Аутентификация на основе рисков - Википедия - Risk-based authentication

В Аутентификация, проверка подлинности на основе рисков представляет собой нестатическую систему аутентификации, которая учитывает профиль (IP-адрес, HTTP-заголовок User-Agent, время доступа и т. д.) агента, запрашивающего доступ к системе, для определения профиля риска, связанного с этой транзакцией. Затем профиль риска используется для определения сложности проблемы. Профили с более высоким риском приводят к более серьезным проблемам, тогда как статическое имя пользователя / пароль может быть достаточным для профилей с низким уровнем риска. Реализация на основе рисков позволяет приложению запрашивать у пользователя дополнительные учетные данные только при соответствующем уровне риска.[1][2][3].

Машинная аутентификация часто используется при настройке аутентификации на основе рисков. Аутентификация машины будет выполняться в фоновом режиме и запрашивать у клиента дополнительную аутентификацию только в том случае, если компьютер не распознается. В системе аутентификации на основе рисков учреждение решает, нужна ли дополнительная аутентификация. Если риск будет сочтен уместным, будет запущена расширенная проверка подлинности, такая как одноразовый пароль, доставленный через внешнее соединение. Аутентификация на основе рисков также может использоваться во время сеанса для запроса дополнительной аутентификации, когда клиент выполняет определенную транзакцию с высоким риском, такую ​​как денежный перевод или смена адреса. Аутентификация на основе рисков очень выгодна для клиента, потому что дополнительные шаги требуются только в том случае, если что-то необычное, например, попытка входа в систему с новой машины.

— [4]

Дело в том, что точность пользовательской проверки повышается, не доставляя неудобств пользователю.[1] а аутентификация на основе рисков используется крупными компаниями[5].

Критика

  • Система, вычисляющая профиль риска, должна тщательно поддерживаться и обновляться по мере появления новых угроз. Неправильный конфигурация может привести к несанкционированному доступу.
  • Профиль подключения пользователя (например, Геолокация IP, тип соединения, динамика нажатия клавиш, поведение пользователя) необходимо выявить и использовать для расчета профиля риска. Отсутствие надлежащего обнаружения может привести к несанкционированному доступу.

Смотрите также

Рекомендации

  1. ^ а б Патент США 9021555, Такая Като, «Патент на аутентификацию на основе рисков», выдан 29 марта 2006 г. 
  2. ^ Вифлинг, Стефан; Ло Яконо, Луиджи; Дюрмут, Маркус. «Информационный веб-сайт по проверке подлинности на основе рисков». Риск-ориентированная аутентификация. Получено 2019-04-29.
  3. ^ Вифлинг, Стефан; Ло Яконо, Луиджи; Дюрмут, Маркус (2019). Диллон, Гурприт; Карлссон, Фредрик; Хедстрём, Карин; Сукете, Андре (ред.). «Это действительно вы? Эмпирическое исследование аутентификации на основе риска, применяемой в естественных условиях». Безопасность ИКТ-систем и защита конфиденциальности. Достижения ИФИП в области информационных и коммуникационных технологий. Издательство Springer International. 562: 134–148. arXiv:2003.07622. Дои:10.1007/978-3-030-22312-0_10. ISBN  9783030223120.
  4. ^ Уильямсон, Г. «Расширенная аутентификация в интернет-банке» Журнал управления экономической преступностью 4.2 (2006): 18–19. Распечатать
  5. ^ Вифлинг, Стефан; Ло Яконо, Луиджи; Дюрмут, Маркус. «Кто использует RBA? Мы обнаружили доказательства того, что его используют Google, Facebook, LinkedIn, Amazon и GOG.com». Риск-ориентированная аутентификация. Получено 2019-04-29.