密码重置问题的其他选择：行为生物统计特征技术

admin

行为生物统计特征：人的因素
如果静态KBA变得不安全，且动态KBA的使用也受到限制，那么什么技术可以填补空白呢？答案是行为生物统计特征（Behavioral Biometric Characteristics，BBC）技术。BBC利用的是人类日积月累形成的生物统计特征，至少有部分特征是基于行为的，而不是个人信息。BBC将有经验的因素或生物统计数据作为输入信息，从而进行身份验证。BBC技术包括图形对象选择、击键动态学（用户的输入动作）以及生物特征签名。
对图形对象选择而言，系统首先给终端用户提供的是一张包含了很多较小物体的图片，而不是让用户选择一组具有挑战性的问题。举例来讲，杂乱的厨房、堆满小孩玩具的后院、孩子的卧室、影像的一页等，然后用户浏览整张图片并以特定的顺序选择3到4个图形对象，比如在上述孩子卧室的图片中，用户可以从50个或更多的对象中选择墙上的海报、床边上的闹钟和地板上的一只脏袜子，然后系统会把这些选项和用户的账户信息一起进行存储。当需要验证用户身份以重置密码时，系统会要求用户对图形对象做出相同的选择。因为只有用户自己知道是按照怎样的顺序选中了哪些物体，所以其他人要想做出同样的选择是相当困难的。
2009年，加州大学伯克利分校进行的一项研究证实了行为生物统计特征技术比传统的密码验证方案更安全。BiometricSignatureID.com（BioSig-ID公司）是一家可以使用图形对象选择进行身份验证的厂商。当然，这种技术也存在问题，即用户可能会忘记所选对象或选择的顺序。使用这种技术的网站应该指导用户进行对象选择，并提醒用户应选择自己很容易记住的图形对象。
击键动态学（Keystroke dynamics）采用的是不同的方法。人们平均每分钟打30至40个字，但研究人员在观察人们敲击键盘的动作时却发现，每个人的击键动态（即敲击特定字母组合之间的时间差）就像指纹一样独一无二。这意味着，将击键动态学工具与简单的静态KBA产品结合起来，完全可以以较高的安全强度验证用户的个人身份。
击键动态学技术正逐步成为身份验证的一个热点，不少于10家公司的产品已进入市场就可以证明这一点，这些公司包括AdmitOne安全公司、iMagic软件公司、ID control B.V.、Deepnet安全公司、Psylock公司等。但是，同任何新兴技术一样，该技术也存在着技术问题及法律问题。击键记录软件的秘密使用呈现出上升趋势，这明显违反了诸如美国爱国者法案（Patriot Act.）等法律。如果没有获得正在操作键盘的用户的明确同意，即使是对实际剩余的消息内容（由此产生的文字）也不允许进行分析、读取或保留，文本的“动态上下文”状态在法律上也可能是悬而未决的。在尝试使用这些软件甚至是进行实验之前，你应该咨询一下在该领域很有经验的法律顾问。
最后一个要讨论的终端用户身份验证技术是生物签名（biometric signatures）。和静态KBA类似，图形对象选择技术的一个缺陷是：它使用的是具有静态对象的静态图形。你可能很容易猜到，这一点使得该技术的安全强度不够。为了消除这种风险，生物签名技术提供了一个图形对象或对象组，要求用户使用鼠标或触摸板拖动自己的图形。
作为验证过程的一部分，系统为用户提供了一个有网格线的绘图区域，要求用户在任意网格中绘制任何形状。接着，系统会将这些图像进行分析和储存。当用户需要重新验证身份时，计算机将显示该网格并要求用户重新绘制图像。尽管计算机鼠标和触摸板的绘图功能有些粗糙，但对于身份验证而言图像已经足够精确了。与动态KBA不同的是，生物签名技术的信息不是来自公共记录，因此降低了使用隐私信息所带来的风险，但它的缺点是：只有BioSig-ID一家公司将该技术进行了商业化，其他可能会开发生物签名技术的公司尚未做到这一点。
总结
在公司决定从一种静态KBA技术转向另一种在本文中提到的更先进技术之前，他们必须考虑以下几个问题，以确定这种转变在技术方面或最终用户及用户流程方面是否值得：
◆使用验证技术之后，密码身份验证能否对所访问的信息提供充分的保护？
◆目前所使用的技术具有多大的风险？
◆有没有其他静态KBA问题，能使个人信息不易暴露出来？
◆终端用户是谁?他们将如何使用这些技术？他们对这些技术了解多少？
◆我们是否有法律专家来决定如何依法实施任何的新技术？
◆我们是否有专业技能来实施一种新技术，换句话说，我们是否需要考虑SaaS模式或其他的方式？
◆我们如何正式修改现有的应用程序，以便支持另一种技术？
◆未来一年内我们会在哪些地方实施身份验证？未来两年、五年呢？
本文只是探索了用户可以更可靠实施验证的一种途径，但也有其他的选择，比如系统ID信誉（system ID reputations），即已知恶意软件和“僵尸网络”发布系统的“禁飞名单（no fly list）”；设备信誉（device reputation），该技术基于与已知终端用户系统组件相匹配的设备组件，甚至是采用了简单的图形技术去验证用户是一个人而不是一台“僵尸电脑”。但在未来几年内，一些新技术和新设备最终更有可能结合在一起使用，从而保证合法用户可以更换自己的密码。