Sự phân chia, và lý do đằng sau
Danh sách tính năng của hai bên đủ giống nhau tới mức đem so chẳng cho biết gì. Cái khác nhau là phần cứng bạn đang cầm và lượng thông tin màn hình hiện được cùng lúc, và hai thứ đó quyết định mỗi bên giỏi việc gì.
Điện thoại thắng ở những chỗ mà camera, cảm biến vân tay hoặc một thông báo đẩy chính là mấu chốt. Máy tính để bàn thắng ở những chỗ bạn cần nhìn nhiều trường cùng lúc và đối chiếu chúng với nhau trước khi bấm một cái nút không thể rút lại. Gần như mọi khuyến nghị trong bài này đều suy ra từ câu đó.
Cũng nên nói thẳng rằng không bên nào an toàn hơn một cách trừu tượng. Chúng hỏng theo kiểu khác nhau. Trình duyệt là một bề mặt tấn công lớn đang chạy những tiện ích bạn đã quên mất; điện thoại là một vật thể đơn lẻ có thể bị bỏ quên trên taxi. Chọn theo từng việc chứ không theo sở thích mới là thứ thật sự giảm rủi ro.
Xác minh: rõ ràng là app
Xác minh danh tính là một việc chụp ảnh, và điện thoại là cái máy ảnh tốt hơn với khoảng cách rất xa. Nó cũng là phần mềm tốt hơn: một app gốc điều khiển được độ phơi sáng, lấy nét và khung hình nào được tải lên, còn trình duyệt thì nhận gì từ webcam dùng nấy và hy vọng.
Chúng tôi không tìm được nguồn nào so sánh hai đường này, cũng không có con số nào về tỷ lệ thành công, nên hãy coi lý lẽ về camera ở trên là một lý do để thử app, không phải một khác biệt đã đo được.
Nếu xác minh đã trượt hai lần trên trình duyệt, chuyển sang app là thay đổi hiệu quả nhất sau khi đã sửa ánh sáng. Trình tự đầy đủ nằm trong khi xác minh mãi không qua.
Đặt lệnh và rút tiền: rõ ràng là web
Ở bất cứ chỗ nào bạn gõ một con số quyết định lượng tiền dịch chuyển, máy tính để bàn an toàn hơn, và lý do hoàn toàn nằm ở diện tích màn hình và độ chính xác khi nhập.
- Một lệnh rút có ít nhất bốn trường phải đúng cùng lúc — mạng, địa chỉ, memo, số tiền — và màn hình lớn hiện được tất cả cùng lúc kèm cả phí lẫn số thật sự tới nơi. Trên điện thoại bạn phải cuộn, mà cuộn nghĩa là kiểm các trường bằng trí nhớ.
- Dấu thập phân. Một khối lượng lệnh gõ nhầm thì lộ rõ trên màn hình rộng với bàn phím đầy đủ, và dễ trôi qua trên điện thoại. Không phải lỗi của giao diện; ngón cái kém chính xác hơn ngón tay trên phím.
- Kiểm địa chỉ. So phần giữa của một chuỗi ký tự dài với một mục đã lưu là việc làm được trên máy bàn và thật sự khó trên điện thoại, và đó là nguồn gốc của thói quen chỉ kiểm vài ký tự đầu và cuối.
- Thiết lập bảo mật. Danh sách trắng, khoá API và quản lý thiết bị là những màn hình dày đặc và có hậu quả, mà màn hình dày đặc chính là thứ máy bàn sinh ra để hiển thị.
Phiên bản trung thực của mục này: app làm được tất cả những việc trên. Vấn đề không phải khả năng, mà là xác suất bạn tự bắt được lỗi của mình trước khi bấm xác nhận, và cái đó là hàm của việc bạn nhìn được bao nhiêu thứ cùng lúc.
Những việc chỉ app làm được
Thông báo đẩy mới là thứ thật sự, và nó là một tính năng bảo mật chứ không phải tiện lợi. Một lần đăng nhập từ thiết bị lạ, một yêu cầu rút tiền, một thiết lập bị đổi — giá trị nằm ở chỗ bạn biết trong vài giây thay vì biết vào lần tình cờ đăng nhập tiếp theo. Không có gì trên web thay thế được, vì một trình duyệt đã đóng thì không nói gì với bạn được.
Ngoài ra: mở khoá bằng sinh trắc học, chụp giấy tờ bằng camera, quét mã QR cho địa chỉ và cho việc ghép thiết bị, và nhìn chung là trải nghiệm tốt hơn cho cái việc phần lớn người thật sự làm nhiều nhất, là nhìn số dư trong mười một giây.
Nếu bạn có giữ số dư đáng kể nào trên sàn, việc cài app và bật thông báo là đáng làm ngay cả khi bạn không bao giờ đặt lệnh từ đó.
Những việc web làm dễ hơn
Ít được nhắc tới, và nó quan trọng đúng vào lúc bạn cần.
- Xuất lịch sử. Xuất lịch sử giao dịch, nạp, rút và funding được thiết kế cho máy bàn, còn trên di động thì lóng ngóng hoặc không có. Khi cần đối chiếu một vị thế hoặc chuẩn bị giấy tờ thuế, bạn sẽ ngồi ở đây.
- Quản lý khoá API. Tạo khoá, đặt quyền cho nó và ràng nó vào một địa chỉ là việc có hậu quả và thuộc về màn hình lớn.
- Quản trị tài khoản phụ và mọi việc dính tới nhiều tài khoản cùng lúc.
- Đọc điều khoản, bảng phí và các trang quy tắc. Đây là những văn bản dài có bảng biểu. Về mặt kỹ thuật thì đọc trên điện thoại được, và thực tế là không ai đọc ở đó.
Hai giao diện, hai kiểu tấn công
Cái gì hỏng trong trình duyệt
- Vào nhầm trang. Một mẩu quảng cáo tìm kiếm, một dấu trang lưu từ đường link lừa đảo, một tên miền na ná. Trình duyệt sẽ vui vẻ dựng ra một bản sao hoàn hảo của trang đăng nhập. Hãy tự gõ tên miền, hoặc dùng dấu trang bạn tạo từ một phiên đã xác minh.
- Tiện ích mở rộng. Bất cứ thứ gì có quyền đọc nội dung trang đều đọc được tài khoản của bạn. Tiện ích cũng đổi chủ, và một công cụ ngoan có thể trở thành thứ khác sau một bản cập nhật.
- Can thiệp clipboard. Mã độc tráo địa chỉ vừa chép bằng địa chỉ của nó, được chọn sao cho ký tự đầu và cuối gần giống — đúng cái phép kiểm mà phần lớn mọi người thực hiện.
- Máy dùng chung và máy công cộng. Không đáng mạo hiểm với bất cứ việc gì liên quan tới tiền, vào bất cứ lúc nào, vì bất cứ lý do gì.
Cái gì hỏng trên điện thoại
- Ứng dụng giả. Cài từ một mẩu quảng cáo hoặc một chợ ứng dụng bên thứ ba, giống hệt về hình thức, và thu thông tin đăng nhập ngay từ màn hình đầu tiên.
- Mất thiết bị trong khi nó đồng thời giữ app xác thực, tài khoản email dùng để khôi phục, và cái SIM nhận mã. Một vật thể, tất cả các lớp.
- Chiếm SIM. Nếu SMS là lớp xác thực thứ hai của bạn thì kiểm soát số điện thoại là kiểm soát tài khoản, mà số điện thoại được chuyển bằng một quy trình chăm sóc khách hàng chứ không phải bằng mật mã học.
- Bị nhìn trộm màn hình nơi công cộng, nghe thì vặt vãnh cho tới đúng lúc bạn gõ một mã xác thực.
Tải app từ đâu
Chỉ từ trang chính thức trên chợ ứng dụng, đi tới qua chính website của nền tảng, hoặc từ trang tải về trên website đó. Không phải từ quảng cáo, không phải từ đường link trong tin nhắn, không phải từ trang chia sẻ file APK, và không phải từ một kết quả tìm kiếm bạn chưa kiểm chứng.
Một hệ quả của việc số phiên bản khác nhau: khi một bài hướng dẫn ở nơi khác không khớp với thứ bạn đang nhìn, hãy kiểm xem nó mô tả nền tảng nào và phiên bản nào trước khi kết luận tài khoản của bạn có vấn đề.
Lớp xác thực thứ hai của bạn nằm ở đâu
Đây là phần của câu chuyện app-hay-web thật sự quyết định kết cục, và nó thường bị bỏ ra ngoài vì không nhét vừa vào định dạng bảng so sánh.
Nếu app sàn, app xác thực, tài khoản email dùng để khôi phục và cái SIM nhận mã đều nằm trên cùng một điện thoại, thì cái điện thoại đó là điểm hỏng duy nhất cho tất cả. Mất nó không phải là bất tiện; đó là mất mọi lớp xác thực cùng lúc, và quy trình khôi phục theo sau là quy trình chậm nhất mà nền tảng có.
Hai cách sắp xếp khắc phục được mà không tốn mấy công: giữ mã khôi phục của app xác thực ở dạng chép tay và cất ngoại tuyến, và bảo đảm ít nhất một lớp xác thực của bạn nằm ở chỗ khác ngoài cái điện thoại — một thiết bị thứ hai, hoặc một khoá cứng. Chi tiết bật cái gì và theo thứ tự nào nằm trong bảo mật tài khoản.
Một cấu hình dùng đúng cả hai
- Cài app và bật thông báo. Chức năng giá trị nhất của nó là báo cho bạn những việc bạn không làm.
- Làm xác minh danh tính trên app. Camera tốt hơn, mã chụp tốt hơn, ít lần thử lại hơn.
- Rút tiền và chỉnh bảo mật trên máy bàn. Nhìn được nhiều trường cùng lúc nghĩa là có nhiều cơ hội tự bắt lỗi hơn.
- Lập danh sách trắng địa chỉ rút từ máy bàn, rồi dùng nó từ cả hai bên. Chọn một mục đã lưu ăn đứt việc dán địa chỉ, ở mọi kích thước màn hình.
- Giữ ít nhất một lớp xác thực nằm ngoài điện thoại. Nếu không, cái tiện lợi của việc gom hết vào một chỗ cũng chính là kiểu hỏng.
- Lưu dấu trang tên miền thật từ một phiên bạn chắc chắn là chính chủ, và chỉ vào trang qua dấu trang đó.
Những câu hỏi hay gặp sau đó
App có kém an toàn hơn bản web không?
Không, và chính cách đặt vấn đề mới là vấn đề. Hai bên hứng những kiểu tấn công khác nhau. Điện thoại khó bị xâm nhập từ xa hơn và dễ mất về mặt vật lý hơn; trình duyệt thì ngược lại. Hãy dùng mỗi bên cho những việc mà kiểu hỏng của nó không đe doạ.
Làm mọi thứ trên app được không?
Gần như được. Xuất dữ liệu, quản lý khoá API và quản trị nhiều tài khoản là các ngoại lệ thường gặp, và đó đúng là những việc dù sao cũng nên làm trên màn hình lớn.
Vì sao app có tính năng mà web không có, hoặc ngược lại?
Vì hai bên phát hành riêng, theo số phiên bản riêng, và tính năng tới bên này trước bên kia. Đó không phải dấu hiệu tài khoản của bạn có vấn đề.