章建軍
從2012年起，大數據的話題在中(zhōng)國(guó)互聯網以及各個行業開始大熱，據說2013年已經被國(guó)外媒體(tǐ)稱為(wèi)“大數據元年”。除了最常規的用(yòng)戶挖掘、廣告價值提升，大數據被用(yòng)來制作(zuò)熱門電(diàn)視劇，建設醫(yī)療機構，甚至幫助奧巴馬連任等各種神話已經層出不窮。但互聯網最最基礎的一項工(gōng)作(zuò)——安(ān)全工(gōng)作(zuò)，似乎一直跟這股潮流沒什麽關系。
很(hěn)多(duō)人的印象中(zhōng)，互聯網安(ān)全無非就是裝(zhuāng)個殺毒軟件，網上支付的時候最好再拿(ná)個硬件盾(U盾)心裏才能(néng)踏實點。一出問題，得出互聯網始終還是比傳統世界不安(ān)全的結論，那是必須的。我們搞互聯網安(ān)全的，有(yǒu)那麽沒有(yǒu)技(jì )術含量嗎？這裏簡單給大家介紹下網上支付控制風險的一個利器——正是現在所有(yǒu)人熱捧的大數據。
傳統安(ān)全認證方式及其問題
之前有(yǒu)人說“在互聯網上，沒人知道你是一條狗”，這種“身份不确定性”對于互聯網金融服務(wù)來說，是一個永遠(yuǎn)的風險。網絡釣魚、木(mù)馬傳播、賬号竊取等帶來的盜用(yòng)和欺詐都是這種風險的直接體(tǐ)現。
所以，就有(yǒu)了人們最熟悉的幾種安(ān)全認證手段：一是用(yòng)戶所知道的東西，比如密碼；二是用(yòng)戶所擁有(yǒu)的東西，比如數字證書、硬件盾。他(tā)們的本質(zhì)都是，當支付服務(wù)接收到支付請求時，為(wèi)了減低支付風險，服務(wù)端要先确認支付發起者的身份是合法的。
但以上兩種方法都會遇到一些障礙，比如密碼容易忘記，有(yǒu)些人所有(yǒu)應用(yòng)都用(yòng)同一個密碼，密碼還可(kě)能(néng)存在洩露的風險。這一點，2011年底的CSDN密碼洩露事件就給了所有(yǒu)人一個警示。
數字證書和硬件盾的問題在于，更換電(diàn)腦或者重裝(zhuāng)系統之後，電(diàn)腦中(zhōng)沒有(yǒu)數字證書，用(yòng)戶就會無法支付，而硬件盾可(kě)能(néng)丢失或者損壞，發生這種情況，用(yòng)戶也會無法支付。這也是至今很(hěn)多(duō)用(yòng)戶都沒有(yǒu)選擇這些安(ān)全産(chǎn)品的原因。
第三種現在廣泛使用(yòng)的安(ān)全認證方式是手機檢驗碼。 用(yòng)戶在電(diàn)子商(shāng)務(wù)網站、網上銀行或者第三方支付網站預留手機之後，就可(kě)以在需要進行身份确認時接收動态驗證碼。 手機有(yǒu)良好的攜帶性、私密性，手機短信的達到率可(kě)以達到90%以上。因此手機短信動态驗證碼被電(diàn)子銀行和第三方支付大量使用(yòng)。
在手機短信驗證碼被大量使用(yòng)之後，不法分(fēn)子也開始針對性的展開攻勢。釣魚網站、電(diàn)話的方式騙取驗證碼甚至成為(wèi)一個黑色産(chǎn)業鏈，對電(diàn)子商(shāng)務(wù)環境造成很(hěn)大的負面影響。
舉個真實的案例，支付寶為(wèi)了防止不法分(fēn)子冒充工(gōng)作(zuò)人員向用(yòng)戶騙取手機校驗碼，曾經在發送短信校驗碼的短信文(wén)案中(zhōng)明确寫到“淘寶或支付寶工(gōng)作(zuò)人員不會向您索取短信校驗碼”。有(yǒu)一次，一位用(yòng)戶接到一位假客服的電(diàn)話，假客服以幫她處理(lǐ)交易為(wèi)由向她索取校驗碼，這位用(yòng)戶跟假客服說，“短信裏面說了工(gōng)作(zuò)人員不會向我索取短信校驗碼的。”假客服可(kě)能(néng)也是靈機一動，回答(dá)說，“我不是淘寶和支付寶的，我是賣家。”這位用(yòng)戶就把校驗碼告訴假客服了。為(wèi)此，支付寶隻好更改了短信校驗碼的文(wén)案，明确說明“任何索取短信校驗碼的行為(wèi)均是詐騙行為(wèi)。”
即使這樣，用(yòng)戶被騙取短信校驗碼的情況還是不能(néng)絕迹。因為(wèi)這類非法騙取驗證碼的行為(wèi)很(hěn)多(duō)是有(yǒu)組織的實施，加上受害者的防範意識比較薄弱，成功騙取的概率始終是存在的。電(diàn)子銀行和第三方支付想要很(hěn)好的控制這種非法行為(wèi)，存在很(hěn)大的難度。
設備行為(wèi)分(fēn)析的優勢：你可(kě)以易容，但你的行為(wèi)特征很(hěn)難改變
為(wèi)了降低支付風險而引入了身份認證，但是身份認證過程本身也存在被攻擊的可(kě)能(néng)性。那麽，能(néng)否減少網絡行為(wèi)中(zhōng)的“身份認證”環節呢(ne)？
答(dá)案是肯定的。不法分(fēn)子可(kě)能(néng)通過各種方式掌握你的密碼，騙取你的校驗碼，但他(tā)要完全使自己的行為(wèi)特征跟你相似，那就要難得多(duō)。就好像整容很(hěn)容易，但要改變你的行為(wèi)特征卻很(hěn)難一樣。能(néng)夠通過這樣的數據化、技(jì )術化的手段去控制風險，這就是互聯網做安(ān)全的優勢。
事實上，通過對用(yòng)戶支付行為(wèi)的習慣數據進行分(fēn)析來進行身份認證，可(kě)以很(hěn)好的減少在支付過程中(zhōng)身份認證對用(yòng)戶的打擾。
行為(wèi)在一段時間之内形成規律，就好比某個人習慣用(yòng)左手寫字。通過分(fēn)析這種行為(wèi)習慣，就可(kě)以知道用(yòng)戶的真實身份。
用(yòng)戶在網絡上的行為(wèi)都會留下“信息”，比如在什麽時間支付、購(gòu)物(wù)的金額、使用(yòng)什麽樣的網絡。
在網絡上，一個人能(néng)獲取到的設備是有(yǒu)限的，一般是辦(bàn)公(gōng)室電(diàn)腦、家裏電(diàn)腦、手機等。如果在一個“可(kě)信”的設備上登錄系統，那麽當前行為(wèi)的可(kě)信度就較高。那麽設備又(yòu)是行為(wèi)分(fēn)析中(zhōng)的關鍵點。
網絡行為(wèi)一般包含5個方面的因素：在什麽時間、使用(yòng)什麽設備、賬号、登錄什麽網站、做了什麽。
我們可(kě)以給每個設備一個“可(kě)信度”，用(yòng)戶的行為(wèi)與設備進行關聯，每次用(yòng)戶的行為(wèi)都可(kě)以動态的改變“可(kě)信度”。
一次可(kě)信的、合法的行為(wèi)會增加可(kě)信度，一次不可(kě)信的、非法的行為(wèi)會減少可(kě)信度。而增加和減少的“度”，是通過一套複雜的模型，采用(yòng)機器學(xué)習的方式獲得。這樣就圍繞設備形成一個閉環，“輸入-處理(lǐ)-輸出-反饋”。
除了可(kě)以改變用(yòng)戶直接使用(yòng)的設備的可(kě)信度，甚至還可(kě)以通過“設備”與“設備”之間的關聯關系動态改變設備的可(kě)信度。比如，用(yòng)戶A使用(yòng)手機A，使用(yòng)聲波支付給用(yòng)戶B的手機B轉賬1000塊，那麽除了手機A的可(kě)信度提升，手機B的可(kě)信度也可(kě)以相應提升。 分(fēn)析設備直接的關系同樣也可(kě)以建立一套複雜的模型。
因為(wèi)用(yòng)戶網絡行為(wèi)會映射到設備的操作(zuò)行為(wèi)，所以通過對設備可(kě)信度的分(fēn)析，就可(kě)以知道行為(wèi)的風險有(yǒu)多(duō)高。而且這個過程中(zhōng)，不需要用(yòng)戶主動安(ān)裝(zhuāng)數字證書或者硬件盾，不需要接收校驗碼，對用(yòng)戶的體(tǐ)驗也會有(yǒu)明顯提升。
随着移動互聯網興起，地理(lǐ)位置定位、加速度感應等成為(wèi)主流智能(néng)手機的标準配置。智能(néng)設備上的傳感器，就好比人的五官，不斷的采集周圍環境的信息，這就為(wèi)設備行為(wèi)的分(fēn)析提供更豐富的數據。這些智能(néng)化的設備散步在世界的每個角落，分(fēn)分(fēn)秒(miǎo)秒(miǎo)都在生産(chǎn)和傳輸信息；未來的挑戰，不是用(yòng)于分(fēn)析的數據不夠，而在于對如此龐大數據的儲存和分(fēn)析能(néng)力。
通過設備行為(wèi)分(fēn)析的方式去控制風險，隻是通過大數據的方法去進行風險控制的一種。在國(guó)外paypal就沒有(yǒu)數字證書、硬件盾這樣的安(ān)全産(chǎn)品，就是靠分(fēn)析用(yòng)戶與設備的行為(wèi)去控制風險。中(zhōng)國(guó)的環境下，用(yòng)戶對安(ān)全的要求更高，安(ān)全感也更差，之前國(guó)内領先的第三方支付公(gōng)司更多(duō)還是采取安(ān)全産(chǎn)品、校驗碼這些用(yòng)戶能(néng)夠明顯感知到的安(ān)全認證方式。但設備行為(wèi)分(fēn)析這樣的新(xīn)方式也已經開始起步。
還是那句話，這個世界上沒有(yǒu)絕對意義上的安(ān)全，互聯網上也是如此。但不論是要降低風險發生率本身，還是要提升風控過程中(zhōng)的用(yòng)戶體(tǐ)驗和效率，互聯網的方式、大數據的方式都要優于傳統方式，這就是時代進步的必然。大家既要看到問題，也要看到這樣更積極的一面。
