Kako deluje prijava brez gesla — ena koda za prijavo in preverjanje WhatsAppa

Vsako geslo, ki ste ga kdaj ustvarili, je majhno breme, ki nekje sedi v bazi podatkov — vaši ali tuji. Ponovno uporabljena gesla, šibka gesla, ukradena gesla: večina prevzemov računov se še vedno začne s poverilnico, ne z ranljivostjo ničtega dne. WALLAWHATS se tej celotni kategoriji izogne tako, da gesel sploh nima. Prijavo in preverjanje WhatsAppa upravlja isti mehanizem: ena sama 6-mestna koda, poslana na cilj, ki ga nadzorujete vi.

To ni le bližnjica za uporabniško izkušnjo. Pomeni, da v trenutku, ko ustvarite račun, hkrati dokažete, da ste lastnik telefonske številke ali predala, na katerega bodo čez nekaj sekund pristala opozorila o objavah na X-u (Twitterju).

Kaj »brez gesla« tukaj dejansko pomeni

Prijava brez gesla ni nova zamisel — banke že leta uporabljajo kode SMS, večina upraviteljev gesel pa vas že potiska k čarobnim povezavam. Kar je pri implementaciji WALLAWHATS drugačno, je to, da ista enkratna koda, ki vam omogoči vstop v račun, hkrati preveri tudi cilj, na katerega bodo prihajala vaša opozorila. Po prijavi ni ločenega koraka »potrdite svojo telefonsko številko«, skritega nekje v nastavitvah. Lastništvo in pripravljenost za dostavo se vzpostavita v enem samem koraku.

Konkretno:

1. Na zaslonu za prijavo vnesete e-poštni naslov ali številko WhatsApp.
2. WALLAWHATS ustvari 6-mestno številčno kodo in jo pošlje na ta cilj.
3. Kodo vpišete nazaj v aplikacijo znotraj kratkega časovnega okna veljavnosti.
4. Ob uspehu ste prijavljeni — in če je bil cilj telefonska številka, je ta zdaj potrjen kanal, pripravljen za prejemanje opozoril.

Nobenega gesla, ki bi ga bilo treba izbrati, si zapomniti, menjavati ali ga izgubiti. Nobenega postopka »pozabljeno geslo«, ker gesla ni bilo nikoli treba pozabiti.

Mehanika: Cognito Custom Auth, ne dodatna knjižnica OTP

V ozadju to teče na toku Custom Authentication storitve AWS Cognito — ne na dodatku OTP tretje osebe, nastavljenem nad tradicionalnim bazenom uporabniško ime/geslo. Za delovanje sodelujejo trije Lambda sprožilci:

• PreSignUp samodejno potrdi nove uporabnike ob prvem poskusu prijave s ciljem, ki ga sistem še ni videl. Ločenega obrazca »ustvari račun« ni; prijava z novim e-poštnim naslovom ali številko je ustvarjanje računa.
• CreateAuthChallenge ustvari 6-mestno kodo, jo shrani na strežniški strani s kratkim TTL-jem in jo posreduje na cilj — prek WhatsAppa, če ste vnesli telefonsko številko, sicer po e-pošti.
• VerifyAuthChallengeResponse preveri kodo, ki ste jo vnesli, glede na izdano kodo, zavrne pretekle ali neujemajoče poskuse in omeji število ponovitev.

Ker vse to teče znotraj upravljanega avtentikacijskega stanja storitve Cognito, veljajo standardna zagotovila: žetoni imajo kratko življenjsko dobo, tokove osveževanja upravlja ista infrastruktura, ki varuje preostanek platforme, poleg tega pa ni lastne kode za sejne žetone, ki bi jo bilo treba pregledovati zaradi običajnih napak (predvidljivi ID-ji, nezadostna entropija, manjkajoča preverjanja poteka veljavnosti), ki pestijo domače implementacije tipa »pošlji jim kodo po e-pošti«.

Zakaj ista koda opravi dve nalogi

Večina storitev obravnava »dokazati, kdo ste« in »dokazati, da lahko tu prejemate sporočila« kot dva ločena koraka — registracija z geslom, nato ločeno preverjanje telefonske številke za obvestila. WALLAWHATS ju združi, ker gre pri produktu za opozorila v resnici za isto vprašanje, postavljeno dvakrat.

Če bo WALLAWHATS dostavil sporočilo WhatsApp na določeno številko, mora vedeti dve stvari: da je številka resnična in dosegljiva ter da jo oseba, ki se prijavlja, dejansko nadzoruje. 6-mestna koda, poslana natanko na to številko in pravilno vpisana nazaj, hkrati odgovori na obe vprašanji. Ni scenarija, v katerem bi bili »prijavljeni«, vaš cilj WhatsApp pa nepreverjen, ker je bila prijava hkrati preverjanje.

Enaka logika velja za e-pošto. Prijavite se z e-poštnim naslovom, tam prejmete kodo, jo vpišete nazaj — zdaj ste prijavljeni, ta predal pa je potrjen cilj za e-poštna opozorila (ki na vsakem paketu vključujejo tudi izrisan posnetek vsakega tvita ob besedilu).

Zakaj je to varneje, kot se zdi

Prijava brez gesla zveni, kot da bi morala biti manj varna — brez gesla, brez trezorja. V praksi zapre več najpogostejših načinov, na katere pride do zlorabe pravih računov:

• Brez credential stuffinga. Ni ponovno uporabljenega gesla iz vdrte strani, ki bi ga napadalec lahko preizkusil ob vaši prijavi v WALLAWHATS, ker gesla, ki bi ga bilo mogoče ukrasti, sploh ni.
• Brez napadalne površine ponastavitve gesla. Velik delež prevzemov računov se zgodi prek postopka »pozabljeno geslo« — napadalec, ki nadzoruje vaš predal, povsod ponastavi vaše geslo. Odstranitev gesel v celoti odstrani ta tok.
• Temelji na posesti, ne na spominu. Koda dokaže, da imate ravno zdaj dostop do telefona ali predala, ne da ste si pred meseci zapomnili (ali zapisali, ali ponovno uporabili) neko skrivnost.
• Kratkotrajna in enkratna. Kode hitro potečejo in se po enkratni uspešni uporabi izničijo, za razliko od gesla, ki ostane veljavno, dokler ga ročno ne spremenite.

Kompromis je, da dostava prek WhatsAppa ali e-pošte postane del kritične poti vaše prijave — če izgubite dostop do obeh, obnova računa sledi istemu modelu preverjenega cilja, namesto rezervnemu mehanizmu »varnostna vprašanja«, ki je zgodovinsko najšibkejši člen sistemov na osnovi gesel.

Kako se to primerja s tradicionalnim geslom in ločenim preverjanjem OTP

Običajen tok izgleda takole: izberete geslo, potrdite e-pošto prek ločene povezave, nato pa kasneje v nastavitvah preverite telefonsko številko za SMS ali potisna obvestila. To so tri ločene točke dokazovanja, tri ločena mesta, kjer lahko kaj zastara — nepreverjena telefonska številka, ki tedne obtiči v računu, geslo, identično tistemu, ki ga uporabljate na štirih drugih storitvah, povezava za potrditev e-pošte, ki je potekla, preden jo je kdo kliknil.

WALLAWHATS to skrči na eno točko dokazovanja na cilj. Dodate številko WhatsApp, koda, ki jo prejmete za njeno preverjanje, pa je odslej ista koda, s katero se na tej napravi prijavljate. Ni nepreverjenega stanja, ki bi obviselo v zraku, ker račun in cilj skupaj dosežeta »preverjeno«.

To tudi pomeni, da je zamenjava ali dodajanje cilja preprosto… prijava z novim. Želite dodati drugo preverjeno številko v paketu Business ali Enterprise? Vnesete jo, prejmete kodo, jo potrdite. Brez ločenega obrazca »dodaj telefonsko številko«, skritega tri menije globlje.

Postavitev: kaj boste dejansko videli

Na wallawhats.com/signup vas sistem vpraša za eno samo stvar: e-poštni naslov ali številko WhatsApp. To je cel obrazec.

• Vnesite številko WhatsApp in koda v nekaj sekundah prispe kot sporočilo WhatsApp — po istem kanalu, ki bo kasneje prenašal vaša opozorila o X-u.
• Vnesite e-pošto in koda pristane v vašem predalu — uporabno, če se želite prijaviti z deljene ali službene naprave, ne da bi se dotaknili osebnega WhatsAppa, ali če e-pošto nastavljate kot svoj kanal za opozorila.

V obeh primerih dobite zaslon, ki vas prosi za 6-mestno kodo, jo vpišete in ste na nadzorni plošči. Od tam lahko kadar koli dodate drug kanal (recimo številko WhatsApp, potem ko ste se registrirali z e-pošto, ali obratno) na strani Channels — vsak nov cilj gre skozi isto enkratno preverjanje s kodo, preden lahko prejema opozorila. Če niste prepričani, katero vrsto številke WhatsApp uporabiti za to, naš vodnik Business vs Personal number razčleni kompromise.

Ni nastavitve računa, kjer bi telefonska številka obstala »dodana, a nepreverjena«. Vsak cilj je bodisi opravil svoj lasten izziv s kodo, bodisi ni povezan z vašim računom.

Opomba o tem, kaj to ni

Za natančnost glede varnostnega modela: to je avtentikacija z enkratno kodo prek kanalov, ki jim že zaupate (WhatsApp, e-pošta), ne večfaktorska avtentikacija v tradicionalnem pomenu »geslo plus drugi faktor«. Razlika je pomembna. Tradicionalni MFA doda drugi neodvisni dokaz nad geslom. Model WALLAWHATS nadomesti geslo s posestjo komunikacijskega kanala — kar je drugačen kompromis tveganja, ne pa strogo močnejši v vsaki dimenziji. Za storitev obvestil je to pravi kompromis, saj je bistvo v tem, da za uporabo produkta itak že potrebujete preverjen cilj; ponovna uporaba tega koraka preverjanja za prijavo odstrani trenje, ne da bi odstranila pomembno varnostno plast, saj plasti na osnovi gesla nikoli ni bilo.

Če izbirate med kanali tako za prijavo kot za opozorila, naš email vs WhatsApp comparison obravnava kompromise glede hitrosti dostave in stopnje branja, ki veljajo tudi za kode za prijavo — kodo WhatsApp boste opazili v nekaj sekundah; e-poštna koda tekmuje z ostalo pošto v vašem predalu.

Zakaj je to pomembno prav za produkt za opozorila

Za produkt, katerega edina naloga je »zanesljivo dostaviti sporočilo na izbrani cilj«, se identiteta in cilj ne smeta razhajati. Če bi bila prijava in preverjanje kanala ločena sistema, bi se lahko znašli prijavljeni v račun, katerega številka WhatsApp je bila dodana pred leti, jo je operater morda medtem dodelil nekomu drugemu, ponovno pa ni bila nikoli potrjena. Vezava prijave na svežo kodo, poslano neposredno na cilj, pomeni, da to tveganje po zasnovi ne obstaja — ne morete biti prijavljeni prek kanala, ki trenutno ni dosegljiv, ker je prav dosegljivost tista, ki vas je prijavila.

To tudi pomeni, da obnova računa v običajnem primeru ne zahteva prijave v podporo. Izgubili ste telefon? Prijavite se z e-pošto — enak tok, enaka enkratna koda, vaš cilj WhatsApp pa (ko ga ponovno preverite na novi napravi) nadaljuje natanko tam, kjer je ostal.

Kaj se zgodi, ko koda ne prispe

Vsak sistem, ki dostavo prepusti omrežju tretje osebe — operaterju, lastni infrastrukturi WhatsAppa, ponudniku e-pošte — mora predvideti, da koda ne bo prispela takoj. Nekaj praktičnih opomb o tem, kako je to urejeno:

• Veljavnost je kratka, in to namerno. Koda, veljavna več ur, je večja tarča kot tista, veljavna nekaj minut. Če vaša poteče, preden jo vnesete, zahteva nove takoj izniči staro kodo.
• Ponovno pošljite, ne prepisujte. Če je sporočilo WhatsApp zamujalo za nekaj sekund (običajno ob konicah pošiljanja) ali je e-pošta pristala v mapi z vsiljeno pošto, zaslon za prijavo ponudi možnost ponovnega pošiljanja, namesto da bi vas prisilil v neskončno čakanje na prvi poskus.
• Omejevanje hitrosti ščiti obe strani. Ponavljajoče se zahteve za kodo na isti cilj so omejene. To ni le ukrep proti zlorabam za WALLAWHATS — hkrati preprečuje, da bi en sam račun po nesreči preobremenil dostavne sisteme WhatsAppa ali ponudnika e-pošte, če se nekje višje v verigi agresivno ponavljajo poskusi.
• Zamenjajte kanal, če je eden nedosegljiv. Če vaš telefon nima signala, vi pa sedite za prenosnikom, se prijavite z e-pošto — to je popolnoma neodvisna pot do istega računa, ne rezerva, odvisna od tega, da poskus prek WhatsAppa najprej spodleti.

Nič od tega ni značilno le za WALLAWHATS; gre za enako operativno realnost, ki jo mora upoštevati vsak sistem na osnovi OTP. Razlika je v tem, da ker je koda hkrati preverjanje vašega kanala, vam uspešna prijava pove, da je vaš cilj za opozorila trenutno dejaven — kar geslo nikoli ne bi moglo.

Pogosta vprašanja

Se lahko za prijavo uporabljata tako WhatsApp kot e-pošta? Da. Vsak je ob prvi uporabi preverjen neodvisno, kasneje pa vas kateri koli od njiju spravi v isti račun.

Ali nova koda izniči moj kanal WhatsApp, če prijave ne dokončam? Ne. Nedokončan ali potekel poskus prijave ne vpliva na že preverjen kanal — pomemben je le pri prvem preverjanju novega cilja.

Kaj, če želim kasneje spremeniti telefonsko številko? Novo številko dodajte kot kanal na strani Channels; skozi lastno enkratno kodo gre, preden lahko prejema opozorila. Vaša stara številka ostane nedotaknjena, dokler je ne odstranite.

Je to enako kot dvofaktorska avtentikacija prek SMS? Ne povsem. Tradicionalni SMS 2FA je drugi faktor, dodan nad geslom. Tukaj je koda celoten avtentikacijski mehanizem — pod njo ni gesla, ki bi mu bilo treba dodati drugi faktor.

Kako začeti

Prijava brez gesla ni ločena funkcija, ki bi jo bilo treba nastaviti — je preprosto način, kako prijava v WALLAWHATS deluje, na vsakem paketu od Free navzgor. Če opozoril še niste nastavili, vodnik v našem vodniku za začetek pokriva celotno pot od prve prijave do prvega opozorila WhatsApp.

Nikoli več ne zamudite pomembne objave. Ustvarite brezplačen račun — 1 številka WhatsApp, opozorila v realnem času, brez potrebne kreditne kartice.