BioCatch：借助用户的操作习惯来验证用户身份

如果你到国外旅游，或是换了一个新的IP地址，肯定会遇到下面这种情况：你的电子邮件服务提供商（比如微软，Google，以及Facebook）要求验证你的身份才能允许登录，你需要回答一些安全问题，或是给你几张照片让你挑出自己的好友。

即便这个账号是你的，但是你仍然需要证明自己，因为你的网页邮件服务状态是不正常的。用安全人士的行话来说，他们把这种状况叫做“误报（false positive）”或冲突，也就是说，一个合法登录的登录行为，却被识别成一个黑客攻击、欺诈、或是盗号的行为。这种情况经常发生，无论是终端用户，还是IT系统管理员都感到非常头疼。 

以色列初创公司BioCatch希望通过“认知生物统计”来消除误报现象。 Uri Rivner是BioCatch公司业务发展部经理，当笔者采访他的时候，他递给我一部平板电脑，然后让我做了一件看上去非常简单的事儿：拖拽屏幕上的一个对象，从A点到B点，反复重复十几次。实际上，这种简单的点击和拖拽操作，计算机用户每天都要做很多次，但是BioCatch却从中了解到关于用户的很多东西。

事实证明，我们点击并移动对象的方式，还有我们对每个现代计算机，浏览器，以及网站嵌入的人机界面使用方式，都是不一样的，每个人的操作方式就像指纹，是独一无二的。举个例子，左撇子操作鼠标的方式和右撇子完全不同，当不同用户“抓住”一个图标时，每个点，每个角度，等等，都是不一样的。通过分析用户会话，并且创建一个个性化的资料（每个用户十个会话足够了），BioCatch可以快速发现异常，并确定这个用户是否能在当前计算机中使用自己的帐号，并且能够判断出是否是黑客或诈骗犯。据Rivner透露，BioCatch消除误报和冲突的成功率大约为80%到90%。

BioCatch的用户资料由数百个变量组成，分布在四个层级上面。第一层是设备和网络，由IP地址，硬件类型，用户地理位置，以及其他传统变量所组成。不过，BioCatch的真正兴趣是在第二层，在实体资料层上，该公司会评估一些操作行为，比如手势运动，手眼协调能力，以及根据操作方式定位设备的类似变量，这些操作可以是用手指进行，也可以用鼠标进行，BioCatch都能判断的出来。

第三层是认知资料层，在这层上，速度，平均会话长度，典型连接次数，以及“应用程序流”，这些要素会结合其他变量一起被评估。举个例子，当某个用户登录到自己的银行账户，他们通常会看看自己的账户余额，查查自己购买的股票信息。如果那个用户一登录就直接进行转账交易，那么就会引起BioCatch的注意了。

最后一层被用来证实用户身份的，它有一个很酷的名字，被称为“隐形挑战”。BioCatch会在会话中故意设置一些障碍，比如让鼠标光标瞬间消失，或是牵引光标的移动和角度。因为每个人对这些操作的反应是独一无二的，所以这些反应也可以被用来识别用户身份，这样用户再也不用回答一些无聊的问题了，比如，你妈妈的娘家姓什么？或是自己养的第一个宠物叫什么名字？等等。

所有这些参数都会给有一个分数，最终结果会显示在应用的黄绿色和红色区域里面，如果红色特别多的话，那么安全经理就要提高警惕了。BioCatch甚至还可以评估我们与用户密码登录框的交互方式，他们分析的结论也非常有趣，57%的用户在输入万用户名之后，会使用Tab键切换到密码输入框；46%的人则会使用鼠标点击，切换到密码输入框；只有1%的人会使用回车键进行对话框切换。

Rivner表示，公司目前已经开始考虑盈利了。BioCatch可以应用在银行业务上面，比如他们会给银行提供一个平板电脑和手机用户的操作热图，如果用户在向上滚动和向下滚动上花了太多时间，就意味着他们很难获取信息。另外，BioCatch将会在2015年开发一些用户体验跟踪功能。

目前，BioCatch已经可以集成到web和Java环境下了，他们正在专注于云服务，客户主要包括银行和网上零售商。Rivner表示，他们不是要取代用户密码登录，而是希望代替过去繁琐身份验证方式，比如回答安全问题，短消息验证码身份验证，等等。

Via ZDNet

相关文章：

Apple ID两步验证服务扩张 中国名列其中

雷峰网原创文章，未经授权禁止转载。详情见转载须知。