться.