密碼重置問題的其他選擇：行為生物統計特征技術
行為生物統計特征：人的因素
如果靜態KBA變得不安全，且動態KBA的使用也受到限制，那么什么技術可以填補空白呢？答案是行為生物統計特征（Behavioral Biometric Characteristics，BBC）技術。BBC利用的是人類日積月累形成的生物統計特征，至少有部分特征是基于行為的，而不是個人信息。BBC將有經驗的因素或生物統計數據作為輸入信息，從而進行身份驗證。BBC技術包括圖形對象選擇、擊鍵動態學（用戶的輸入動作）以及生物特征簽名。
對圖形對象選擇而言，系統首先給終端用戶提供的是一張包含了很多較小物體的圖片，而不是讓用戶選擇一組具有挑戰性的問題。舉例來講，雜亂的廚房、堆滿小孩玩具的后院、孩子的臥室、影像的一頁等，然后用戶瀏覽整張圖片并以特定的順序選擇3到4個圖形對象，比如在上述孩子臥室的圖片中，用戶可以從50個或更多的對象中選擇墻上的海報、床邊上的鬧鐘和地板上的一只臟襪子，然后系統會把這些選項和用戶的賬戶信息一起進行存儲。當需要驗證用戶身份以重置密碼時，系統會要求用戶對圖形對象做出相同的選擇。因為只有用戶自己知道是按照怎樣的順序選中了哪些物體，所以其他人要想做出同樣的選擇是相當困難的。
2009年，加州大學伯克利分校進行的一項研究證實了行為生物統計特征技術比傳統的密碼驗證方案更安全。BiometricSignatureID.com（BioSig-ID公司）是一家可以使用圖形對象選擇進行身份驗證的廠商。當然，這種技術也存在問題，即用戶可能會忘記所選對象或選擇的順序。使用這種技術的網站應該指導用戶進行對象選擇，并提醒用戶應選擇自己很容易記住的圖形對象。
擊鍵動態學（Keystroke dynamics）采用的是不同的方法。人們平均每分鐘打30至40個字，但研究人員在觀察人們敲擊鍵盤的動作時卻發現，每個人的擊鍵動態（即敲擊特定字母組合之間的時間差）就像指紋一樣***。這意味著，將擊鍵動態學工具與簡單的靜態KBA產品結合起來，完全可以以較高的安全強度驗證用戶的個人身份。
擊鍵動態學技術正逐步成為身份驗證的一個熱點，不少于10家公司的產品已進入市場就可以證明這一點，這些公司包括AdmitOne安全公司、iMagic軟件公司、ID control B.V.、Deepnet安全公司、Psylock公司等。但是，同任何新興技術一樣，該技術也存在著技術問題及法律問題。擊鍵記錄軟件的秘密使用呈現出上升趨勢，這明顯違反了諸如美國愛國者法案（Patriot Act.）等法律。如果沒有獲得正在操作鍵盤的用戶的明確同意，即使是對實際剩余的消息內容（由此產生的文字）也不允許進行分析、讀取或保留，文本的“動態上下文”狀態在法律上也可能是懸而未決的。在嘗試使用這些軟件甚至是進行實驗之前，你應該咨詢一下在該領域很有經驗的法律顧問。
***一個要討論的終端用戶身份驗證技術是生物簽名（biometric signatures）。和靜態KBA類似，圖形對象選擇技術的一個缺陷是：它使用的是具有靜態對象的靜態圖形。你可能很容易猜到，這一點使得該技術的安全強度不夠。為了消除這種風險，生物簽名技術提供了一個圖形對象或對象組，要求用戶使用鼠標或觸摸板拖動自己的圖形。
作為驗證過程的一部分，系統為用戶提供了一個有網格線的繪圖區域，要求用戶在任意網格中繪制任何形狀。接著，系統會將這些圖像進行分析和儲存。當用戶需要重新驗證身份時，計算機將顯示該網格并要求用戶重新繪制圖像。盡管計算機鼠標和觸摸板的繪圖功能有些粗糙，但對于身份驗證而言圖像已經足夠精確了。與動態KBA不同的是，生物簽名技術的信息不是來自公共記錄，因此降低了使用隱私信息所帶來的風險，但它的缺點是：只有BioSig-ID一家公司將該技術進行了商業化，其他可能會開發生物簽名技術的公司尚未做到這一點。
總結
在公司決定從一種靜態KBA技術轉向另一種在本文中提到的更先進技術之前，他們必須考慮以下幾個問題，以確定這種轉變在技術方面或最終用戶及用戶流程方面是否值得：
◆使用驗證技術之后，密碼身份驗證能否對所訪問的信息提供充分的保護？
◆目前所使用的技術具有多大的風險？
◆有沒有其他靜態KBA問題，能使個人信息不易暴露出來？
◆終端用戶是誰?他們將如何使用這些技術？他們對這些技術了解多少？
◆我們是否有法律專家來決定如何依法實施任何的新技術？
◆我們是否有專業技能來實施一種新技術，換句話說，我們是否需要考慮SaaS模式或其他的方式？
◆我們如何正式修改現有的應用程序，以便支持另一種技術？
◆未來一年內我們會在哪些地方實施身份驗證？未來兩年、五年呢？
本文只是探索了用戶可以更可靠實施驗證的一種途徑，但也有其他的選擇，比如系統ID信譽（system ID reputations），即已知惡意軟件和“僵尸網絡”發布系統的“禁飛名單（no fly list）”；設備信譽（device reputation），該技術基于與已知終端用戶系統組件相匹配的設備組件，甚至是采用了簡單的圖形技術去驗證用戶是一個人而不是一臺“僵尸電腦”。但在未來幾年內，一些新技術和新設備最終更有可能結合在一起使用，從而保證合法用戶可以更換自己的密碼。
【編輯推薦】
