Что мешает вашему приложению разрешить одновременный вход в систему на нескольких устройствах

В 2023 году совместное использование нескольких устройств стало необходимостью для большинства людей. Под руководством Apple различные производители терминалов строят свои собственные экосистемы совместного использования устройств, включая, но не ограничиваясь, передачей изображения на экран, общим буфером обмена, обменом данными между устройствами и т. д. в рамках одной и той же экосистемы.

Текущее состояние#

Даже в этом неизбежном тренде многие программные компании не поспевают за сотрудничеством между устройствами. На самом простом уровне многие приложения не поддерживают возможность входа в систему с одного и того же аккаунта на нескольких устройствах. Когда мы говорим о многопользовательском входе в систему или одновременном входе в систему, мы имеем в виду вход в систему с одного и того же аккаунта на нескольких устройствах одновременно, где состояние входа в систему на разных устройствах не влияет друг на друга и имеет независимый и полный доступ.

Для этих приложений, которые не поддерживают одновременный вход в систему, обычный подход - это автоматически выйти из аккаунта на первом устройстве в момент успеха входа в систему на втором устройстве, не информируя пользователя.

Использование автоматического входа в систему для удобства может показаться полезным для пользователей, но это может вызвать проблемы в дальнейшем использовании. Например, если вы были автоматически выведены из системы на одном устройстве и вам снова нужно использовать его вскоре, вам может потребоваться пройти дополнительные шаги безопасности, такие как ввод SMS-кодов верификации или распознавание лица. Эти дополнительные шаги могут принести больше неудобств, таких как необходимость определенного освещения или поз для распознавания лица, и также несут с собой некоторые риски.

Возможно, вы задаетесь вопросом, какой подход будет предпочтительнее? Лучший подход - это информировать пользователей о том, что они могут войти в систему только на одном устройстве одновременно. В случае конфликта пользователь должен иметь возможность решить, какое устройство удалить или отменить попытку входа в систему на новом устройстве. Таким образом, пользователи имеют больше контроля над ситуацией.

Проблемы и потенциальные решения#

Мы проанализировали приложения, которые в настоящее время не поддерживают одновременный вход в систему, и нашли некоторые потенциальные проблемы, с которыми они сталкиваются, мы пытаемся выявить эти проблемы и предложить свои возможные решения.

Требования к соблюдению нормативов#

В некоторых странах и регионах приложения определенных категорий (например, мессенджеры и социальные сети) требуют регистрации по настоящему имени для соблюдения нормативных требований.

Как приложения реагируют на требования соблюдения нормативов?#

В ответ на такие требования различные приложения приняли разные стратегии:

• требуют регистрации по настоящему имени
• разрешают регистрацию, но предоставляют доступ только к определенным функциям после проверки настоящего имени
• косвенно выполняют требования по настоящему имени с помощью методов, таких как обязательная привязка банковских карт для приложений для платежей

С учетом существования этих требований решения, принятые различными приложениями, различаются. Одно можно подтвердить точно - нет приложения, которое предотвратит создание пользователем нескольких аккаунтов на своей платформе. Иными словами, они не накладывают технических ограничений на использование нескольких аккаунтов на разных устройствах, даже если аккаунты принадлежат одному и тому же владельцу.

Размышления и возможное решение#

Если изначальной целью регулирования было отслеживание использования аккаунтов и устройств по уникальному ID аккаунта, текущие протоколы авторизации и технологии все еще могут определить, какое конкретное устройство инициировало действие, даже когда один аккаунт вошел в систему на нескольких устройствах.

Включение многопользовательского входа в систему не обязательно исключает отслеживаемость регулятивных органов. С правильными техническими реализациями действия аккаунта, исходящие с каждого устройства, все еще могут быть отличены и отслежены. Следовательно, регулированию можно следовать, не накладывая ограничения на использование одного устройства пользователями.

Вопросы роста бизнеса#

Мы считаем, что этот вопрос не стоит обсуждать подробно - у каждой компании есть свои причины для коммерческих решений.

Реальный случай, о котором мы узнали#

Однако, как мы знаем, некоторые компании в начале своего развития поощряли пользователей создавать несколько аккаунтов в качестве стратегии роста. Позже эти компании вступили в новую фазу, где по техническим и бизнес-причинам им потребовалось объединить данные по нескольким аккаунтам пользователя, что потребовало от их команд потратить годы на хорошее объединение аккаунтов.

Что бы мы делали, если бы это были мы?#

Хотя создание пользователями нескольких аккаунтов выглядит хорошим для краткосрочного роста, в долгосрочной перспективе становится сложно для пользователей управлять данными по аккаунтам, и компаниями бороться за извлечение ценной информации из многих неактивных "зомби-аккаунтов". Это будет вредить пользовательскому опыту и увеличивать операционные затраты.

Так что, хотя стимулирование множественных аккаунтов на пользователя может временно раздуть показатели роста, оно создает технический долг и портит пользовательский опыт в долгосрочной перспективе.

Причины безопасности#

Возможно, самым убедительным аргументом для издателей приложений, обосновывающим для пользователей, почему одновременный многопользовательский вход в систему не поддерживается, являются соображения безопасности.

Многие люди могут принять это объяснение без дальнейших размышлений, но мы попытались найти настоящие причины.

Действующие меры безопасности#

Давайте рассмотрим банковские приложения, которые имеют строгие требования к безопасности. Когда вы открываете такое приложение, первый шаг - войти в систему. Многие банковские приложения предлагают удобство использования Face ID или отпечатка пальца для разблокировки и доступа к приложению. Однако для более чувствительных операций, таких как крупные финансовые транзакции, необходимы дополнительные шаги проверки для обеспечения безопасности. Эти шаги часто включают различные формы многофакторной аутентификации (MFA) и официальные онлайн-сервисы проверки идентификации, предоставляемые доверенными третьими сторонами, часто государственными учреждениями.

Важно отметить, что большинство методов МFA могут только подтвердить, что текущий пользователь имеет доступ к устройству, но они не могут гарантировать, что пользователь - законный владелец аккаунта. Возможно, у кого-то есть учетные данные аккаунта, полученные другими способами. Однако онлайн-сервисы проверки идентификации третьих сторон эффективно решают эту проблему. Сочетание использования МФА и проверки идентификации третьей стороной для операций высокого риска позволяет смягчить многие риски безопасности, связанные с многопользовательским входом в систему.

Что еще мы можем делать с точки зрения продукта?#

На данный момент мы не нашли никаких технических препятствий, которые бы помешали поддержке многопользовательского входа в систему с точки зрения безопасности. Если текущие меры на одном устройстве могут обеспечить безопасность, расширение до поддержки на нескольких устройствах не вводит дополнительные риски безопасности.

Мы пришли к выводу, что нет технических барьеров для поддержки одновременного входа в систему с точки зрения безопасности. Кроме того, если можно надлежащим образом поддерживать безопасность на одном устройстве, нет серьезных проблем в расширении поддержки на несколько устройств. Это может быть решено без каких-либо значительных проблем.

Однако некоторые меры продукта могут помочь еще больше улучшить безопасность (предполагает, что одновременный вход в систему уже поддерживается):

1. Автоматически выходить из системы на устройстве, если в течение определенного периода времени нет активности.
2. Поддерживать управление состояниями входа в систему и мониторинг действий на всех устройствах на каждом устройстве. Это позволяет пользователям, при необходимости, принудительно выйти из системы на других устройствах, чтобы обеспечить безопасность.
3. Отправлять уведомления о подозрительной активности на устройства, так что пользователи могут оценить, являются ли это вредоносными действиями, и заблокировать их при необходимости.

Существует ли какое-либо готовое решение, которое может помочь решить эти проблемы?#

Что касается первых двух вопросов, мы не будем слишком расширяться, поскольку они включают в себя бизнес- и регулятивные соображения. Однако, если вы ищете решение для идентификации, поддерживающее одновременный вход в систему, стоит проверить Logto!

В первом вопросе упоминалась необходимость отслеживания, с какого устройства исходит каждая активность. Существующие журналы активности пользователей Logto уже записывают информацию об устройстве, которая может помочь пользователям Logto выполнить требования по соблюдению нормативов в этой области. Поскольку требования к соблюдению нормативов отличаются в разных регионах, могут возникнуть противоречия между регулятивными правилами в разных областях. Если у вас есть какие-либо специальные потребности, не стесняйтесь связаться с командой Logto.

Что касается второго вопроса об объединении аккаунтов, мы хорошо осознавали сложности и важность многократных методов входа в систему для каждого аккаунта при проектировании Logto. Наши потоки входа в систему и регистрации стараются предотвратить создание избыточных аккаунтов, позволяя доступ к одному аккаунту разными методами, такими как Google, электронная почта, имя пользователя/пароль и т. д.

Что касается "онлайн-сервисов проверки идентификации третьих сторон", упомянутых в третьем вопросе, пользователи Logto могут интегрироваться с третьими сторонами для получения этого.

Основное внимание Logto уделено обеспечению совместимости МФА с основными методами (будет выпущено в 2023H2, подпишитесь на нашу рассылку, чтобы быть в курсе!), и сочетание конфигураций с нашим существующим опытом входа в систему (Глава1, Глава2). Мы очень приветствуем любые сценарии использования МФА, чтобы поделиться с нами - они станут важными ссылками для нашего финального продукта. Любая функция Logto следует трем принципам: безопасна, по возможности проста в использовании и решает проблемы пользователей. С помощью нашей мощной конфигурации опыта входа в систему пользователи могут легко построить работоспособный поток входа/регистрации за несколько минут. Logto УЖЕ поддерживает вход в систему на нескольких устройствах. Когда МФА будет готово, Logto может поднять пользователей на более высокий уровень безопасности!