Klicka på alla bilder som innehåller ett trafikljus. Skriv in de sex siffrorna vi just skickade till din mail. Öppna BankID. Bekräfta att det verkligen är du.
Att använda internet innebär numera att regelbundet bli stoppad och ombedd att bevisa någonting. Det brukar kännas som variationer på samma fråga, men kontrollerna gör egentligen helt olika jobb. En captcha vill veta om interaktionen kommer från en människa snarare än från automatiserad trafik. En engångskod testar om personen har tillgång till rätt mailkonto eller telefon. BankID går betydligt längre och används för att styrka vem personen är.
Det märkliga är därför inte bara att nätet blivit fullt av kontroller. Det är att vi har vant oss vid att passera flera olika sorters digitala gränskontroller utan att särskilt ofta tänka på vad vi faktiskt visar upp.
Trafikljuset bryr sig inte om vad du heter
En klassisk captcha är den minst personliga kontrollen av alla. Sajten försöker enbart skilja en människa från ett automatiserat program och behöver inte någon särskild information om själva personen. Anledningen är att ett formulär som är enkelt för en människa att fylla i också kan fyllas i tusentals gånger av ett program.
Samma sak gäller registrering av konton, kommentarer, biljettköp och inloggningsförsök. Det som för besökaren är ett klick kan automatiseras i en helt annan skala. Därför kom förvrängda bokstäver, enkla matematikfrågor och så småningom bildrutor med övergångsställen, bussar och motorcyklar in i verifieringsbilden.
Men just den välbekanta bildgåtan håller samtidigt på att bli mindre central. Nyare system kan göra en stor del av bedömningen i bakgrunden utan att besökaren behöver lösa någon uppgift alls. Istället analyseras olika signaler från webbläsaren och själva trafiken för att bedöma om beteendet verkar normalt eller avvikande. Först när något väcker misstanke kan en synlig kontroll behövas. Det betyder att vi fortfarande kan bli kontrollerade även när ingen ber oss hitta en brandpost på nio fotografier.
En kod visar något annat
Engångskoden löser ett annat problem. När en tjänst skickar sex siffror till en mailadress eller ett telefonnummer försöker den normalt inte avgöra om mottagaren är människa. Den vill kontrollera att den som försöker logga in också har tillgång till något som hör ihop med kontot.
Ett stulet lösenord kan användas av någon på andra sidan världen. Om inloggningen dessutom kräver något mer än lösenordet får angriparen ytterligare ett hinder att ta sig förbi. När den extra kontrollen bygger på en annan autentiseringsfaktor, exempelvis en separat enhet som användaren har tillgång till, handlar det om flerfaktorsautentisering. Tanken är att ett lösenord inte ensamt ska få bära hela ansvaret för att avgöra vem som får komma in.
Alla extra kontroller är dock inte lika starka. En kod i ett mail eller sms kan själv utsättas för olika angrepp, vilket är en anledning till att säkerhetsmyndigheter rekommenderar starkare alternativ när de finns, exempelvis autentiseringslösningar som är bättre skyddade mot nätfiske. Ur användarens perspektiv ser båda situationerna ändå nästan likadana ut. En ruta dyker upp och vill ha ett svar innan dörren öppnas.
BankID svarar på en betydligt större fråga
Sedan finns det tillfällen då det inte räcker att webbplatsen vet att en människa finns där eller att någon har tillgång till rätt telefon. När vi loggar in på banken, spelar casino online hos Cherry, skriver under ett avtal eller använder vissa myndighetstjänster spelar identiteten i sig roll. Det är där en e-legitimation som BankID kommer in. En identifiering med BankID är tänkt att motsvara att styrka sin identitet med en fysisk legitimationshandling.
Det är alltså en helt annan nivå än att kryssa i att man inte är en robot. Skillnaden blir tydlig om man tänker på ett vanligt kontaktformulär. Företaget bakom formuläret kanske bara vill hindra ett automatiserat program från att skicka tiotusen skräpmeddelanden. Det finns ingen anledning att kräva fullständig identifikation av varje person som ställer en fråga. En bank behöver däremot veta vilken kund som försöker komma åt ett konto.
På nätet får vi flera frågor som vi lätt blandar ihop. Kommer försöket från en människa eller ett automatiserat program? Har personen tillgång till rätt konto eller enhet? Är det verkligen samma person som kontot tillhör? Behöver personen dessutom skriva under något?
Varje extra fråga kostar några sekunder men samtidigt kan avsaknaden av kontroller göra automatiserat skräp, kapade konton och bedrägerier betydligt enklare. Den intressanta utvecklingen går därför inte nödvändigtvis mot fler synliga frågor. Snarare försöker många tjänster flytta kontrollen till bakgrunden och bara störa användaren när det behövs.
