你了解行为生物识别吗？

生物识别让用户身份验证变得十分便利，这也是很多原始设备制造商（OEM）开始将各种生物识别技术整合到其设备的主要原因之一。现在人们已经慢慢熟悉使用指纹或面部来解锁自己的电脑和移动设备，毕竟这种方法要比记住并输入密码或PIN更加用户友好。 

指纹、面部、手和视网膜等生理特征只是一种生物标识符，而另一种是行为特征，这涉及人的行为模式，例如打字速度、步态、姿态和声音等。我们几乎不可能复制或模仿他人的行为来欺骗行为识别验证技术，因为每个人的举止和身体语言特征都是由社会和心理因素所塑造，具有其独特性。 

行为生物识别的优势

行为识别的一大优点是，这些标识符可被实时监控以提供持续的身份验证，而不是仅在登录时一次性身份验证检查。例如，用户的按键长度、打字速度、误差模式和鼠标动作都可以用来创造独特的模板来区别于其他用户。这种行为识别技术可基于用户的鼠标移动和按键来实时持续验证用户。

在企业中，很多用户经常需要访问敏感数据，例如客户支持人员，这种附加的身份验证可帮助企业检测是否是由正确的人员在操作设备。当检测到异常的键盘、鼠标或触摸交互时，网上银行应用可锁定用户访问账户或提示进行第二因素身份验证。

分析身体动作（例如步态）可用于从一定距离识别用户；我们都知道，步态很难模仿，因为一个人的体形和肌肉基本限制了其运动的变化，并可用于确保只有经过授权的人（例如安保人员）出现在受限区域。

行为生物识别的缺点

虽然行为识别技术可提供对用户的持续验证，但当涉及到实际的登录过程时，这种技术并不是那么实用。指纹识别器只需要取一个读数来允许或拒绝访问，而用户需要打字一段时间才能提供足够的数据来进行检查。这种延迟登录并不是供应商或用户所想要的登录方式。

人们也会担心生物识别数据被盗的情况，例如美国人事管理局（OPM）遭遇的数据泄露事故，尽管这是安全行业还没有完全理解的威胁。然而，攻击者很难像利用密码那样自动化滥用被盗生物数据，行为生物数据更加是如此。

所有形式的生物识别的一个缺点是，匹配数据存在的问题。计算机系统很容易检查提交的密码是否与存储在其数据库中的密码相同，但检查生物特征数据更多的是“像”而不是“相同”。匹配算法需要根据接受阈值来作出决定，以确定输入数据需要多接近模板才会被认为是匹配。这可能会导致误报，让用户无法成功验证，而误报还可能让未经授权用户通过验证，这是身份验证产品买家最不想看到的情况。这个阈值需要确保对受保护的不同资产提供适当水平的保护；有些系统允许对不同类型用户设置不同的阈值。

行为生物识别通过实时监控用户与其设备交互的方式，提供了额外的安全保护，并进一步加强了对高敏感数据的保护。现在市面上的在线欺诈检测解决方案已经开始使用行为生物识别来阻止账户接管欺诈和其他欺诈性交易，以及恶意软件，例如RAT-in-the-browser。例如BehavioSec公司的产品通过按键动力学、触摸和鼠标移动来实时验证用户，并将这些行为数据与同一用户之前的数据进行比较，这会生成一个会话票据和信任分数，让风险引擎可根据需要添加额外的安全步骤。该系统会从每个交互中学习以减少误报，从而不断重新定义用户的行为。其他产品还包括NuData Security公司的NuDetect和BioCatch公司的Behavioral Authentication等。另外，SecureAuth Corporation还与BehavioSec合作推出一个API平台，让企业可为自己的IT基础设施开发自定义持续的被动的身份验证功能。