Аутентификация на основе знаний , обычно называемая KBA , представляет собой метод аутентификации, который направлен на подтверждение личности кого-то, кто обращается к услуге, такой как финансовое учреждение или веб-сайт. Как следует из названия, KBA требует знания частной информации от человека, чтобы доказать, что лицо, предоставляющее идентификационную информацию, является владельцем личности. Существует два типа KBA: статический KBA , который основан на заранее согласованном наборе общих секретов, и динамический KBA , который основан на вопросах, созданных на основе более широкой базы личной информации. [1]
Статический KBA, также называемый «совместно используемыми секретами» или «совместно используемыми секретными вопросами», обычно используется банками, компаниями , предоставляющими финансовые услуги, и провайдерами электронной почты для подтверждения личности клиента перед тем, как разрешить доступ к учетной записи, или в качестве запасного варианта. , если пользователь забыл свой пароль. В момент первоначального контакта с клиентом бизнес, использующий статический KBA, должен собрать информацию, которая будет передана поставщику и клиенту - чаще всего это вопросы и соответствующие ответы. Затем эти данные должны храниться только для того, чтобы их можно было извлечь, когда клиент вернется для доступа к учетной записи.
Слабость статического KBA была продемонстрирована в инциденте 2008 года, когда был получен несанкционированный доступ к учетной записи электронной почты бывшего губернатора Аляски Сары Пэйлин . Yahoo! пароль учетной записи можно сбросить с помощью общих секретных вопросов, в том числе «где вы познакомились со своим супругом?» вместе с датой рождения и почтовым индексом бывшего губернатора, ответы на которые можно было легко найти в Интернете.
Некоторые поставщики услуг проверки личности недавно ввели секретные звуки или изображения, чтобы защитить сайты и информацию. Эта тактика требует тех же методов хранения и поиска данных, что и секретные вопросы.
Динамический КБА
Динамический KBA - это высокий уровень аутентификации, который использует вопросы о знаниях для проверки каждой индивидуальной личности, но не требует, чтобы человек заранее предоставил вопросы и ответы. Вопросы составляются на основе общедоступных и частных данных, таких как маркетинговые данные, кредитные отчеты или история транзакций.
Чтобы инициировать процесс, потребитель должен предоставить основные идентификационные факторы, такие как имя, адрес и дату рождения, и проверить их в службе проверки личности . После подтверждения личности вопросы генерируются в реальном времени из записей данных, соответствующих предоставленной личности. Как правило, знания, необходимые для ответа на вопросы, недоступны в кошельке человека (некоторые компании называют их «вопросами вне кошелька»), что затрудняет получение ответа и доступ к защищенным Информация. Как правило, продолжительность и количество попыток ответа ограничены, чтобы предотвратить поиск ответов.
Dynamic KBA используется в нескольких различных отраслях для проверки личности клиентов в качестве средства предотвращения мошенничества и соблюдения нормативных требований. Поскольку этот тип KBA не основан на существующих отношениях с потребителем, он дает компаниям возможность повысить надежность идентификации клиента во время создания учетной записи.
Смотрите также
Рекомендации
- Варгезе, Томас. «Устранение красных флажков». Журнал SC, 28 января 2009 г. http://www.scmagazineus.com/addressing-red-flags-compliance/article/126529/ . Проверено 15 сентября 2009.
- ^ К. Скрачич, П. Пале и Б. Йерен, « Требования аутентификации, основанные на знаниях », 36-я Международная конвенция по информационным и коммуникационным технологиям, электронике и микроэлектронике (MIPRO) , 2013 г., Опатия, Хорватия, 2013 г., стр. 1116-1120.