Аутентификация на основе знаний

Аутентификация на основе знаний , обычно называемая KBA , — это метод аутентификации , целью которого является подтверждение личности человека, получающего доступ к такой услуге, как финансовое учреждение или веб-сайт. Как следует из названия, KBA требует знания частной информации от человека, чтобы доказать, что лицо, предоставляющее идентификационную информацию, является владельцем личности. Существует два типа KBA: статический KBA , который основан на заранее согласованном наборе общих секретов, и динамический KBA , который основан на вопросах, созданных на основе более широкой базы личной информации. ^[1]

Статический KBA (общие секреты)

Статический KBA, также называемый «общими секретами» или «общими секретными вопросами», обычно используется банками, компаниями, предоставляющими финансовые услуги , и поставщиками электронной почты для подтверждения личности клиента перед разрешением доступа к учетной записи или в качестве запасного варианта. , если пользователь забудет свой пароль. В момент первоначального контакта с клиентом компания, использующая статический KBA, должна собрать информацию, которая будет передана поставщику и клиенту — чаще всего это вопросы и соответствующие ответы. Затем эти данные необходимо сохранить только для того, чтобы их можно было получить, когда клиент вернется для доступа к учетной записи.

Слабость статического KBA была продемонстрирована в инциденте в 2008 году , когда был получен несанкционированный доступ к учетной записи электронной почты бывшего губернатора Аляски Сары Пэйлин . Yahoo! пароль учетной записи можно было сбросить с помощью общих секретных вопросов, включая «где вы познакомились со своим супругом?» а также дату рождения и почтовый индекс бывшего губернатора, ответы на которые можно было легко найти в Интернете.

Некоторые поставщики услуг проверки личности недавно ввели секретные звуки или изображения, чтобы обеспечить безопасность сайтов и информации. Эта тактика требует тех же методов хранения и поиска данных, что и секретные вопросы.

Динамический КБА

Динамический KBA — это высокий уровень аутентификации, который использует вопросы знаний для проверки личности каждого человека, но не требует от человека предварительного предоставления вопросов и ответов. Вопросы составляются на основе общедоступных и частных данных, таких как маркетинговые данные, кредитные отчеты или история транзакций.

Чтобы начать процесс, потребитель должен предоставить основные идентификационные факторы, такие как имя, адрес и дата рождения, и проверить их с помощью службы проверки личности . После проверки личности вопросы генерируются в режиме реального времени на основе записей данных, соответствующих предоставленной индивидуальной личности. Как правило, знания, необходимые для ответа на вопросы, недоступны в бумажнике человека (некоторые компании называют их «вопросами из кошелька»), что затрудняет для кого-либо, кроме фактического владельца личности, узнать ответ и получить доступ к защищенным данным. информация. Как правило, продолжительность времени и количество попыток ответа ограничиваются, чтобы предотвратить исследование ответов.

Dynamic KBA используется в нескольких различных отраслях для проверки личности клиентов в качестве средства предотвращения мошенничества и соблюдения нормативных требований. Поскольку этот тип KBA не основан на существующих отношениях с потребителем, он дает компаниям возможность обеспечить более высокую степень уверенности в личности клиента во время создания учетной записи.

См. также

Ссылки

^ К. Скрачич, П. Пале и Б. Джерен, « Требования к аутентификации, основанной на знаниях », 36-я Международная конвенция по информационным и коммуникационным технологиям, электронике и микроэлектронике (MIPRO) , 2013 г., Опатия, Хорватия, 2013 г., стр. 1116-1120.

[1] К. Скрачич, П. Пале и Б. Джерен, « Требования к аутентификации, основанной на знаниях », 36-я Международная конвенция по информационным и коммуникационным технологиям, электронике и микроэлектронике (MIPRO) , 2013 г., Опатия, Хорватия, 2013 г., стр. 1116-1120.

[1]