章建軍
從2012年起，大(dà)數據的話(huà)題在中(zhōng)國互聯網以及各個行業開(kāi)始大(dà)熱，據說2013年已經被國外(wài)媒體(tǐ)稱爲“大(dà)數據元年”。除了最常規的用戶挖掘、廣告價值提升，大(dà)數據被用來制作熱門電(diàn)視劇，建設醫療機構，甚至幫助奧巴馬連任等各種神話(huà)已經層出不窮。但互聯網最最基礎的一(yī)項工(gōng)作——安全工(gōng)作，似乎一(yī)直跟這股潮流沒什麽關系。
很多人的印象中(zhōng)，互聯網安全無非就是裝個殺毒軟件，網上支付的時候最好再拿個硬件盾(U盾)心裏才能踏實點。一(yī)出問題，得出互聯網始終還是比傳統世界不安全的結論，那是必須的。我(wǒ)們搞互聯網安全的，有那麽沒有技術含量嗎(ma)？這裏簡單給大(dà)家介紹下(xià)網上支付控制風險的一(yī)個利器——正是現在所有人熱捧的大(dà)數據。
傳統安全認證方式及其問題
之前有人說“在互聯網上，沒人知(zhī)道你是一(yī)條狗”，這種“身份不确定性”對于互聯網金融服務來說，是一(yī)個永遠的風險。網絡釣魚、木馬傳播、賬号竊取等帶來的盜用和欺詐都是這種風險的直接體(tǐ)現。
所以，就有了人們最熟悉的幾種安全認證手段：一(yī)是用戶所知(zhī)道的東西，比如密碼；二是用戶所擁有的東西，比如數字證書(shū)、硬件盾。他們的本質都是，當支付服務接收到支付請求時，爲了減低支付風險，服務端要先确認支付發起者的身份是合法的。
但以上兩種方法都會遇到一(yī)些障礙，比如密碼容易忘記，有些人所有應用都用同一(yī)個密碼，密碼還可能存在洩露的風險。這一(yī)點，2011年底的CSDN密碼洩露事件就給了所有人一(yī)個警示。
數字證書(shū)和硬件盾的問題在于，更換電(diàn)腦或者重裝系統之後，電(diàn)腦中(zhōng)沒有數字證書(shū)，用戶就會無法支付，而硬件盾可能丢失或者損壞，發生(shēng)這種情況，用戶也會無法支付。這也是至今很多用戶都沒有選擇這些安全産品的原因。
第三種現在廣泛使用的安全認證方式是手機檢驗碼。 用戶在電(diàn)子商(shāng)務網站、網上銀行或者第三方支付網站預留手機之後，就可以在需要進行身份确認時接收動态驗證碼。 手機有良好的攜帶性、私密性，手機短信的達到率可以達到90%以上。因此手機短信動态驗證碼被電(diàn)子銀行和第三方支付大(dà)量使用。
在手機短信驗證碼被大(dà)量使用之後，不法分(fēn)子也開(kāi)始針對性的展開(kāi)攻勢。釣魚網站、電(diàn)話(huà)的方式騙取驗證碼甚至成爲一(yī)個黑色産業鏈，對電(diàn)子商(shāng)務環境造成很大(dà)的負面影響。
舉個真實的案例，支付寶爲了防止不法分(fēn)子冒充工(gōng)作人員(yuán)向用戶騙取手機校驗碼，曾經在發送短信校驗碼的短信文案中(zhōng)明确寫到“淘寶或支付寶工(gōng)作人員(yuán)不會向您索取短信校驗碼”。有一(yī)次，一(yī)位用戶接到一(yī)位假客服的電(diàn)話(huà)，假客服以幫她處理交易爲由向她索取校驗碼，這位用戶跟假客服說，“短信裏面說了工(gōng)作人員(yuán)不會向我(wǒ)索取短信校驗碼的。”假客服可能也是靈機一(yī)動，回答說，“我(wǒ)不是淘寶和支付寶的，我(wǒ)是賣家。”這位用戶就把校驗碼告訴假客服了。爲此，支付寶隻好更改了短信校驗碼的文案，明确說明“任何索取短信校驗碼的行爲均是詐騙行爲。”
即使這樣，用戶被騙取短信校驗碼的情況還是不能絕迹。因爲這類非法騙取驗證碼的行爲很多是有組織的實施，加上受害者的防範意識比較薄弱，成功騙取的概率始終是存在的。電(diàn)子銀行和第三方支付想要很好的控制這種非法行爲，存在很大(dà)的難度。
設備行爲分(fēn)析的優勢：你可以易容，但你的行爲特征很難改變
爲了降低支付風險而引入了身份認證，但是身份認證過程本身也存在被攻擊的可能性。那麽，能否減少網絡行爲中(zhōng)的“身份認證”環節呢？
答案是肯定的。不法分(fēn)子可能通過各種方式掌握你的密碼，騙取你的校驗碼，但他要完全使自己的行爲特征跟你相似，那就要難得多。就好像整容很容易，但要改變你的行爲特征卻很難一(yī)樣。能夠通過這樣的數據化、技術化的手段去(qù)控制風險，這就是互聯網做安全的優勢。
事實上，通過對用戶支付行爲的習慣數據進行分(fēn)析來進行身份認證，可以很好的減少在支付過程中(zhōng)身份認證對用戶的打擾。
行爲在一(yī)段時間之内形成規律，就好比某個人習慣用左手寫字。通過分(fēn)析這種行爲習慣，就可以知(zhī)道用戶的真實身份。
用戶在網絡上的行爲都會留下(xià)“信息”，比如在什麽時間支付、購物(wù)的金額、使用什麽樣的網絡。
在網絡上，一(yī)個人能獲取到的設備是有限的，一(yī)般是辦公室電(diàn)腦、家裏電(diàn)腦、手機等。如果在一(yī)個“可信”的設備上登錄系統，那麽當前行爲的可信度就較高。那麽設備又(yòu)是行爲分(fēn)析中(zhōng)的關鍵點。
網絡行爲一(yī)般包含5個方面的因素：在什麽時間、使用什麽設備、賬号、登錄什麽網站、做了什麽。
我(wǒ)們可以給每個設備一(yī)個“可信度”，用戶的行爲與設備進行關聯，每次用戶的行爲都可以動态的改變“可信度”。
一(yī)次可信的、合法的行爲會增加可信度，一(yī)次不可信的、非法的行爲會減少可信度。而增加和減少的“度”，是通過一(yī)套複雜(zá)的模型，采用機器學習的方式獲得。這樣就圍繞設備形成一(yī)個閉環，“輸入-處理-輸出-反饋”。
除了可以改變用戶直接使用的設備的可信度，甚至還可以通過“設備”與“設備”之間的關聯關系動态改變設備的可信度。比如，用戶A使用手機A，使用聲波支付給用戶B的手機B轉賬1000塊，那麽除了手機A的可信度提升，手機B的可信度也可以相應提升。 分(fēn)析設備直接的關系同樣也可以建立一(yī)套複雜(zá)的模型。
因爲用戶網絡行爲會映射到設備的操作行爲，所以通過對設備可信度的分(fēn)析，就可以知(zhī)道行爲的風險有多高。而且這個過程中(zhōng)，不需要用戶主動安裝數字證書(shū)或者硬件盾，不需要接收校驗碼，對用戶的體(tǐ)驗也會有明顯提升。
随着移動互聯網興起，地理位置定位、加速度感應等成爲主流智能手機的标準配置。智能設備上的傳感器，就好比人的五官，不斷的采集周圍環境的信息，這就爲設備行爲的分(fēn)析提供更豐富的數據。這些智能化的設備散步在世界的每個角落，分(fēn)分(fēn)秒秒都在生(shēng)産和傳輸信息；未來的挑戰，不是用于分(fēn)析的數據不夠，而在于對如此龐大(dà)數據的儲存和分(fēn)析能力。
通過設備行爲分(fēn)析的方式去(qù)控制風險，隻是通過大(dà)數據的方法去(qù)進行風險控制的一(yī)種。在國外(wài)paypal就沒有數字證書(shū)、硬件盾這樣的安全産品，就是靠分(fēn)析用戶與設備的行爲去(qù)控制風險。中(zhōng)國的環境下(xià)，用戶對安全的要求更高，安全感也更差，之前國内領先的第三方支付公司更多還是采取安全産品、校驗碼這些用戶能夠明顯感知(zhī)到的安全認證方式。但設備行爲分(fēn)析這樣的新方式也已經開(kāi)始起步。
還是那句話(huà)，這個世界上沒有絕對意義上的安全，互聯網上也是如此。但不論是要降低風險發生(shēng)率本身，還是要提升風控過程中(zhōng)的用戶體(tǐ)驗和效率，互聯網的方式、大(dà)數據的方式都要優于傳統方式，這就是時代進步的必然。大(dà)家既要看到問題，也要看到這樣更積極的一(yī)面。
