密碼重置問題的其他選擇：行為生物統(tǒng)計特征技術(shù)
行為生物統(tǒng)計特征：人的因素
如果靜態(tài)KBA變得不安全，且動態(tài)KBA的使用也受到限制，那么什么技術(shù)可以填補(bǔ)空白呢？答案是行為生物統(tǒng)計特征（Behavioral Biometric Characteristics，BBC）技術(shù)。BBC利用的是人類日積月累形成的生物統(tǒng)計特征，至少有部分特征是基于行為的，而不是個人信息。BBC將有經(jīng)驗的因素或生物統(tǒng)計數(shù)據(jù)作為輸入信息，從而進(jìn)行身份驗證。BBC技術(shù)包括圖形對象選擇、擊鍵動態(tài)學(xué)（用戶的輸入動作）以及生物特征簽名。
對圖形對象選擇而言，系統(tǒng)首先給終端用戶提供的是一張包含了很多較小物體的圖片，而不是讓用戶選擇一組具有挑戰(zhàn)性的問題。舉例來講，雜亂的廚房、堆滿小孩玩具的后院、孩子的臥室、影像的一頁等，然后用戶瀏覽整張圖片并以特定的順序選擇3到4個圖形對象，比如在上述孩子臥室的圖片中，用戶可以從50個或更多的對象中選擇墻上的海報、床邊上的鬧鐘和地板上的一只臟襪子，然后系統(tǒng)會把這些選項和用戶的賬戶信息一起進(jìn)行存儲。當(dāng)需要驗證用戶身份以重置密碼時，系統(tǒng)會要求用戶對圖形對象做出相同的選擇。因為只有用戶自己知道是按照怎樣的順序選中了哪些物體，所以其他人要想做出同樣的選擇是相當(dāng)困難的。
2009年，加州大學(xué)伯克利分校進(jìn)行的一項研究證實了行為生物統(tǒng)計特征技術(shù)比傳統(tǒng)的密碼驗證方案更安全。BiometricSignatureID.com（BioSig-ID公司）是一家可以使用圖形對象選擇進(jìn)行身份驗證的廠商。當(dāng)然，這種技術(shù)也存在問題，即用戶可能會忘記所選對象或選擇的順序。使用這種技術(shù)的網(wǎng)站應(yīng)該指導(dǎo)用戶進(jìn)行對象選擇，并提醒用戶應(yīng)選擇自己很容易記住的圖形對象。
擊鍵動態(tài)學(xué)（Keystroke dynamics）采用的是不同的方法。人們平均每分鐘打30至40個字，但研究人員在觀察人們敲擊鍵盤的動作時卻發(fā)現(xiàn)，每個人的擊鍵動態(tài)（即敲擊特定字母組合之間的時間差）就像指紋一樣***。這意味著，將擊鍵動態(tài)學(xué)工具與簡單的靜態(tài)KBA產(chǎn)品結(jié)合起來，完全可以以較高的安全強(qiáng)度驗證用戶的個人身份。
擊鍵動態(tài)學(xué)技術(shù)正逐步成為身份驗證的一個熱點，不少于10家公司的產(chǎn)品已進(jìn)入市場就可以證明這一點，這些公司包括AdmitOne安全公司、iMagic軟件公司、ID control B.V.、Deepnet安全公司、Psylock公司等。但是，同任何新興技術(shù)一樣，該技術(shù)也存在著技術(shù)問題及法律問題。擊鍵記錄軟件的秘密使用呈現(xiàn)出上升趨勢，這明顯違反了諸如美國愛國者法案（Patriot Act.）等法律。如果沒有獲得正在操作鍵盤的用戶的明確同意，即使是對實際剩余的消息內(nèi)容（由此產(chǎn)生的文字）也不允許進(jìn)行分析、讀取或保留，文本的“動態(tài)上下文”狀態(tài)在法律上也可能是懸而未決的。在嘗試使用這些軟件甚至是進(jìn)行實驗之前，你應(yīng)該咨詢一下在該領(lǐng)域很有經(jīng)驗的法律顧問。
***一個要討論的終端用戶身份驗證技術(shù)是生物簽名（biometric signatures）。和靜態(tài)KBA類似，圖形對象選擇技術(shù)的一個缺陷是：它使用的是具有靜態(tài)對象的靜態(tài)圖形。你可能很容易猜到，這一點使得該技術(shù)的安全強(qiáng)度不夠。為了消除這種風(fēng)險，生物簽名技術(shù)提供了一個圖形對象或?qū)ο蠼M，要求用戶使用鼠標(biāo)或觸摸板拖動自己的圖形。
作為驗證過程的一部分，系統(tǒng)為用戶提供了一個有網(wǎng)格線的繪圖區(qū)域，要求用戶在任意網(wǎng)格中繪制任何形狀。接著，系統(tǒng)會將這些圖像進(jìn)行分析和儲存。當(dāng)用戶需要重新驗證身份時，計算機(jī)將顯示該網(wǎng)格并要求用戶重新繪制圖像。盡管計算機(jī)鼠標(biāo)和觸摸板的繪圖功能有些粗糙，但對于身份驗證而言圖像已經(jīng)足夠精確了。與動態(tài)KBA不同的是，生物簽名技術(shù)的信息不是來自公共記錄，因此降低了使用隱私信息所帶來的風(fēng)險，但它的缺點是：只有BioSig-ID一家公司將該技術(shù)進(jìn)行了商業(yè)化，其他可能會開發(fā)生物簽名技術(shù)的公司尚未做到這一點。
總結(jié)
在公司決定從一種靜態(tài)KBA技術(shù)轉(zhuǎn)向另一種在本文中提到的更先進(jìn)技術(shù)之前，他們必須考慮以下幾個問題，以確定這種轉(zhuǎn)變在技術(shù)方面或最終用戶及用戶流程方面是否值得：
◆使用驗證技術(shù)之后，密碼身份驗證能否對所訪問的信息提供充分的保護(hù)？
◆目前所使用的技術(shù)具有多大的風(fēng)險？
◆有沒有其他靜態(tài)KBA問題，能使個人信息不易暴露出來？
◆終端用戶是誰?他們將如何使用這些技術(shù)？他們對這些技術(shù)了解多少？
◆我們是否有法律專家來決定如何依法實施任何的新技術(shù)？
◆我們是否有專業(yè)技能來實施一種新技術(shù)，換句話說，我們是否需要考慮SaaS模式或其他的方式？
◆我們?nèi)绾握叫薷默F(xiàn)有的應(yīng)用程序，以便支持另一種技術(shù)？
◆未來一年內(nèi)我們會在哪些地方實施身份驗證？未來兩年、五年呢？
本文只是探索了用戶可以更可靠實施驗證的一種途徑，但也有其他的選擇，比如系統(tǒng)ID信譽(yù)（system ID reputations），即已知惡意軟件和“僵尸網(wǎng)絡(luò)”發(fā)布系統(tǒng)的“禁飛名單（no fly list）”；設(shè)備信譽(yù)（device reputation），該技術(shù)基于與已知終端用戶系統(tǒng)組件相匹配的設(shè)備組件，甚至是采用了簡單的圖形技術(shù)去驗證用戶是一個人而不是一臺“僵尸電腦”。但在未來幾年內(nèi)，一些新技術(shù)和新設(shè)備最終更有可能結(jié)合在一起使用，從而保證合法用戶可以更換自己的密碼。
【編輯推薦】
