電腦那端到底是誰？加固企業(yè)信息安全的第一道防線——身份認(rèn)證！

互聯(lián)網(wǎng)世界曾有個著名的說法：你永遠(yuǎn)不知道電腦那端坐著的是一個人還是一只狗！

這句話最早出現(xiàn)在1993年《紐約客》刊登的一則由彼得·施泰納創(chuàng)作的漫畫中。時至今日，技術(shù)已經(jīng)繼續(xù)發(fā)展了30年。過去稱之為互聯(lián)網(wǎng)世界也逐漸變成了現(xiàn)在所說的數(shù)字世界。其內(nèi)涵與外延都進(jìn)一步擴(kuò)大，并持續(xù)擴(kuò)大中。

這時候的我們，不僅需要弄清楚電腦那端坐著的是一個人，還是一只狗，甚至是一個機(jī)器、一個接口、一個設(shè)備......而且，我們還需要清楚的知道這個人/狗/機(jī)器/設(shè)備等具體的身份屬性，從而確認(rèn)當(dāng)前所聲稱為某種身份的用戶，確實(shí)是所聲稱的用戶。這也就是我們所說的企業(yè)信息安全的“第一道防線”——身份認(rèn)證。

01

身份認(rèn)證如何證明你是你？

身份認(rèn)證（Authentication）又稱“鑒權(quán)”，是指通過一定的技術(shù)手段，完成對用戶身份的確認(rèn)，目的是確認(rèn)當(dāng)前所聲稱為某種身份的用戶，確實(shí)是所聲稱的用戶。其基本思想是通過驗(yàn)證被認(rèn)證對象的屬性來達(dá)到被認(rèn)證對象是否真實(shí)有效。

目前，身份認(rèn)證主要通過三種方式來判別：一是根據(jù)你所知道的信息證明你的身份（what you know）；二是根據(jù)你所擁有的東西證明你的身份(what you have)；三是直接根據(jù)你獨(dú)一無二的身體特征證明你的身份(who you are)。當(dāng)然，也可以綜合利用這三種方式來判別。

常見的身份認(rèn)證方法中，口令認(rèn)證是最常用的方式，包括靜態(tài)口令和動態(tài)口令兩種。我們常用的賬號密碼就是一種靜態(tài)口令；智能卡、令牌是一種內(nèi)置集成電路的芯片，用來保存和用戶身份相關(guān)的數(shù)據(jù)；數(shù)字證書是利用可信第三方來證明用戶身份；生物特征認(rèn)證則以人體唯一的、可靠的、穩(wěn)定的生物特征為依據(jù)，如指紋識別、面容識別等；組合因子認(rèn)證是綜合利用多種認(rèn)證技術(shù)的優(yōu)點(diǎn)進(jìn)行組合認(rèn)證，也就是我們常說的多因素認(rèn)證。

02

多因素認(rèn)證不只是多了一重保障

隨著企業(yè)和人們對數(shù)字世界的依賴程度越來越高，數(shù)字安全問題日益凸顯。其中，又以身份安全危機(jī)最為顯著。

2024年，最新權(quán)威報告數(shù)據(jù)顯示，網(wǎng)絡(luò)犯罪分子正在想方設(shè)法規(guī)避或利用身份驗(yàn)證、核實(shí)和認(rèn)證過程中的弱點(diǎn)來進(jìn)行欺詐等非法活動，加倍利用用戶身份信息攻擊全球企業(yè)，利用身份信息形成的網(wǎng)絡(luò)攻擊激增71%。

顯然，身份是造成企業(yè)安全危機(jī)的罪魁禍?zhǔn)祝坏舱蛉绱?，身份也是解決企業(yè)安全問題的重要辦法。早在下面這篇文章中，派拉軟件就提出僅僅依靠“用戶名密碼”這樣的身份認(rèn)證方式存在諸多弊端。

所以，在上面這篇文章中，派拉軟件在提供清除企業(yè)弱密碼解決方案的基礎(chǔ)上，為企業(yè)提供了多因素認(rèn)證產(chǎn)品與方案。也就是說，企業(yè)需要要求并確保一個人除了用戶名和密碼外，還能證明自己的身份，從而使威脅行為者更難進(jìn)入系統(tǒng)。

例如，采用生物識別、基于智能手機(jī)的無密碼身份認(rèn)證。這樣看似多一重身份認(rèn)證，卻極大增強(qiáng)了用戶的便利性。因?yàn)楸绕鹳~號密碼，用戶更愿意選擇這種認(rèn)證方式。與此同時，提高身份認(rèn)證安全性。

目前，國內(nèi)外各大政府、企業(yè)組織為了改善身份和身份驗(yàn)證安全，都在積極地實(shí)施多因素身份認(rèn)證（MFA）建設(shè)。盡管任何一種認(rèn)證方式都不是靈丹妙藥，不能阻止所有人，也不一定在任何情況下都有用。但多一重保障，企業(yè)安全危機(jī)卻可以明顯的下降幾個百分比。

03

基于風(fēng)險的智能強(qiáng)認(rèn)證

隨著派拉軟件產(chǎn)品技術(shù)的持續(xù)深耕研究，以及AI技術(shù)的逐漸成熟與不斷應(yīng)用，派拉軟件身份認(rèn)證技術(shù)與產(chǎn)品服務(wù)能力也隨之升級。為了幫助企業(yè)更有效地應(yīng)對合成身份欺詐和深度偽造等問題帶來的日益嚴(yán)峻的安全與挑戰(zhàn)，派拉軟件提出基于風(fēng)險的智能強(qiáng)認(rèn)證解決方案。

整個方案基于用戶實(shí)體行為分析（UEBA）能力，結(jié)合AI大模型與大數(shù)據(jù)、算法算力等技術(shù)，以用戶實(shí)體行為為依據(jù)進(jìn)行安全認(rèn)證。其基本思想是：不同人的行為習(xí)慣及表現(xiàn)具有獨(dú)一無二的特性。而對于一個固定的用戶實(shí)體，其行為總是遵循一定的習(xí)慣，表現(xiàn)為在行動操作中存在規(guī)律性，并以此來判斷用戶實(shí)體的身份。

這就要求認(rèn)證平臺跟蹤記錄每個用戶與實(shí)體的歷史行為習(xí)慣，并按照一定的算法從中抽取出規(guī)律，建立用戶實(shí)體行為大模型。當(dāng)用戶實(shí)體的行為習(xí)慣突然改變時，與行為模型庫中不匹配，系統(tǒng)就會自動監(jiān)測出這種異常，并進(jìn)行強(qiáng)安全認(rèn)證或其他安全策略執(zhí)行。

此外，派拉軟件智能強(qiáng)認(rèn)證平臺還可以對常見的身份安全場景進(jìn)行監(jiān)測設(shè)置，例如利用15大維度檢測，判斷是否為機(jī)器人訪問，從而杜絕機(jī)器人訪問風(fēng)險；采用5種檢測邏輯，解決批量注冊、虛假注冊風(fēng)險等；

針對撞庫、非常態(tài)登錄、代理登錄、身份憑證盜取、異常違規(guī)操作等系列安全場景提供近實(shí)時、實(shí)時、離線等三種檢測方法，管理員可根據(jù)業(yè)務(wù)需求開啟對應(yīng)的檢測場景與檢測規(guī)則，從而有效抵御各種假冒攻擊和入侵，保證身份識別的準(zhǔn)確。

未來，隨著移動邊緣設(shè)備的持續(xù)瘋狂增長、機(jī)器身份的日益增加，基于區(qū)塊鏈的去中心化認(rèn)證技術(shù)將成為下一個身份認(rèn)證技術(shù)的熱點(diǎn)。如何讓用戶自己控制自己的數(shù)字身份，保護(hù)身份安全的同時，加強(qiáng)個人隱私保護(hù)？派拉軟件將持續(xù)探索！