...
Proceso | Descripción | Servicios implicados | Puntos de acceso |
Registro de usuario | El registro de usuario corresponde al proceso actual de registro de información del usuario en la base de datos de SPIN | Servicios existentes de SPIN |
|
Solicitud de vinculación del dispositivo | Con base en la información del usuario se genera un código de activación que es enviado al dispositivo seleccionado. Para el envío del código se podrían considerar varios medios: Código QR, E-mail, SMTP, o Notificación Push | Activation service (Nuevo)
| getActivationCode
|
Access Service (Revisar) |
| ||
Autenticación de usuario | Se verifica que el usuario sea el dueño del dispositivo a vincular al ingresar el código de activación recibido previamente, si coinciden, se genera la semilla para la generación de OTP, y se envía al dispositivo (Revisar mecanismo) | Activation service | GenerateOTP |
Token service | createFactor | ||
Access service | send | ||
Vinculación de dipostivo | El dispositivo recibe la semilla y después de ser verificada se asocia al teléfono (considerar IMEI) | Activation service | BindDevice |
Access service | validate | ||
Token service | validate | ||
Ejecución de transacción | El cliente envía a información de la transacción al servidor, el servidor coordina con el cliente el factor de autenticación y el cliente envía el nuevo factor. Si el factor es válido se ejecuta la transacción. | Activation service
| getEntityFactor validateOTP
|
Token service | createChallenge validateChallenge | ||
Access service | send |
Contexto actual de una solicitud de una OTP:
Aspectos a considerar
Toda la comunicación entre los dispositivos debe estar adecuadamente cifrada. (Revisar especificaciones regulatorias)
No se deben almacenar datos en medios sensibles de estar expuestos a menos que se encuentren cifrados. Se usará HSM en AWS.
Si es necesario almacenar u obtener datos del dispositivo móvil, se procurará dar lineamientos para que no puedan ser falseados o interceptados.
La longitud del token y la ventana de tiempo se deben validar con el usuario.