Как авторизироваться в этом приложении

Мобильная авторизация

1. Нажмите значок меню (☰) в верхнем правом углу приложения, затем нажмите «Настройки» → «Инструменты авторизации».

2. Нажмите на плитку Приложения IKO и выберите устройство, которое будет использоваться для мобильной авторизации.

3. Нажмите кнопку «Подтвердить» и на следующем экране введите код, полученный предыдущим способом (код SMS / код с карты одноразового кода).

Как включить мобильную авторизацию на сайте iPKO?

1. Перейдите в «Настройки» → «Авторизация» и нажмите «Изменить инструмент авторизации».
2. Выберите мобильное приложение IKO в качестве инструмента авторизации, который вы хотите использовать. Вы можете дополнительно включить вход на веб-сайт iPKO в IKO (так называемая двухэтапная проверка) и нажать Далее.
3. Выберите устройство, которое будет использоваться для мобильной авторизации, и на следующем экране введите код, полученный предыдущим способом (код / ​​код SMS с карты одноразового кода).
4. Войдите в IKO на устройстве, указанном выше, и подтвердите активацию мобильной авторизации.

Как включить мобильную авторизацию на сайте Inteligo?

1. Перейдите в Данные и настройки → Карты, Мобильная аутентификация, SMS и нажмите Изменить инструмент авторизации
2. Выберите мобильное приложение IKO в качестве средства аутентификации. Вы также можете разрешить вход на веб-сайт Inteligo в IKO (так называемая двухэтапная проверка) и нажать «Далее».
3. Выберите устройство, которое будет использоваться для мобильной авторизации, и на следующем экране введите код, полученный предыдущим способом (код / ​​код SMS с карты одноразового кода).
4. Войдите в IKO на устройстве, указанном выше, и подтвердите активацию мобильной авторизации.

Как изменить телефон, который вы будете использовать для мобильной авторизации?

Все, что вам нужно сделать, это на вашем телефоне с активным приложением IKO, с которого вы подтверждаете транзакции:

1. Нажмите значок меню (☰) в верхнем правом углу приложения и выберите «Настройки» → «Инструменты авторизации».
2. Вы перейдете на плитку Приложения IKO и выберите новое устройство, которое будет использоваться для мобильной авторизации.
3. Нажмите «Подтвердить» и перезапишите 6-значный код или сканируетеQR-код между измененными устройствами.

Примеры операций, которые можно подтвердить с помощью мобильной авторизации на веб-сайте iPKO / Inteligo или на горячей линии:

• Заказы на банковский перевод (включая платежи через Интернет, «Płacę z iPKO/Płacę z Inteligo» — я оплачиваю через iPKO / Плачу с Inteligo) и постоянный заказ — заказ / изменение / отмена
• Подтверждение транзакции по карте в рамках услуги 3D-Secure
• Подача запроса и подписание договоров на продукты, например, счет, сберегательный счет, карту, кредит, детский счет PKO и т. д.
• Добавить / изменить / удалить определенного получателя
• Расторжение/ модификация депозита
• Погашение кредита
• Активация / отправка / изменение PIN / временная блокировка дебетовой / кредитной карты
• Вход на сайт /PUE ZUS
• Создание и авторизация инструкций с использованием доверенного профиля
• Изменение настроек
• Изменение персональных данных
• Пополнение телефона

Как можно подтвердить мобильную транзакцию с помощью авторизации в IKO?

В зависимости от типа операции и ее суммы авторизация будет заключаться в:

• Одном нажатии на кнопку в push-уведомлении или приложении
• Вводе ПИН-кода для приложения
• Биометрии

Мобильное приложение IKO и веб-сайт iPKO представляют собой услугу электронного банкинга.

10 способов сделать авторизацию и аутентификацию в приложении

Авторизация в приложении на телефоне гарантирует, что в случае утери аппарата посторонний человек не получит доступ к финансовым программам, корпоративным ресурсам, хранилищам и CRM. Часто пользователи пренебрегают рекомендациями экспертов в сфере кибербезопасности. Это приводит к утечке коммерческой тайны и несанкционированному изменению информации. Рассмотрим распространенные способы реализации авторизации и аутентификации в приложениях на смартфонах.

Как идентифицировать пользователя

Необходимость в авторизации возникла сразу после появления персональных компьютеров, которые мог приобрести и установить любой желающий. Ещё более актуальной она стала при появлении ноутбуков и смартфонов. Это мобильные устройства, поэтому есть риск их физической утери. Отсутствие идентификации в этом случае — прямая угроза получения доступа к защищённым данным.

Разработчики используют такие способы авторизации в мобильном приложении.

1. Логин и пароль

Наиболее простой и доступный вариант. Логин идентифицирует пользователя, а пароль подтверждает его право входить в приложение. Можно использовать PIN-код, но с его помощью не получится пройти идентификацию. Он служит только для авторизации.

Этот способ проверки легко реализовать программно, но он не очень гибкий и безопасный. Часто пользователи используют одинаковые или слишком простые пароли, которые легко взламываются.

2. Шифрование

Разновидность предыдущего варианта. Логин и пароль, которые вводит пользователь, шифруются и передаются по сети на сервер. Там происходит проверка на подлинность, после чего человек получает разрешение на вход. Благодаря передаче данных в зашифрованном виде исключаются их перехват и подмена.

3. Single-Sign-On

Этот способ дает возможность пройти авторизацию в приложении один раз и входить в него после этого по упрощенной процедуре. Для этого после проверки пароля доверенный сервер выдает токен, после чего операции проводятся уже с ним.

Такой способ удобен, когда программа на смартфоне постоянно обращается к защищенной базе данных, и при каждом запросе нужно знать, кто его отправляет.

4. Touch ID

Вариант защиты с использованием биометрических данных пользователя. Наиболее распространенный вариант — идентификация и авторизация по отпечатку пальца. Узор уникален, вероятность ошибки практически нулевая. Если сканер не срабатывает, разработчики предусматривают возможность входа по PIN-коду или графическому ключу.

5. Face ID

Уникальный способ авторизации, который используется только на устройствах от Apple на iOS. Смартфон «узнает» человека с помощью специальной камеры, после чего разрешает или не разрешает входить в программу.

Идентификация по лицу обеспечивает высокий уровень безопасности. От разработчика требуется только интегрировать эту возможность в корпоративное ПО и связать программу с сервером, который распределяет права доступа пользователей.

6. Мультифакторная

Увеличить безопасность при входе в программу на телефоне можно с помощью SMS API и двойной проверки пользователя. На первом этапе используется логин и пароль, который идентифицирует человека. На втором он получает одноразовый PIN-код в SMS, которым подтверждает владение определенным номером телефона. Альтернативой коду может быть телефонный звонок.

Этот способ универсален и эффективен, поэтому часто используется для входа в корпоративную сеть. Единственный минус — усложненный процесс авторизации, который может раздражать пользователей.

Примеры реализации

Самый простой способ защиты — сделать вход в приложение по паролю и логину. Но он не дает достаточной гибкости для использования в бизнес-сфере. Корпоративным пользователям необходима аутентификация с помощью API. Она дает несколько плюсов, которые наглядно видны в примерах.

Пример 1

Компания, которая занимается доставкой продуктов из супермаркетов, пользовалась услугами большого количества курьеров. Ей понадобился способ безопасной авторизации десятков пользователей. При этом нужно централизованно менять пароли, устанавливать уровни доступа к CRM и запрещать вход в корпоративное ПО удаленно.

Все эти возможности реализовали с помощью программного интерфейса. Приложение собственной разработки для смартфона требовало для авторизации логин и пароль, которые выдавались пользователю в корпоративном чате. После авторизации доступ сохранялся в течение рабочего дня. Работник мог видеть только информацию для выполнения его обязанностей.

В случае прекращения трудовых отношений доступ автоматически аннулировался. Происходил выход из клиента CRM, а новый пароль система не выдавала.

Пример 2

Компания по обслуживанию бытовой техники и электроники на дому выдавала заявки своим мастерам в приложении на смартфоне. Для защиты корпоративной информации они решили использовать двойную аутентификацию.

Для входа в приложение пользователь должен ввести табельный номер и пароль. После этого на зарегистрированный в системе учета кадров номер приходил код, который сотрудник должен ввести дополнительно. Только после этого он получал доступ к нужным данным. Все эти возможности добавили с помощью API, который позволил интегрировать разные программы и сетевые ресурсы в единую систему.

Целостная корпоративная экосистема

Для бизнес-пользователей необходим удобный подход к использованию информационных решений и персонализация программных инструментов. Реализовать эти возможности можно через CPaaS-платформу МТС Exolve.

Сервис предоставляет удобный программный интерфейс API, с помощью которого можно связать любые каналы, цепочки и прочие коммуникации. При этом будут учтены интересы разработчика, бизнеса и клиента.

API-авторизация в мобильном приложении через МТС Exolve позволяет:

• повысить безопасность удаленного использования корпоративных ресурсов
• реализовать сложные сценарии обеспечения безопасности данных с учетом корпоративной политики

объединить разрозненные части IT-инфраструктуры в целостную систему с двусторонним обменом данными и общей авторизацией

Платформа дает возможность подключать API-токены с правами, которые потом можно копировать на локальную машину. Далее код создается с использованием этого ключа. К каждому программному интерфейсу можно привязывать разрешения. Подобной гибкости невозможно достичь с помощью стандартных инструментов.

PUSH-авторизация в сервисах с помощью мобильного приложения

Мы рады представить сообществу сервис PushAuth, который позволяет Вашим клиентам авторизироваться с помощью PUSH-сообщений на мобильном устройстве!

Эта идея не новая и многие компании в своих приложениях уже используют эту технологию. Всё выглядит достаточно просто, пока не рассматриваешь вопросы: безопасности, менеджмента устройств и клиентов, совместимости и комфортной работы.

Как возникла идея?

Мы используем очень много сервисов: email, социальные сети, CRM-системы, системы контроля доступа, клиент-банки и тд. У каждого из сервисов, как правильно, для доступа необходимо использовать логин/email и пароль. Можно уже сделать вывод, что:

1. Практически у каждого из нас есть email.
2. Пароли в большинстве случаев везде одинаковые. (Будем считать, что мы не используем сторонние сервисы, такие как 1password и другие)

Исходя из двух пунктов, хотелось:

1. Использовать этот один email для авторизации.
2. Не использовать пароли вообще.

Что из этого вышло?

Мы в мобильных приложениях для регистрации не используем паролей вообще. Да, нет необходимости запоминать ещё один пароль. Для регистрации/авторизации в мобильном приложении достаточно ввести только email, на который прийдёт письмо со ссылкой для подтверждения действия. После следующего ввода email — Вы автоматически войдёте в приложение без регистрации.

Какие виды авторизации?

Сейчас доступно два основных вида запросов на авторизацию:

1. Push вопрос на авторизацию, в котором клиенту необходимо дать ответ: Да или Нет. Для данного способа доступен сервис routing, о котором чуть ниже.
2. Безопасный Push-код, которые владелец сервиса сам отправляет в мобильное приложение клиента по средству сервиса PushAuth.
3. QR-авторизация, которая позволяет сканировать код мобильным приложением клиента и пройти авторизацию. Данный способ уже на стадии закрытого тестирования мобильными приложениями и в ближайшее время так же станет доступен.

Мобильные приложения

• Для доставки PUSH-сообщений на Android & iOS мы используем FireBase Cloud Messaging. Все данные передаваемые от мобильного приложения к серверу PushAuth подписываются HMAC SHA-256, персональными приватными ключами.
• Мобильное приложение имеет дополнительно защиту PIN-кодом (TouchID-паролем), что повышает уровень безопасности от несанкционированного доступа.
• Мы планируем разрабатывать SDK, которое позволит использовать функционал API в Ваших мобильных приложениях.
• Клиенты могут иметь сразу 10 устройств, на которые смогут прийти PUSH-запросы. Ответив на одном из устройств, на остальных устройствах ответы на Push игнорируются. Мы планируем прятать Push-сообщения на других устройствах при ответе на одном.

Приложения уже доступны:

Backend

Для владельцев сервисов доступна детальная статистика об статусах авторизации их клиентов. Вы можете создавать для каждого сервиса свой отдельный Application и следить за его использованием. Кроме того, Вы можете настроить Web-хуки, которые будут отправлять данные об авторизации:

• QR-кодов
• Push-запросов
• TimeOut ответов клиентов

Где это можно использовать?

CRM

Начнём наш полёт фантазии с IT-сервисов, например тех же CRM-систем, где есть необходимость подтверждать действие сотрудника. Например, благодаря сервису routing, возможно сделать так, что для подписания документа, необходимо подтверждение руководства. Таким образом картина в целом выглядит так:

1. Сотрудник инициирует действие и получает PUSH-запрос и отвечает Да.
2. Его непосредственный начальник получает PUSH-запрос и отвечает Да.
3. Выше стоящий руководитель получает PUSH-запрос и отвечает Да.
4. Результатом всех действий будет Да

Если на каком-то этапе кто-то ответит Нет, то следующее вышестоящее звено не получит PUSH-запрос и общим результатом запросов будет ответ Нет

Выше мы описали работу сервиса routing с очерёдностью. Но данный сервис возможно использовать и без очерёдности. Это означает, что все звенья цепочки (сотрудники) получат одновременно PUSH-запрос. И только если все из них ответят положительно, только тогда общий результат запросов будет положительным.

Web-site

Двух-факторная или простая одно-факторная авторизация на сайте может упростить или обезопасить доступ к внутренним ресурсам. Например для доступа к web-панели администратора того же WordPress, когда Вы даёте доступ своему подрядчику/разработчику и хотите строго контролировать его по средству Push-запросов авторизации.

OS

Используете SSH/telnet доступ? Либо хотите открывая крышку ноутбука получать запрос об авторизации? Тогда этот сервис будет просто идеальным вариантом.

Инженерия и оборудование

Вы можете дополнительно в промышленных масштабах реализовать доступ к объектам (сейф, лифт, турникет, сигнализация) с помощью мобильного приложения.

Безопасность

Это самый важный вопрос в этом сервисе. Стоит обратить на такие вещи, как обмен данными между Сервисом пользователя Сервер PushAuth Приложение клиента.
Все данные передаются over HTTPS (TLS), с подписью HMAC, алгоритмом SHA-256. У каждого клиента и пользователя сервиса есть своя пара Public & Private Key. Публичный ключ в нашем случае необходим для идентификации в общем сетевом хранилище и может передаваться в открытом виде. Приватный ключ передаётся надёжным способом. В случае мобильного приложения — все ключи передаются только через APN/GCM. Таким образом мы обеспечиваем дополнительную защиту на уровне сертификатов данных сервисов.

API и библиотеки

Мы описали детальное API, для работы с сервисом. Генерация и отправка запроса, получение ответа и декодирование данных. Всё доступно по ссылке.

На данный момент одна из основных задач — это написание библиотек для работы с сервисом для снижения порога вхождения пользователями сервиса. Поэтому сейчас уже доступны:

Мы нуждаемся в: Python, Go, Ruby, Node, .NET — библиотеках. А так же в PHP, фреймворк-пакетах, напр под WordPress, Laravel и другие. Для авторизации в Linux через SSH/Bash LogOn, необходим so-модуль.

Если Вы заинтересованы помочь проекту — мы будем рады предоставить PREMIUM 6 month account.

Авторизация в мобильном приложении на iOS или Android

Авторизация — это процесс подтверждения прав на совершение определенных действий. Обычно она используется в приложениях, где нужно ограничить доступ к данным: например, личным перепискам, банковским реквизитам, документам и т.д.

Прежде чем внедрять авторизацию в свой сервис, определите для какого функционала она нужна. В корпоративном приложении без нее, скорее всего, совсем не обойтись. В свою очередь, в интернет-магазинах вход в личный кабинет обычно не обязателен для покупки, но требуется для начисления бонусов. Даже во многих банковских приложениях без авторизации доступны geo-карта с банкоматами, уведомления, курсы валют, чат с поддержкой. При этом нужно сохранять данные, введенные неавторизованным пользователем, чтобы ему не пришлось заполнять их повторно.

К примеру, создавать презентации можно с помощью приложений Microsoft PowerPoint или Canva, при этом вход в аккаунт требуется только в последнем. Это объясняется спецификой Canva — онлайн-доступ к своим работам без привязки к конкретному устройству.

Способы авторизации в мобильном приложении

Механизм авторизации зависит от ряда факторов, в том числе от требуемых сроков разработки и от того, с каких устройств пользователи будут заходить в приложение. Ниже перечислим наиболее распространенные способы идентификации.

Номер телефона + SMS-код. Способ удобен тем, что пользователю не надо запоминать пароль для входа. Хотя боты научились обходить и такую авторизацию с помощью специальных сервисов и могут исказить маркетинговые показатели, сделать это все равно сложнее, чем с логином или почтой, например.

Желательно предусмотреть автоподстановку кода из SMS:

• iOS: через настройку textContentType у поля ввода (подробнее тут);
• Android: через SmsRetriever, также можно получить с устройства номер телефона и предложить пользователю для быстрого ввода.

Email + пароль. Этот простой способ авторизации существует давно, при его реализации можно воспользоваться готовыми решениями для backend-части. Для того чтобы пользователям не нужно было запоминать свои пароли, предусмотрите автоподстановку. Например, на iOS можно использовать механизм аналогично пункту выше, на Android — механизм autofill. Очень часто при таком варианте авторизации используется одна пара «Email – пароль» на все случаи жизни, а это небезопасно.

Логин + пароль. Похож на способ «Email + пароль», но менее удобен из-за необходимости запоминать и пароль, и логин. Возможны и другие затруднения, например, для использования того или иного распространенного имени или фамилии в качестве логина, скорее всего, к ним придется добавлять дополнительные символы.

Email + код. Этот способ, как правило, не очень удобен пользователям, поскольку требует доступа к почте. Однако, он достаточной безопасный, поскольку позволяет отказаться от постоянного пароля. Кроме того, если сервис представлен в веб- и мобильном приложении (например, корпоративный мессенджер), то для входа в аккаунт на компьютере сотрудникам не понадобится телефон. Для упрощения авторизации можно с помощью механизма deep linking направить пользователя на нужный экран в почтовом клиенте.

Уникальный код. Для данного способа нужно продумать, насколько критична потеря кода и как часто он меняется. Например, на предприятии можно использовать QR-код для автоматической фиксации смены. Если сотрудник потеряет его, то другой человек просто не сможет воспользоваться им по назначению.

Социальные сети. Для пользователя преимущества этого способа в том, что можно не заполнять повторно данные, которые уже указаны в профиле. Определите, будете ли вы реализовывать привязку аккаунтов разных социальных сетей друг к другу в личном кабинете. Она нужна для того, чтобы человек мог авторизоваться как один пользователь и через Facebook, и через ВК, например. В iOS такое приложение также должно поддерживать механизм Sign In With Apple, а в Google — Google Sign-In. Иначе ревьюеры этих систем могут не разрешить публикацию сервиса в их магазинах.

Биометрия. Это один из самых быстрых способов авторизации. Она осуществляется с помощью индивидуального временного идентификатора, присваиваемого пользователю — токена. Период его активности не должен быть слишком длинным, чтобы обеспечить безопасность авторизации. При этом слишком короткий период будет вынуждать пользователя каждый раз входить заново, если он свернул приложение. Это может вызвать его недовольство.

PIN-код. Чаще всего используется на старых телефонах, где нет биометрии.

Sign In With Apple / Google Sign-In. В этом случае можно использовать данные аккаунта для входа и дальнейшей работы в сервисе, чтобы сэкономить время пользователя: от него требуется только Touch ID или код-пароль. Способ подходит для тех случаев, когда важно сохранить прогресс или цифровые покупки дополнений: например, в игре. При потере устройства или его замене можно восстановить привязанные приложения.

Google Account Manager. Дополнительный механизм к авторизации позволяет реализовать единый вход при установке нескольких приложений одного производителя. К примеру, если у вас есть два приложения для покупки авиабилетов и бронирования отеля, пользователю будет достаточно авторизоваться в одном из них.

Что ещё нужно учесть

• Определите, как будут связаны авторизация и регистрация. Самый удобный сценарий для пользователя — не задумываться о том, что из этого ему необходимо. Допустим, в приложении мы реализовали способ «Номер телефона + SMS-код» и изначально даем возможность ввести номер телефона для входа. Если его нет в базе данных, система предложит ему ознакомиться с пользовательским соглашением и политикой конфиденциальности, зарегистрирует и вышлет SMS-код для подтверждения.
• Продумайте периодичность автопродления токена авторизации и что произойдет по истечении сессии. Если пользователь давно не активен, необязательно возвращать его на экран входа. Иногда достаточно заблокировать доступ к части функционала, оставив пользователя на текущем экране: это актуально для магазинов, например. Для выхода из авторизованной зоны будет действовать тот же механизм.

Заключение

При разработке приложения мы рекомендуем продумать, какие функции требуют авторизации, а какие — нет. При этом в зависимости от особенностей проекта важно учитывать такие факторы, как простота и стоимость реализации, безопасность, удобство для пользователя.

Больше о наших решениях в мобильной разработке читайте в нашем портфолио.