QUICK START GUIDE FOR USERS 

 
 

  TEN QUICK STEPS FOR GETTING STARTED 

1. Download  and  install  SAASPASS  from  your  mobile  app  store  (Apple  Store,  Google  Play 
Store, etc) or from h ​ ttps://saaspass.com/downloads.html​. 
2. Open the app and ​create a PIN. 
3. Click GET STARTED​ and read the short in-app tutorial. 
4. Add a recovery number​ by either:  
a. clicking on the red alert message at the top of the screen, or 
b. selecting MOBILE NUMBER in the menu. 
5. Enter your mobile number​ and click ADD. 
6. Once received by SMS text message, a ​ dd the verification code​ and click CONFIRM. 
7. Now  ​provide  your  SAASPASS  ID  to  your  company  admin  to  complete  the  onboarding 
process.  Your  admin  may  either  ask  you  for  your  SAASPASS  ID  (listed  at  the  top  of the menu 
in your app) or email you a verification link prompting you to confirm. 
8. A  section  called  ​COMPANY  APPLICATIONS  should  appear  in  your  SAASPASS  app after you 
are on-boarded by your admin, and you will now have access to any application listed there.
9. Usually,  your  admin  will  ​install  the  Desktop  Client  onto  your  computer,  after  which  a  tiny 
SAASPASS  orca  will  appear  at  the  top  of  your  screen.  This  is  your  SINGLE SIGN-ON CONSOLE 
in  which  all  of  your  applications  are  listed  and  can  be  accessed  with  a  single  click.  Click on it, 
scan  the  barcode  to  login,  then  enter  your  computer’s  password.  This  Desktop  Client  can  be 
installed by any of the following methods: 
a. Your admin distributes a push package to your computer through Active Directory. 
b. Your  admin  installs  the  client  directly  onto  your  computer  (for  computers  without 
Active Directory) and then manually enters a key into your Single Sign-on Console.  
c. A  third  option,  however,  if  your  machine  is  a  personal  computer  and  you  wish  to  add 
and  manage  computer  protection  yourself,  is  for  you  to  download  and  install  the 
desktop client from here: h ​ ttps://saaspass.com/downloads.html​.  
10. Download  the  Browser  Extension  at  ​https://saaspass.com/downloads.html​.  Once  installed, 
your  browser  will  be  able  to  autofill  usernames,  passwords,  and  authenticator  codes  for  any 
of  your  company  Shared  Accounts  as  well  as  any  of  your  personal  apps  and  websites.  Most 
browsers are fully-supported, but the extension works best with Google Chrome. 

   

1 
 

THE BASICS 
 
What is SAASPASS?  
SAASPASS  is  a  security  product.  Once  installed,  your  computer  and  any  applications  paired  with  your 
SAASPASS  ID  will  be  protected with multi-factor authentication. The SAASPASS app on your mobile device 
will  be the “key” used to “unlock” your computer and your applications, and you will manage your account 
from the mobile app, from the Single Sign-on Console on your desktop, and also through the Web Portal.

How do I use it? 

1. From  now  on,  to  login  to  your 
computer  and  company  applications, 
you  will  first  need  to  authenticate  to 
the  SAASPASS  app  on  your  phone 
using  your  fingerprint,  pattern,  or  a 
PIN code you set. 
2. Next,  you  will  use  your  phone  or 
device  to  login  to  your  computer  and 
all  your apps without having to type in 
any usernames or passwords.

What if my phone is lost or disabled? 

There  are  several  methods  for  dealing  with  a  lost  or  disabled  mobile  device,  but  the  most  important 
recommendation we make is to add a recovery phone number during setup.

How does SAASPASS handle my privacy and data concerns? 

In short:  
1. Your  company’s  admin  can  only  manage  the  apps  for  which  he  or  she  provisions  you.  Your 
personal apps that you add, on the other hand, are entirely invisible to the admin. 
2. SAASPASS  acts  as  a  digital  “gatekeeper”  checking  the  validity  of  your  credentials  before  allowing 
you  to  access  each  protected  “gate.”  What’s  behind  that  gate  is  your  business.  SAASPASS  cannot 
know  or  see  any  of  the  credentials  you  store  in your SAASPASS app and these are all encrypted at 
military-grade  standards.  Also,  your  SAASPASS  PIN  code  is  encrypted  and  stored  only  on  your 
device;  SAASPASS  has  no  access  to  it,  nor  to  the  one-time  passcodes  generated  in  your  device. 
Without  these  dynamic  one-time  passcodes,  even  knowing  and  decrypting  your  usernames  and 
passwords  would  be  useless  information.  In  short,  there  is  no  way  for  SAASPASS  to  access  any 
accounts that you protect with SAASPASS. 
   

2 
 

OVERVIEW 
SAASPASS  is  a  powerful  identity  product  used  by  both  companies  and  personal  users.  There  are  many 
features  included  within  the  product  that  can  be used to enhance your security and convenience at work 
as well as at home. 
 
THE SAASPASS EXPERIENCE 
SAASPASS  features  can  be  used  partially  or  individually,  but  when  the product is used in entirety, the full 
SAASPASS employee user experience could look something like in this example: 
 
Bob  works  at  XYZ  Company.  Each  morning,  he  arrives  at  the  office,  opens  his  SAASPASS  app  in  his 
mobile  device,  types  his  PIN  code  into  the  app,  then  uses  the  app  to  scan  the  barcode  on  the  login 
screen  of  his  desktop  computer. Without typing in any usernames or passwords, and without having to 
manually  enter  dynamic  passcodes  off  a  token,  he  is  now  automatically  logged  into  his  computer  as 
well  as  a  desktop  client  (single  sign-on  console)  at  the  top  of  his  computer  screen.  Bob  has  securely 
verified  his  identity  using  strong  multi-factor  authentication  and  all  he  had  to  do  was  sign  into  his 
mobile  app  and  scan  a  barcode  on  his  computer (or login using another method such as the bluetooth 
feature that initiates login when it senses Bob’s proximity). 
 
Next,  by  clicking  the  single  sign-on  console  at  the  top  of  the desktop screen, a list of all Bob’s company 
applications  (i.e.  Salesforce,  Office  365,  Dropbox,  etc)  and  personal websites (Facebook, Amazon, Wells 
Fargo)  is  displayed.  If  he  clicks  on  the  names  of  any  of  these  applications  or websites, again, he will be 
automatically  signed  in  without  ever  having  to  type  in  any  usernames,  passwords,  or  dynamic 
passcodes.  Bob  can  easily  lock  down everything with a single button when he leaves his desk for lunch, 
then  quickly  log  back  in  and  resume  work  when  he  returns.  And  none  of  Bob’s  personal  websites  can 
be  managed,  accessed,  or  even  seen  by  Alice,  Bob’s  company  administrator.  Alice  sees  only  the 
company applications for which she provisioned him. 
 
Bob  returns  home  after  a  relaxing  passwordless  day  at the office and opens his personal laptop. Using 
the  same  SAASPASS  mobile  app  (always  free  and  unlimited  for  personal  use),  he  is  able  to  login  to his 
personal  computer  and  securely  access  all  of  his company and personal apps without every typing in a 
username or password or dynamic passcode.  
 
In  his  free  time,  Bob  is planning a vacation and needs to purchase an airline ticket, so with a single click 
he  logs  into  the website of his favorite airline, Killer Whale Airways. To complete the purchase he needs 
to  enter  his  credit  card  info  and  passport  number,  but  both  his  passport  and  credit  cards  are  in  the 
other  room.  Fortunately,  Bob  has saved his passport details, credit card info, and other sensitive info in 
the  SECURE  NOTES  section  of  his  SAASPASS  mobile  app.  By  clicking  SECURE  NOTES,  then  retyping  his 
PIN as an extra layer of security, he is able to quickly and securely access all of the sensitive information 
he has stored there so that he can complete his purchase. 
 

3 
 

Bob  now  needs  to  set  up  an  online  account  for  the  hotel  where  he  will  stay  during  his  vacation,  the 
Grand  Orca  Hotel.  The  hotel’s  website  supports  SAASPASS  registration  (as  well  as  Facebook,  Twitter, 
and  other  social  login  options),  so  from  the  SAASPASS  mobile  app  Bob  selects  one  of  his  SAASPASS 
PROFILES to autofill and complete the registration application. 
 
He  also  needs  to  create  a  strong  password  for  the  Grand  Orca’s  website,  so  he  goes  to  PASSWORD 
GENERATOR  in  the  SAASPASS  app  where  he  generates  a  strong  password  with  the  desired  number  of 
digits  and  symbols,  then  automatically  copies  and  pastes  it  into  his  PASSWORD  MANAGER,  where  he 
adds  the  hotel  website  and  his username for the site. Now Bob has one-click access from all his synced 
devices to the online account he has with the hotel.  
 
The  same  level  of  security  and  convenience  is  also  applied  within  the  mobile  device  itself.  After  Bob 
closes  his  computer,  he  remembers  that  he  had  needed  to  check  his  bank  balance.  From  the  phone, 
and  within the AUTHENTICATOR section of the SAASPASS app, Bob clicks on ‘Bank of the Sea’--the name 
of  Bob’s  bank.  Suddenly,  Bob’s  username  and  password  are  auto-filled  within  the  phone’s  browser, 
then a dynamic passcode also auto-fills, and Bob is automatically logged in. 
 
While  on  vacation,  Bob  will  still  need  to  check  emails  and  do  some  limited  work,  so  before  leaving,  he 
will  clone  his  SAASPASS  ID  onto  his  iPad  as  a  convenient  backup  in  case  he  loses his phone or drops it 
in  the  ocean.  Even  on  his  whale  watching  cruise,  with  no  Internet  connection,  Bob  will  be  able  to  use 
proximity or manual login to access any files on his laptop securely. 
 
But  Bob’s  vacation  is  still  days  away.  For  now,  with  his  personal  tasks  completed, it’s time for bed. Bob 
logs out and sleeps the sleep of the saved and thankful. 
 
MULTI-FACTOR AUTHENTICATION (MFA) 
Most  experts  agree  that  usernames  and  passwords  are  no  longer adequate for verifying a user’s identity 
securely,  and  multi-factor  authentication  is  now  seen  as  a necessary security requirement for individuals 
and  organizations.  Multi-factor  authentication 
(MFA), also known as “two-factor authentication” 
or  ‘two-step  verification”  is  the  process  of 
requiring two or more of the following factors to 
confirm your identity: 
 
1. Knowledge: Something only you k​ now   
2. Possession: Something only you ​have 
3. Inherence: Something only you ​are 
 
Simply  adding  a  layer  of  MFA  can  dramatically  reduce  the  risk  and  impact  of  a  data  breach  or  identity 
theft,  but  not  every  MFA  solution  is  equal.  For  example,  SAASPASS  does  not  consider  usernames  and 
passwords  as  ​something  only  you  know​.  Because  they  are  inherently  insecure,  we  assume  everyone  CAN 
know your username and password. So, our first factor begins with the PIN... 

4 
 
 
1. Knowledge: Something only you k​ now​ = SAASPASS PIN 
 
The  PIN  used  to  unlock  your  SAASPASS  mobile  app  is  known  only  by  you.  SAASPASS  goes  above  and 
beyond  conventional  best-practice  for  PINs  by  using  our  own  custom-built  keyboard,  rather  than relying 
on  integration  using  the  keyboard  APIs  built  for  the  device’s  operating  system,  as  all  competing  MFA 
solutions  do.  This  means  that  other  apps  downloaded  onto  your  device  cannot  gain  access  then  “listen 
to” your PIN as it’s being typed into your keypad. 
 
Also,  the  SAASPASS  PIN  is  encrypted  and  stored  only  on  your  device.  Even  SAASPASS  is unable to access 
it.  Plus,  SAASPASS  PIN  settings  are configurable. The PIN keyboard can be scrambled, for example, so the 
order  of  the numbers on your keypad are randomly changed each time you open the app. Even someone 
standing  behind  you  or  watching  the  physical  motions  of  your  hands  through  a  video  camera  would  be 
unable to guess your PIN, in this case. 
 
2. Possession: Something only you ​have​ = Mobile Device + Dynamic passcodes 
 
Your  mobile  device  is  something  only  you  have  in  your  possession,  but  more  importantly,  the  dynamic 
one-time  passcodes  generated  (out-of-band)  within  the  device  in  the  SAASPASS  app  are  something  only 
you  have.  Even  if  your  phone  is  stolen,  the  dynamic  codes  are  unable  to  be  accessed  without  both 
unlocking  the  device  (through  a  PIN  or  biometric  --  something  only  you  ​know  or  something only you ​are​) 
plus  unlocking  the  SAASPASS  app  through  an  additional  and  separate  PIN  or  biometric.  Moreover,  each 
passcode  changes  every  30  seconds,  so  even  if  obtained  by  a  cybercriminal,  the  code  would  soon  be 
useless if not used immediately. 
 
3. Inherence: Something only you ​are​ = Biometrics (fingerprint) 
 
As a convenient alternative to the SAASPASS PIN, a fingerprint or other biometric--something you ​are​--can 
be  used  to  unlock  the  SAASPASS  app  under  limited  circumstances--only  if  the  PIN  was  recently  used  to 
successfully unlock the app. 
 
SAASPASS ID 
When  you  get  started  a  new unique SAASPASS ID is generated for you. This 9-digit number works as your 
unique  identification  number  to  which  all  your  user  accounts  are  linked.  Your  smartphone,  tablet,  work 
computer  and  personal  laptop  can  all be paired to your unique SAASPASS ID, and all of these devices can 
be synchronized online. 
 
The  SAASPASS  ID  is  owned  by  the  individual  user,  is  unique  to the individual, 
is  portable,  and  can  be  used  for  both  work  and  personal  use.  The  same  ID 
can  even  be  used  by  a  user  employed  at  multiple  companies.  Because 
corporate  and  personal  data  operate  in  sandboxed  silos,  company  admins 
can  manage  and  configure  user  access  to  their  own  corporate  network,  but 
have  no  access  to  the  employee’s  personal  apps  and  services,  or  another 
5 
 
employer’s  network.  This  allows  a  company  to  extend  the  security  perimeter  of  their  organization to the 
personal data of employees, without compromising the employee’s privacy. 
 
DEVICES SUPPORTED 
SAASPASS  works basically like a traditional lock and key system, where your “key” is your mobile phone or 
other  SAASPASS-enabled  device,  and  the  “lock”  can  be  a  computer,  a  smart lock on your car or home, an 
IoT  device,  and  so  forth.  Basically  any  device  that  runs iOS or Android or other mobile operating systems 
can  operate  as  the  “key”  (Apple  Watch,  iPads,  etc)  and  any  machine  that  runs  Windows,  Mac  OS/OSX, 
Linux,  and  other  operating  systems  can  be  the  “lock”  device.  SAASPASS  works  seamlessly  on  iPhones, 
Android,  Blackberry,  and  over  350  Java  MIDP2  enabled  mobile  phones  have  been  tested  and  certified 
through  our  extensive  internal  quality  assurance  process.  We  constantly  test  and  certify  new  models  as 
they become available. SAASPASS no longer supports Windows phones. 
 
THE KEY​ ​: 
SAASPASS can be installed and/or cloned onto any device that supports: 
● iOS (iPhone, iPad, Apple Watch, etc) 
● Android (Android phones, Android tablets, Android Wear Watches, Kindle Fire, etc) 
● BlackBerry 
● Feature Phones (any device that supports J2ME) 
 
THE LOCK​ ​: 
SAASPASS can be used to secure and authenticate to any device that supports: 
● Windows 
● Mac OS/OS X 
● Linux 
● Custom IoT OS, using our API (i.e. smart locks) 
 
 
 
LOST OR DISABLED MOBILE DEVICE 
There are multiple ways to recover your account in case of a lost or disabled mobile device: 
 
SAASPASS Recovery​: 
The  easiest  method  to  restore  your  account  in  the  case  of  a  lost  or disabled mobile device is to initiate a 
SAASPASS  Recovery.  After  you  obtain  a  new  device,  and  re-activate  your  original  mobile  number  onto  it, 
simply  download  a  new  SAASPASS  app and select RECOVER under EXISTING USER. A verification code will 
be  sent  by  SMS  to  the  number,  and  upon  confirmation,  your  original  account  will  be  restored  onto your 
new device. 
 
When  you  initiate  a  Recovery,  your  SAASPASS  account  will  only  be  restored  on  the  mobile  device  on 
which  you  are running the Recovery. If there is a SAASPASS mobile app associated with your SAASPASS ID 
installed or cloned onto any other device, that SAASPASS app will immediately clear and reset. 
6 
 
 
Also,  after  an  employee  initiates a recovery, his or her access to all personal accounts will be immediately 
be  restored,  but  as an extra security precaution, the employee will still be blocked from all company apps 
and services. To be unblocked, the company admin will need to unblock the employee. 
 
If  you  did  not  pair  your  account  with  a  mobile  number  during  initial  setup,  we  strongly  recommend  you 
do  so  now,  or  this  method  of  restoring  your  account  will  not  be  possible.  Go  to  the  MOBILE  NUMBER 
section in your SAASPASS mobile app and add a mobile number there if you do not see one listed.  
 
Cloning an Account 
Cloning  your  SAASPASS  account  to  a  second  device  (or  multiple  devices)  is  another  way  to  backup  your 
SAASPASS  account.  Using  this  method,  it  is  not  necessary  to  have  a  recovery  number.  If  you  lose  your 
primary  device,  the  account  remains  on  the  cloned  device(s)  from  which  the  account  on  the  primary 
device  can  simply  be removed. If you run a recovery, the SAASPASS account is automatically deleted from 
any other devices. 
 
To  clone  your  SAASPASS  ID  onto  another  device  go  to  SETTINGS  on  the  original  device.  Pick  CLONE 
SAASPASS  ID  and  then  enter  your  PIN  or  Pattern  or  Touch  ID.  This  will  produce  a  cloning  code  and  a 
barcode  that  can  be  scanned.  Download  a  brand  new  SAASPASS  app  onto  the  target  device  and  after 
activating  it,  choose  the  CLONE  option  at  the  bottom  right.  Manually  enter  or  scan  the  cloning  code  on 
your original SAASPASS app. 
 
Other Methods for Temporary Account Access 
If  your  phone is not lost or disabled but is unavailable only temporarily (i.e. you left the device at home or 
its  battery  is  dead  and  cannot  be  charged),  your  admin  may  be  able  to  allow  you  temporary  access  to 
your company accounts by one of the following methods: 
a. Removing  SAASPASS  protection  from  select  computers and apps so that you can simply login with 
your username and password. 
b. Issuing  you  a  hard  token  or  extra  mobile  device  then  temporarily  assigning  all  of  your  company 
apps to the SAASPASS ID associated with that hard token or spare device.   
 
Unrecoverable Accounts and Starting Over 
Lastly,  if  your  mobile  device  is  permanently  lost or disabled, and you’re unable to run a recovery and you 
have  no  cloned  devices,  then  you  will  need  to  download  a  fresh SAASPASS app to a new device and start 
over.  Your  admin  can  reassign  all  of  your  company  accounts to your new SAASPASS ID, but you will need 
to  re-setup  all  of  the  personal  apps  that  you  had  paired  with  your  account.  For  the  personal  password 
managers,  usernames  and  passwords  will  need  to  be  re-entered  into  the  new  SAASPASS  app.  But  for 
personal  authenticators,  you  will  need  to  contact  the  account  provider  for  each  account  (i.e.  Facebook, 
Amazon,  Gmail,  etc)  to  restore  access.  For  this  reason,  SAASPASS  strongly  recommends  setting  up  a 
recovery number.   
 
   

7 
 
Recovery Security 
A  critical  weakness  of  many  security  products  or  features  is  often  the  recovery  process.  Recovery  can 
create  a  backdoor  that  leaves  the  solution  as  a  whole  vulnerable  to  attack.  SAASPASS  has  devised  a 
number of measures to keep our recovery process from being the weak link in the chain:  
● When  a  Recovery  is  initiated  on  a  device,  the  SAASPASS  account  is  always  automatically  deleted 
from all other devices. 
● Because  of  the  risk  of  interception  when  your  verification  code  is  sent  by  SMS  during  SAASPASS 
Recovery,  SAASPASS  uses  a  dynamic  one-time  passcode  for  verification,  so  once  used,  it  is  no 
longer valid, even if it’s intercepted. 
● A  20-hour  delay  period  can  also  be  configured,  starting  from  when  you  initiate  Recovery  to when 
the  verification  code  is  sent  to  you.  In  other  words,  if  you  lose  your  phone,  and  initiate  the 
recovery  process,  the  verification  code  will  not  be  sent  to  your  number  for  20  hours  to  give  you 
time  to  cancel  your  lost  or  stolen  device  and set up your mobile number on a new device through 
your mobile service provider. 
● A customized recovery question and answer can be added as an additional layer of protection. 
● Although  SAASPASS  recommends  that  users  maintain  an  active  Recovery  option,  for  the  most 
concerned  users,  the  Recovery  option  can  be  removed  completely,  so  that  an  account  cannot  be 
restored.  If  Recovery  is  removed,  this  is  an  irrevocable  action  and  cannot  be undone, and cloning 
would be the only way to backup your account.  
 
Some  of  these  added  precautions  make  the  recovery  process  less  convenient,  but  users  can  decide  on 
their  own  what  level  of  security  they  require  and  can  configure  options  to  the  Recovery  process,  as 
needed.  To  do  this,  go  to  the  SETTINGS  icon  in  the  top  right  corner  of  the  mobile  app,  click  RECOVERY, 
then ADVANCED SETTINGS. 
 
 
For any questions, you can always contact us at s​ upport@saaspass.com​. 
 

8