保護(hù)網(wǎng)銀安全：設(shè)備標(biāo)識(shí)的工作原理
當(dāng)銀行網(wǎng)站用戶在登錄的時(shí)候，會(huì)越來越頻繁地被問及這樣的問題：你在哪個(gè)城市出生？為什么會(huì)出現(xiàn)用戶在輸入用戶名和密碼之后不能查看賬戶信息的情況呢？這是因?yàn)殂y行使用了設(shè)備標(biāo)識(shí)（device identification）來保證賬戶的安全，如果用戶使用一臺(tái)以前從來沒有用過的電腦進(jìn)行登錄，那么銀行會(huì)確認(rèn)登錄者是不是真正的賬戶主人。
使用設(shè)備標(biāo)識(shí)作為預(yù)防欺詐的策略是近來一種很不錯(cuò)的辦法。由于網(wǎng)絡(luò)罪犯的目標(biāo)是網(wǎng)上信用卡交易、新賬戶的注冊(cè)以及賬戶登錄，金融機(jī)構(gòu)如果想確認(rèn)試圖使用賬戶的人是否是用戶本人，那么需要驗(yàn)證的已不僅僅是用戶的IP地址和登錄/密碼了。
設(shè)備標(biāo)識(shí)是怎樣工作的？
設(shè)備標(biāo)識(shí)是通過使用“設(shè)備指紋”來減少欺詐風(fēng)險(xiǎn)的：設(shè)備指紋即是一個(gè)設(shè)備標(biāo)識(shí)符，它以用戶系統(tǒng)的IP位置以及配置的方式為基礎(chǔ)。這個(gè)指紋隨著時(shí)間的推移會(huì)允許金融機(jī)構(gòu)分配和跟蹤“信譽(yù)值（reputation）”：即分配給用戶系統(tǒng)的一個(gè)風(fēng)險(xiǎn)值，它取決于數(shù)字指紋數(shù)值，以及當(dāng)這個(gè)設(shè)備不在終端用戶手中時(shí)金融機(jī)構(gòu)確定的風(fēng)險(xiǎn)值，這是一個(gè)從用戶交易歷史中提取的數(shù)值。
設(shè)備標(biāo)識(shí)是按下面這些信息的哈希值（hashed value）為基礎(chǔ)創(chuàng)建這個(gè)設(shè)備指紋的，但是并沒有局限于這些數(shù)值：
• 地理位置屬性——基于IP地址的物理位置數(shù)值（舉個(gè)例子： IP 192.xxx.xxx.xxx =東歐）。
• 連接屬性——連接是通過一個(gè)專用的網(wǎng)絡(luò)連接（比如一個(gè)Citrix服務(wù)器）還是一個(gè)普通的因特網(wǎng)連接？
• 時(shí)間和時(shí)區(qū)屬性——進(jìn)行了多少次連接嘗試，連接嘗試之間的時(shí)間間隔又是多少？還有，連接嘗試是在什么時(shí)候發(fā)生的（比如，最終用戶所在時(shí)區(qū)的早上2：00）？
• 網(wǎng)絡(luò)路由屬性——網(wǎng)絡(luò)流量是怎樣路由的（例如，通過不受信任的網(wǎng)絡(luò)如中東——加勒比——美國(guó)東海岸）。
• 應(yīng)用程序?qū)傩?mdash;—應(yīng)用程序如何訪問網(wǎng)站（比如使用SSL或者沒有安全性）。
• 操作系統(tǒng)屬性——OS，瀏覽器，其他的系統(tǒng)標(biāo)識(shí)符。
• 交易活動(dòng)屬性——正在進(jìn)行什么類型的交易（比如，轉(zhuǎn)賬，購(gòu)物等等）？
• TCP協(xié)議屬性——使用什么樣的TCP協(xié)議訪問目的系統(tǒng)（例如，HTTP, FTP,等等）？
• 信譽(yù)屬性——先前賦給系統(tǒng)的值
當(dāng)消費(fèi)者登錄到企業(yè)的客戶端網(wǎng)站或者門戶網(wǎng)站一段時(shí)間后，設(shè)備標(biāo)識(shí)應(yīng)用程序開始給每個(gè)用戶生成一個(gè)信譽(yù)值。然后，設(shè)備標(biāo)識(shí)應(yīng)用程序會(huì)把這個(gè)信譽(yù)值跟預(yù)先設(shè)定的風(fēng)險(xiǎn)值相比較。舉個(gè)例子，設(shè)備指紋值的有一個(gè)加權(quán)和，假設(shè)是70，把這個(gè)數(shù)跟最小風(fēng)險(xiǎn)值進(jìn)行比較，假設(shè)是65。如果應(yīng)用程序以它的指紋值為基礎(chǔ)識(shí)別了用戶的系統(tǒng)，用戶可以繼續(xù)操作。然而，如果應(yīng)用程序不能識(shí)別系統(tǒng)，它就會(huì)假設(shè)系統(tǒng)沒有通過認(rèn)證，用戶必須提供一系列有挑戰(zhàn)性的問題的答案才能把設(shè)備添加到用戶的系統(tǒng)上。如果用戶不能正確回答這些問題，訪問就會(huì)被拒絕。
【編輯推薦】
