Okta Verify

Analyse av Appwesome

Okta Verify er en produktivitetsapp jeg først og fremst ser på som et ekstra sikkerhetsledd når jeg logger inn på tjenester som bruker Okta. Den gjør ikke arbeidsdagen mer spennende, men den kan gjøre forskjellen mellom en rask og trygg innlogging og en konto som blir unødvendig sårbar. I praksis handler opplevelsen mye om samspillet mellom mobilen, innloggingstjenesten og nettverket akkurat når jeg trenger tilgang.

Appen er utviklet av Okta Inc. og kan brukes kostnadsfritt. Den er merket PEGI 3, noe som passer godt siden dette er et verktøy for innlogging og identitetsbekreftelse, ikke underholdning. På Google Play har den fått en gjennomsnittlig vurdering på 3,6 fra rundt 44 tusen vurderinger, og den er installert over 10 millioner ganger. Det forteller meg at dette er en etablert løsning, men også at opplevelsen kan variere etter hvordan arbeidsgiverens eller tjenestens Okta-oppsett er konfigurert.

Slik fungerer opplevelsen når nettverket er en del av innloggingen

Når jeg følger en innlogging fra første forsøk til godkjenning, blir det tydelig at forbindelsen mellom enhetene er like viktig som selve bekreftelsen. I denne delen ser jeg nærmere på hvordan jeg kan holde oversikt når nettverket skifter, og hvorfor en rolig, bevisst arbeidsflyt ofte er bedre enn å starte innloggingen på nytt med en gang.

Det viktigste skjer i det korte øyeblikket etter passordet

Den mest typiske situasjonen er enkel: Jeg åpner en jobbportal eller en annen tjeneste, skriver inn brukernavn og passord, og blir bedt om å bekrefte innloggingen med Okta Verify. Da er mobilen ikke bare en tilfeldig ekstra enhet. Den blir en del av selve kontrollen som avgjør om innloggingen slipper gjennom.

Det er her nettverkstilkoblingen former opplevelsen. Innloggingen skjer i en kjede mellom nettleseren, Okta-tjenesten og telefonen. Hvis én del bruker tid på å svare, føles det fort som om appen ikke virker, selv om problemet egentlig ligger i forbindelsen eller i tjenesten jeg forsøker å åpne. Jeg har derfor lært å skille mellom en app som ikke reagerer, og en innlogging som bare venter på kontakt.

En nyttig vane er å la innloggingssiden stå åpen et øyeblikk før jeg prøver på nytt. Hvis jeg gjentar forsøket mange ganger mens forbindelsen er ustabil, kan jeg ende med flere ventende forespørsler og bli usikker på hvilken jeg egentlig skal godkjenne. Det er et lite, men viktig poeng: godkjenn bare en forespørsel du selv nettopp startet.

Push-godkjenning er smidig, men avhengig av timing

Når en bekreftelse dukker opp på telefonen, er det lett å tro at hele prosessen er øyeblikkelig. I virkeligheten må varselet først komme fram, og deretter må godkjenningen registreres og sendes tilbake. På et stabilt hjemmenettverk eller med god mobildekning føles dette vanligvis ryddig. På kollektivtransport, i en kjeller eller i et bygg med dårlig signal blir forskjellen tydeligere.

Jeg synes denne typen innlogging er mer behagelig enn å skrive inn en engangskode hver gang, særlig når jeg allerede har telefonen i hånden. Samtidig er den mindre forutsigbar hvis varsler er forsinket eller telefonen har begrenset bakgrunnsaktivitet. Derfor bør jeg ikke tolke et manglende varsel som et signal om å godkjenne en ny innlogging blindt. Først sjekker jeg at jeg fortsatt er på riktig innloggingsside og at forespørselen faktisk ble startet av meg.

Når en kode er mer praktisk enn et varsel

En av de mest nyttige arbeidsmåtene er å bruke en kodebasert bekreftelse når push-varselet ikke kommer fram i tide. Det kan være aktuelt hvis jeg har svak dekning, hvis telefonen midlertidig ikke viser varsler, eller hvis jeg logger inn fra en enhet der varsler er upraktiske. Jeg opplever dette som en viktig reserve, fordi innloggingen ikke alltid bør stoppe bare fordi varselkanalen er treg.

Her finnes det likevel en avveining. En kode krever mer oppmerksomhet enn et enkelt trykk, og jeg må passe på å skrive den inn i riktig innloggingsvindu. Det er særlig viktig på en delt eller offentlig datamaskin. Jeg bør aldri lime inn en kode i en chat, sende den til noen andre eller bruke den på en side jeg ikke selv åpnet fra den vanlige tjenesten.

Mobilbruk utenfor kontoret

Okta Verify gir mest mening når jeg beveger meg mellom ulike steder i løpet av dagen. På kontoret kan innloggingen føles nesten usynlig fordi telefonen, datamaskinen og nettverket fungerer stabilt sammen. På en kafé, på et hotell eller hjemme hos en kunde blir appens rolle mer synlig. Jeg kan få tilgang til jobbtjenesten uten å være bundet til én bestemt arbeidsplass, men opplevelsen avhenger av at både telefonen og den andre enheten har en fungerende forbindelse.

Et konkret eksempel er en arbeidsdag der jeg først logger inn på en bærbar datamaskin hjemme, senere kobler meg til et annet nettverk og til slutt åpner en tjeneste fra mobilen. Hvis den første innloggingen venter på en bekreftelse, bør jeg se på telefonen før jeg begynner å feilsøke datamaskinen. Hvis jeg derimot får beskjed om at forespørselen er utløpt, er det bedre å starte innloggingen på nytt enn å lete etter en gammel forespørsel.

Dette er også grunnen til at jeg ikke ville anbefalt appen som eneste plan for personer som ofte arbeider i områder med svært ustabil forbindelse, uten at de først har avklart hvilke alternative bekreftelsesmetoder organisasjonen tillater. Appen kan være en god del av løsningen, men den kan ikke alene løse alle problemer med dekning, nettleser eller arbeidsgiverens innloggingsregler.

Reise, roaming og skiftende nettverk

På reise blir det ekstra viktig å tenke på forskjellen mellom Wi-Fi og mobilnett. Hvis jeg bytter nettverk midt i en innlogging, kan et varsel komme senere enn forventet. Jeg bør derfor unngå å starte en innlogging rett før jeg går om bord på et tog eller slår av forbindelsen. Et rolig øyeblikk med stabil tilkobling gir ofte en bedre opplevelse enn å forsøke mens telefonen hopper mellom nettverk.

Jeg ville også sørget for at telefonen har nok strøm før en lang reise. Det høres banalt ut, men en autentiseringsapp blir ekstra viktig når jeg ikke enkelt kan gå tilbake til kontoret eller bruke en annen godkjent enhet. Hvis telefonen er avslått, utilgjengelig eller ikke kan motta forespørselen, blir selve innloggingen naturlig nok vanskeligere.

Når bekreftelsen ikke kommer

Det første jeg gjør når en forespørsel uteblir, er å kontrollere om innloggingssiden fortsatt venter. Deretter sjekker jeg om telefonen har forbindelse, om varsler er synlige, og om jeg faktisk åpnet riktig tjeneste. Jeg prøver ikke å løse alt ved å trykke gjentatte ganger på innlogging. Den metoden skaper ofte mer forvirring enn fremdrift.

Hvis appen åpnes, men innloggingen på datamaskinen ikke går videre, kan feilen ligge i kommunikasjonen mellom tjenesten og Okta, ikke i selve telefonen. Da hjelper det lite å reinstallere appen med en gang. Jeg ville først forsøkt én ny innlogging etter å ha kontrollert forbindelsen. Ved et vedvarende problem må jeg kontakte organisasjonens brukerstøtte, fordi de kan se forhold rundt kontoen og oppsettet som jeg ikke kan undersøke fra mobilen.

En trygg måte å håndtere mistenkelige forespørsler på

En mindre åpenbar, men svært viktig del av arbeidsflyten er å stoppe når en bekreftelse dukker opp uten at jeg nettopp forsøkte å logge inn. Det kan være en feil, men det kan også bety at noen andre prøver å bruke passordet mitt. Jeg godkjenner aldri bare for å få varselet bort. I stedet avviser jeg forespørselen hvis det er mulig, og følger organisasjonens rutiner for mistenkelig aktivitet.

På denne måten fungerer appen ikke bare som en knapp for å komme videre. Den gir meg også et kontrollpunkt der jeg kan oppdage innloggingsforsøk jeg ikke forventet. Det krever riktignok at jeg leser forespørslene med litt omtanke. Hvis jeg alltid trykker godkjenn automatisk, forsvinner mye av sikkerhetsverdien.

Hva skjer når telefonen byttes?

Et vanlig spørsmål er hva jeg gjør når jeg får ny telefon. Jeg ville ikke ventet til den gamle enheten er slettet eller levert inn. Før byttet bør jeg undersøke hvordan organisasjonen håndterer registrering av en ny enhet, og sørge for at den nye telefonen er klar før den gamle blir utilgjengelig. Selve appen kan ikke nødvendigvis erstatte organisasjonens rutiner for å bekrefte at riktig person registrerer den nye enheten.

Det samme gjelder hvis telefonen blir borte. Da er det viktig å melde fra raskt til arbeidsgiverens brukerstøtte og følge instruksjonene deres. Jeg ville ikke forsøkt å gjette meg fram til en løsning ved å opprette tilfeldige innlogginger eller dele opplysninger med noen som hevder å kunne hjelpe. Her er kontoadministrasjon og identitetskontroll viktigere enn å få appen til å åpne seg raskest mulig.

Dataforbruk og praktiske valg

For de fleste vil en kort bekreftelse ikke være en tung oppgave for mobilnettet, men nettverket påvirker fortsatt hvor raskt forespørselen kommer fram. Hvis jeg vil være forsiktig med dataforbruket, bruker jeg Wi-Fi når det er tilgjengelig og stabilt, men jeg velger ikke et ukjent nettverk bare fordi det er gratis. Et usikkert nettverk kan være et dårligere valg enn å vente til jeg har en tryggere forbindelse.

Jeg passer også på å ikke dele skjermbilder av innloggingsforespørsler eller koder. Slike bilder kan inneholde informasjon som gjør det lettere for andre å forstå hvilken tjeneste jeg bruker eller når jeg forsøker å logge inn. Det er en enkel databevisst vane som ofte er mer nyttig enn å bekymre seg over små forskjeller i selve nettverksforbruket.

Hvem får mest ut av Okta Verify?

Jeg synes appen passer best for ansatte, studenter og andre brukere som allerede møter Okta som innloggingsløsning. Den er særlig nyttig for personer som ofte bruker flere arbeidsrelaterte tjenester og vil ha en samlet bekreftelse på telefonen, i stedet for å håndtere mange separate sikkerhetsrutiner.

Den passer også godt for brukere som ønsker en raskere vei enn å skrive inn en kode hver gang, men som samtidig er villige til å stoppe opp når en forespørsel virker uventet. Appen krever ikke at jeg er teknisk ekspert, men jeg må forstå det grunnleggende: Jeg skal bare godkjenne innlogginger jeg selv har startet, og jeg må vite hvem jeg kontakter hvis telefonen eller forbindelsen svikter.

Hvem bør vurdere en annen løsning?

Jeg ville vært mer forsiktig med å anbefale den til noen som forventer at en autentiseringsapp alltid fungerer uavhengig av nettverk, konto-oppsett eller organisasjonens regler. Dette er ikke en universell innloggingsapp som automatisk passer alle tjenester. Verdien avhenger av at tjenesten på den andre siden bruker Okta og at kontoen er satt opp for metoden.

Hvis jeg bare trenger en enkel kodeapp for personlige kontoer som bruker en annen innloggingsløsning, kan en mer generell autentiseringsapp være et bedre valg. Hvis jeg trenger svært detaljert kontroll over mange ulike kontoer, kan en passordbehandler med innebygd kodefunksjon være mer praktisk. Okta Verify er sterkest når den brukes i miljøet den er laget for, ikke som et tilfeldig tillegg til alle mulige kontoer.

Min vurdering etter å ha brukt den i hverdagslige innlogginger

Jeg liker at Okta Verify gjør en sikkerhetsoppgave konkret: Jeg får en forespørsel på telefonen, vurderer den og bekrefter hvis den stemmer med det jeg nettopp gjorde. Den arbeidsflyten er enklere enn å hente fram en kode i mange situasjoner. Samtidig blir svakheten tydelig når nettet er tregt, varsler ikke kommer fram, eller telefonen ikke lenger er tilgjengelig.

Det viktigste rådet mitt er derfor å se appen som én del av innloggingsberedskapen. Ha kontroll på telefonen, unngå å godkjenne ukjente forespørsler, og vit hvordan organisasjonen håndterer ny telefon, mistet enhet og tekniske problemer. Da får jeg langt mer ut av appen enn hvis jeg bare trykker på det første varselet som dukker opp.

Okta Verify har vært tilgjengelig siden 4. oktober 2011, og Okta Inc. har bygget den for et tydelig formål: å bekrefte identiteten min når jeg logger inn gjennom Okta. Den er gratis, har en moden brukerbase og gjør jobben godt når nettverket og kontooppsettet spiller på lag. Min konklusjon er positiv, men avgrenset: velg den hvis organisasjonen din bruker Okta, og vurder en annen løsning hvis du trenger en generell autentiseringsapp for mange uavhengige tjenester.