Разница между доставкой кодов авторизации в голосе и через сторонние приложения

И коды в голосе (когда их озвучивает робот при входящем/исходящем звонке), и сторонние приложения для генерации кодовых комбинаций довольно активно используются при организации двухфакторной аутентификации. Какой же вариант из этих двух выбрать? Возможно, вы сможете определиться после их сравнения по некоторым параметрам ниже.

Доступность (или охват)

При использовании приложений для доставки кодов (примеры: Google Authenticator, Twilio Authy, Microsoft Authenticator, Duo Mobile) есть одно серьезное ограничение/условие. Для того чтобы получить код, пользователь должен иметь устройство, с операционной системой (платформой), которое поддерживается приложением. Из-за этого такой вариант больше подходит для случаев, когда бизнес сможет обеспечить это для всех пользователей (например, при организации безопасного входа в корпоративные системы).

В случае же с доставкой кода в голосе таких жестких ограничений нет. Входящий/исходящий звонок может быть сделан на любой телефон (включая стационарный). А значит, доступность способа для пользователей значительно выше.

Удобство

В плане удобства перевес, можно сказать, на стороне доставки кодов через приложения. Согласитесь, далеко не всегда пользователю удобно и комфортно принять или совершить звонок, чтобы прослушать голосовое сообщение с кодом.

Безопасность 

При использовании доставки кода в голосе кодовые комбинации генерируются «на лету» на стороне сервиса. Перехватить их довольно сложно (для этого нужно организовать прослушку телефона, а в случае с цифровой связью это очень трудно).

Разработчики приложений тоже заботятся о безопасности. Но все-таки иногда возникают некоторые вопросы. Например, из-за простоты процедуры экспорта токенов при использовании Google Authenticator могут иметь место риски информационной безопасности при попадании смартфона не в те руки. А в популярном приложении Duo Mobile вообще не предусмотрена защита входа. Так что, при выборе нужно тщательно изучать информацию о приложении для авторизации.

Подключение и взаимодействие с обслуживающими сервисами

При рассмотрении этих критериев можно говорить о паритете. В обоих случаях для подключения сервисов можно использовать API. За счет этого они точно настраиваются под нужды конкретной компании-пользователя.

Идеального способа нет. У любого из вариантов найдутся свои сильные и слабые стороны. Анализируйте их перед выбором.