Caller autentificering vs. engangskoder

Engangskoder (OTP’er) er en standard sikkerhedsfunktion i online-apps og -tjenester.

Når brugerne forsøger at logge ind, modtager de en engangskode via SMS eller e-mail (eller via en autentificeringsapp, hvis de er lidt mere avancerede). De indtaster koden i et bekræftelsesfelt, og siden giver dem adgang.

Dette fungerer godt ved login på hjemmesider, men det kan skabe unødvendige forhindringer under et telefonopkald.

Lad os se på, hvordan OTP'er kan sammenlignes med eID-baseret autentificering af opkaldere.

Sådan fungerer engangskoder ved opkald

Når en opkaldende skal verificeres, sender systemet eller medarbejderen en tidsbegrænset kode til det registrerede telefonnummer eller den registrerede e-mailadresse.

Den, der ringer, indtaster koden på tastaturet som svar på en IVR-prompt eller mens kontaktcentermedarbejderen venter.

Uanset hvad kontrollerer systemet, om den indtastede engangskode er korrekt, hvorefter opkaldet kan fortsætte.

I sjældne tilfælde kan medarbejderen bede den, der ringer, om at sige engangskoden højt. Dette er generelt dårlig praksis, da det kan normalisere deling af din engangskode med andre (noget, der på det kraftigste frarådes, fordi det er præcis sådan, OTP-baserede svindelforsøg fungerer).

Engangskoder er velkendte for alle, der er vant til at logge ind på digitale tjenester eller bekræfte køb online.

Men telefonopkald indfører en særlig hindring i processen. Den, der ringer, bruger allerede telefonen til at tale med medarbejderen, så det tager tid at skulle tjekke sin SMS eller e-mail for engangskoden, og det kræver, at man skifter fokus midt i samtalen.

Sådan fungerer eID-autentificering af den, der ringer

eID-baseret autentificering af den, der ringer, bygger på nationale eID-apps, som de fleste borgere allerede bruger.

Sådan ser processen ud:

1. Medarbejderen udløser autentificeringsanmodningen.
2. Opkaldstageren modtager anmodningen i sin eID-app og bekræfter den på sin enhed.
3. Medarbejderen ser, at bekræftelsen er gennemført, og samtalen fortsætter.

Det er velkendt, ligetil og pålideligt.

For en mere uddybende gennemgang kan du læse: "Hvordan fungerer opkaldsgodkendelse egentlig?"

Opkaldsgodkendelse vs. engangskoder: side om side

Her kan du se, hvordan engangskoder sammenlignes med eID-opkaldsgodkendelse.

Hvornår giver engangskoder mening?

Engangskoder giver en mere sikker verifikation end både sikkerhedsspørgsmål og nationale ID-numre. Den underliggende metode er solid: Engangskoder genereres dynamisk og er begrænset til en kort verifikationsperiode.

Problemet med engangskoder er selve leveringskanalen.

SMS-beskeder er sårbare over for SIM-swapping og SS7-angreb, mens e-mails typisk er ukrypterede og kan aflyttes eller læses af enhver, der har adgang til en kompromitteret indbakke. Og så er der phishing, hvor en tredjepart udgiver sig for at være en person, du stoler på, og beder om engangskoden over telefonen.

Ud over disse sikkerhedsrisici er engangskoder ikke særlig praktiske for den, der ringer, da vedkommende skal jonglere med en kundeservicemedarbejder, en indbakke eller en SMS og indtaste en kode via tastaturet.

Det næste skridt

Engangskoder blev primært udviklet til den digitale verden, hvor man logger ind på hjemmesider og godkender transaktioner.

Men telefonopkald er et andet miljø. At bede opkaldere, der er midt i en samtale, om at vente og tjekke for en kode og huske den længe nok til at indtaste den, skaber en helt unødvendig friktion.

eID-baseret opkaldsautentificering håndterer verifikationen via en velkendt app på den opkaldendes enhed uden forsinkelser i leveringen eller besvær med tastaturer.

Hvis du leder efter en verifikationsmetode, der er bedre egnet til telefonopkald, kan vi hjælpe dig med at komme i gang.