Perché le app con verifica del telefono inviano all'utente un messaggio, piuttosto che l'utente ne invii uno?

È abbastanza facile inviare un messaggio SMS che sembra provenire dal numero di telefono di tua scelta senza effettivamente controllarlo numero. E così l'invio di un SMS da un numero non verifica il tuo ID nello stesso modo in cui ricevi un SMS a un numero.

Poiché nessuno ha menzionato, l'invio di SMS (da parte del cliente) costa, almeno nei paesi in via di sviluppo. Inoltre il server di validazione può essere in un altro paese. Personalmente, non voglio inviare un costoso SMS agli Stati Uniti dal Giappone. Dal momento che il server invia SMS tramite provider di SMS di terze parti, non devono affrontare il costo per SMS.

Il punto di verifica dei messaggi di testo è di confermare il possesso del tuo telefono, non di averti contattato.

L'autenticazione a due fattori di solito richiede qualcosa che conosci (una password) e qualcosa che hai (una chiave di sicurezza, dongle, o il tuo telefono cellulare ecc.)

L'idea è che anche se un truffatore in un'area remota dovesse compromettere la tua password, non sarebbero in grado di derubarti fisicamente del telefono.

In realtà non importa chi invia il messaggio.

Mentre il resto è stato affrontato, mi concentrerò su un piccolo punto:

Sending an SMS could cost the user, and without having local numbers for every country, it could cost a significant amount

Non è così che funzionano gli SMS di invio. Di solito non hai un numero. Utilizzi un fornitore, come ad esempio clickatell.com. Ti danno un'API, che puoi usare per inviare messaggi di testo. Il costo effettivo dipende in genere dal paese, in genere i paesi sviluppati sono meno costosi, ma non quanto sono vicini a te.

In genere puoi scegliere liberamente il mittente mostrato con tali servizi, inclusi i mittenti alfanumerici familiari, come Google. Come non ti aspetti mai una risposta ai messaggi 2FA, non vuoi veramente un numero.

In generale, l'invio di SMS all'utente rende più semplice per il cliente. E tutte le aziende vogliono semplificare le cose per i loro clienti . Considera i seguenti casi:

1. Inserire un codice da 4 a 8 cifre (principalmente) è più semplice che inserire un numero di cellulare di testo e di destinatario nell'app per SMS e inviarlo.
2. Nei luoghi in cui la doppia sim è più importante, un utente potrebbe / potrebbe non avere un pacchetto SMS sul numero di cellulare registrato con il servizio.
3. Alcuni operatori mobili disabilitano le chiamate ISD e gli SMS internazionali per impostazione predefinita e li attivano solo su richiesta. Se l'utente utilizza il servizio di quell'operatore e hai un servizio internazionale, potresti perdere un cliente.
4. Molte persone anziane possono leggere facilmente gli SMS ma hanno difficoltà a inviarli (come fa mia nonna).
5. Come hai detto nella tua domanda, l'invio di SMS costa denaro.

L'aggiunta alla risposta di Mike, sotto potrebbe essere un'altra ragione per non inviare SMS da utente a server.

In questo modo si apre l'interfaccia in entrata del server e si accetta la connessione da una rete non sicura. Ciò potrebbe comportare un rischio elevato rispetto all'invio di SMS dal server, in cui viene aperta solo l'interfaccia in uscita.