Например, в вашей системе регистрируется новый пользователь. Вводит телефон, имя, фамилию – всё как обычно. А вы, вместо того чтобы просто поверить ему на слово, передаете данные Payfone, чтобы он сверил их с операторскими базами: не куплен ли этот prepaid вчера, а если это контракт, то совпадает ли имя, а если не совпадает, то может ли это быть близкий родственник… В итоге получается некий скоринг и ответ – стоит ли доверять этой анкете.
Или другой пример по другим данным: ваш старый пользователь заходит с нового устройства в личный кабинет. Пароль правильный, но кабинет важный и пускать пользователя просто так боязно, раньше вы для подстраховки отправляли SMS с кодом. А теперь через Payfone вы спрашиваете оператора: а IP-то правильный? Действительно это Bob сейчас через 222.222.222.222 сидит? И если не Bob, то можно и SMS послать, а если Bob, то пользователя не мучить.
Выглядит, конечно, дико неприватно, но операторы на это согласились, сервис работает. Оправдываются они, видимо, тем, что ничего нового не сообщают: если пользователь тот, за кого себя выдает, то он и так всё о себе рассказал, включая IP-адрес, а если пользователь обманывает – ну так и поделом, что его разоблачили. Подлинное имя, разумеется, не раскрывается.
Польза для e-commerce, безусловно, есть. Payfone не бесплатен, но повышение конверсии на каждом этапе куда дороже. С другой стороны, он на 100 % зависим от доброй воли сотовых операторов, а значит, и отдает (или в лучшем случае будет отдавать) им львиную долю своей выручки. Наверное, это обстоятельство и мешает ему стать по-настоящему большим, несмотря на уникальность предложения. За 9 лет жизни Payfone набрал 65 миллионов долларов инвестиций, выручку и прибыльность вроде бы никогда не раскрывал, а последняя оценка стоимости компании – 170 миллионов долларов. Если бы вдруг используемые данные были свои (откуда-то) – стоимость была бы в 10 раз выше.
В 2017 году сервис вышел помимо США на 34 других рынка, финансовые результаты этого неизвестны, но сам факт является несомненным успехом.
Нашей большой четверке, кстати, было бы неплохо такой сервис повторить.
https://www.payfone.com/
(на момент написания из России не открывается)
TRANSMIT SECURITY
Израильский Transmit Security занимается биометрической авторизацией. С точки зрения теории и высокой науки изобретать здесь уже ничего не нужно: и отпечатки пальцев, и распознавание сетчатки глаза, лица или голоса давно сделаны достаточно хорошо и работают у кучи вендоров. Да, у каждого метода есть разнообразные врожденные недостатки, но до уровня «есть сценарий, в котором это полезно» – доведены они все.
Зато с точки зрения практики простор для действий еще огромный – мы каждый день в различных сервисах вводим пароли, пароли, пароли или в крайнем случае одноразовые коды, а биометрию разве что App Store да Apple Pay активно используют в обыденной жизни. Почему так происходит, никто, разумеется, точно не знает. Может быть, достигнутые проценты ложных срабатываний еще недостаточны. Может быть, средний человек еще не так доверяет миру, чтобы скан своей сетчатки хранить в чужом облаке. Может быть, есть какая-то третья причина.
В Transmit Security предположили, что эта причина – нежелание и лень разработчиков, которые просто не хотят заморачиваться хорошими решениями в своих приложениях, и сделали для них API, поддерживающий основные биометрические методы на мобильных телефонах. Веб-сайтам предлагается тоже использовать телефон по схеме «в браузере кликнул, на телефоне подтвердил».
Программисту не надо самому разбираться в довольно-таки сложных материях, можно просто обращаться к чужому сервису, он сделает всё за тебя. Естественно, за деньги, но зато быстро и надежно; программировать биометрическую авторизацию разными методами теперь легко!
Если гипотеза о лени разработчиков верна, то стартапу уготован грандиозный успех. Авторизация нужна всем, за ее надежность сервисы готовы платить, а согласившись однажды, платить придется вечно, смена подрядчика подобной услуги может оказаться чудовищно болезненной – ведь данные о пользователях лежат в его формате, даже если система развернута на наших серверах (Transmit Security это позволяет).
В открытых источниках есть информация о работе TS с двумя израильскими банками, но намекалось, что есть еще секретные клиенты. Инвестиций проект получил 40 миллионов долларов, для API и команды из 30 человек – фантастически много. Однако 2017-й TS прожил без новостей, и это очень плохой признак, Face ID на месте не стоит, время возможностей уходит.
http://www.transmitsecurity.com/
HEXATIER
Жил-был opensource-проект (выражение означает доступность произведения и материалов, использованных для его создания, по свободной / открытой лицензии. – Прим. ред.). GreenSQL. Суть этого GreenSQL – reverse-proxy (тип прокси-сервера, который ретранслирует запросы клиентов из внешней сети на один или несколько серверов, логически расположенных во внутренней сети. – Прим. ред.) для баз данных, в некоторых специфических случаях – полезная штука, но не бомба, ничем не хуже и не лучше десятков других opensource-проектов. (Для тех, кому слова reverse-proxy ни о чем не говорят: GreenSQL ставится как прослойка между базой данных и всем остальным миром и всё общение с базой данных пропускает через себя.) Был этот opensource-период давно, и все его следы уничтожены, возможно, они даже зарабатывали на консалтинге и кастомных решениях, а возможно, чистый opensource держался на энтузиазме.
В общем, в какой-то момент opensource надоел, его авторы захотели денег и придумали гениальную идею. Технологии не покупают за дорого, высокую цену готовы платить за решения и продукты – так давайте сделаем решение и продукт. Мы будем говорить, что мы продаем Аудит и Безопасность, а не какое-то там proxy. В чем смысл продукта? Через нас проходят все запросы, вот мы и будем их защищать и аудировать. Одна настройка проверяет входящий поток на SQL-injections («на хакеров»), другая – исходящий поток на неправильный контент (мат, что ли, имеется в виду?), третья не дает выкачать из базы пользовательские пароли в открытом виде. Четвертая…
В общем, настроек у них было много, и часть из них действительно делала систему более защищенной. Да, конечно, всё, что можно было сделать без вреда для производительности, и так уже было в самой базе данных, а то, чего не было, в большинстве случаев тормозит. Но что с того? Ну, стал процесс идти чуть медленнее, кого это волнует? Клиент-то теперь – предприятие, а не программист-красноглазик.
Работала система с MS SQL и MySQL и его вариациями, использовать ее можно было как в облаке, так и на собственных серверах. Были предустановки в AWS, Azure, Google Cloud и Rackspace.
Как они соскочили с GPL, я, кстати, не понял, но продукт стал полностью коммерческим. Они даже переименовались в HexaTier, чтобы ничто не связывало их со старым миром.
Большой базы пользователей у них, кажется, так и не появилось, но тем не менее в 2017 году они смогли продаться Huawei за 42 миллиона долларов. Корпорация продукт похоронила, новых версий не будет, продажи остановлены. Впрочем, это уже решение новых хозяев, основатели свои деньги получили.
