你登入網站、滑手機的小動作,也可能被記錄下來辨認身份

你登入網站、滑手機的小動作,也可能被記錄下來辨認身份
Image Credit: Depositphotos
我們想讓你知道的是

現時已有一些公司使用行為特徵識別技術,在不妨礙用戶的情況下確認其身份,但在保障帳戶安全的同時,又有可能引起私隱問題。

網站被入侵、個人資料外洩的新聞不時傳出,而如果外洩資料包含電郵地址及帳戶密碼,由於不少人習慣重複使用密碼,使會令其他網站的帳戶變得不安全。使用雙重認證固然比較安全,但亦需要提防另一種認證方式失效(例如丟失了電話)。

隨着技術發展,電腦以至手機的運算能力增加,生物辨識技術已變得普及,不少智能手機能以臉部或指紋識別解鎖,甚至可用來確認身份。除了用身體特徵辨認身份外,用家的行為習慣也能夠防止他人冒認,與此同時,在未有通知下收集有關資料,會引起侵犯私隱的憂慮。

《紐約時報》報道,現時已有公司開始使用或測試這類行為特徵辨識技術,主要作用是偵測冒認身份。

發現冒充者

蘇格蘭皇家銀行(The Royal Bank of Scotland)是少數會公開討論收集行為數據的銀行,他們兩年前起開始在富裕客戶的私人戶口測試此技術,現在系統已應用至所有1879萬個戶口。

當客戶登入其戶口時,系統軟件會記錄超過2000個不種的互動手勢,例如在手機上,它會記錄拿電話的角度、滑動及點按所用的手指、按下去的壓力、滑動的速度等。而在電腦上,軟件會記錄打字節奏和滑鼠移動的方式。

為蘇格蘭皇家銀行設計軟件的紐約公司BioCatch表示,該系統為每人的手勢建立個人檔案,並跟客戶登入時的動作對比,更指其系統發現偽冒者的準確度達至99%。

幾個月前,一位富有客戶登入戶口時,系統偵察到異常訊號︰在登入後,這位訪客使用該客戶不曾用過的滑鼠滾輪,輸入數字時亦使用鍵盤上方的數字鍵,而非客戶常用的右側數字鍵盤。

蘇格蘭皇家銀行的創新主管漢利(Kevin Hanley)表示,這些訊號令系統阻止該戶口現金外流,調查後發現該帳戶被入侵。他說︰「有人嘗試設立新的收款人,再轉帳7位數的金額。我們即時介入,並成功阻止。」

passwordCloud02
Image Credit: Depositphotos
不妨礙用戶

當然,這宗案例明顯異常。然而用戶行為本來就非完全一樣,當人疲倦、受傷、醉酒、分心或趕急時,坐在辦公桌前或躺在床上,其動作都不會不一樣。監察行為的軟件需要透過數以千計的元素,計算出正在線上的用戶確實是其本人的機率。

大多數智能手機內置各種感應器,以及運算能力變得便宜,令到行為辨識技術變得流行。漢利亦指出,這系統不干擾用戶操作是其中一項吸引之處,傳統生物識別技術用上指紋、虹膜等,需要特別的掃描器作,相比之下,系統可在背景捕捉行為特微,用戶無須額外做任何事情。

BioCatch的軟件有時候會透過一些小改動,例如讓滑鼠游標短暫消失,引發用戶的反應。該公司的策略及營銷總監撒拉斯尼(Frances Zelazny)說︰「每個人的反應都有些微分別。有些人會左右移動滑鼠,有些人會上下移動,有些人會按鍵盤。」由於反應視乎個人,這技術令偽冒者難以模仿,而且不會讓用戶感受到麻煩的保安測試,不用按指紋掃描器也不用輸入驗證碼。

另一家為不少北歐銀行提供軟件的資訊安全公司BehavioSec的行政總裁哥斯提根(Neil Costigan)說︰「我們不需要人在完美的實驗室環境中坐下打字,你只需要默默觀察他們的正常行為。」

而且不像其他傳統認證方式,以行為特徵辨識身份並不止於登入一刻,在登入後仍可持續監察,增加偽冒身份的難度。

在打擊詐騙方面,這項技術甚至可以在沒有消費者個人資料的情況下,仍能夠發現欺詐。例如申請新帳戶時,行為特徵辨識系統會注意申請者填寫資料時在甚麼地方停下多久。一般申請者能夠流暢輸入個人資訊如姓名、電話及地址等,偽冒者通常使用「剪下」「貼上」功能,或者停下來查看資料。

使用者知道嗎?

這種不妨礙使用體驗的設計,卻有可能引起私隱問題。首先,跟指紋、臉部識別等認證不同,行為特徵辨識毋須使用者主動提供資料,消費者可能不知道自己的行為數據被收集。

世界私隱論壇的執行總監迪臣(Pam Dixon)指出︰「這是一般情況下應該需要保障消費者的數據,但他們沒有任何保護。使用這些系統的公司並沒有任何告示。」而在大多數國家,收集及採用行為特徵數據不受法例規管。迪臣又提到,雖然有時候這些公司會在內部儲存客戶數據,但很多時他們都容許提供服務的公司管有數據,這會增加風險。

撒拉斯尼表示,BioTech已有7000萬人的檔案,每個月監察60億筆交易。其競爭者Forter更指數據庫記錄了來自180個國家共1.75億人。換言之,假如這些公司被入侵,受影響人數可能有幾千萬以至過億。

私隱問題

那麼,數據被收集會引起甚麼問題呢?

其中一個潛在問題是,這些系統或能夠偵察到用戶的身體問題,例如若用戶開始手震的話,負責其汽車保險的公司可能會關注,但萬一用戶的銀行是其保險公司,同時能夠透過其軟件發現他的手不像過往般穩定,那有可能在用戶不知情下影響到其權益。

另外,銀行能夠以行為特徵確認身份,相關數據同樣會令人更難在網絡上不留下痕跡。資訊安全研究人員便曾經發現,即使用上強調私隱、為匿名上網而設的Tor瀏覽器,他們仍能夠為訪客的行為特徵建立檔案,假如在別處——例如銀行或其他使用行為特徵辨識的平台——取得同一人的資料,便能夠對比確認身份。對於需要避開監控的人而言,這並非好消息。

而且這些數據可結合其他追蹤方式,更大規模記錄所有人上過甚麼網站。過往有研究顯示,只需要少數瀏覽記錄便能夠「起底」找到用家的社交媒體帳戶;或者單憑「匿名」瀏覽記錄(僅得網址及相應的用戶代號)結合網上公開資料,就可以確認用戶的真正身份。

相關文章︰

資料來源︰

或許你會想看
更多『新聞』文章 更多『科技』文章 更多『Kayue』文章
Loader