章建軍
從2012年起，大資料的話題在中國網際網路以及各個行業開始大熱，據說2013年已經被國外媒體稱為“大資料元年”。除了最常規的使用者挖掘、廣告價值提升，大資料被用來製作熱門電視劇，建設醫療機構，甚至幫助奧巴馬連任等各種神話已經層出不窮。但網際網路最最基礎的一項工作——安全工作，似乎一直跟這股潮流沒什麼關係。
很多人的印象中，網際網路安全無非就是裝個防毒軟體，網上支付的時候最好再拿個硬體盾(U盾)心裡才能踏實點。一出問題，得出網際網路始終還是比傳統世界不安全的結論，那是必須的。我們搞網際網路安全的，有那麼沒有技術含量嗎？這裡簡單給大家介紹下網上支付控制風險的一個利器——正是現在所有人熱捧的大資料。
傳統安全認證方式及其問題
之前有人說“在網際網路上，沒人知道你是一條狗”，這種“身份不確定性”對於網際網路金融服務來說，是一個永遠的風險。網路釣魚、木馬傳播、賬號竊取等帶來的盜用和欺詐都是這種風險的直接體現。
所以，就有了人們最熟悉的幾種安全認證手段：一是使用者所知道的東西，比如密碼；二是使用者所擁有的東西，比如數字證書、硬體盾。他們的本質都是，當支付服務接收到支付請求時，為了減低支付風險，服務端要先確認支付發起者的身份是合法的。
但以上兩種方法都會遇到一些障礙，比如密碼容易忘記，有些人所有應用都用同一個密碼，密碼還可能存在洩露的風險。這一點，2011年底的CSDN密碼洩露事件就給了所有人一個警示。
數字證書和硬體盾的問題在於，更換電腦或者重灌系統之後，電腦中沒有數字證書，使用者就會無法支付，而硬體盾可能丟失或者損壞，發生這種情況，使用者也會無法支付。這也是至今很多使用者都沒有選擇這些安全產品的原因。
第三種現在廣泛使用的安全認證方式是手機檢驗碼。 使用者在電子商務網站、網上銀行或者第三方支付網站預留手機之後，就可以在需要進行身份確認時接收動態驗證碼。 手機有良好的攜帶性、私密性，手機簡訊的達到率可以達到90%以上。因此手機簡訊動態驗證碼被電子銀行和第三方支付大量使用。
在手機簡訊驗證碼被大量使用之後，不法分子也開始針對性的展開攻勢。釣魚網站、電話的方式騙取驗證碼甚至成為一個黑色產業鏈，對電子商務環境造成很大的負面影響。
舉個真實的案例，支付寶為了防止不法分子冒充工作人員向使用者騙取手機校驗碼，曾經在傳送簡訊校驗碼的簡訊文案中明確寫到“淘寶或支付寶工作人員不會向您索取簡訊校驗碼”。有一次，一位使用者接到一位假客服的電話，假客服以幫她處理交易為由向她索取校驗碼，這位使用者跟假客服說，“簡訊裡面說了工作人員不會向我索取簡訊校驗碼的。”假客服可能也是靈機一動，回答說，“我不是淘寶和支付寶的，我是賣家。”這位使用者就把校驗碼告訴假客服了。為此，支付寶只好更改了簡訊校驗碼的文案，明確說明“任何索取簡訊校驗碼的行為均是詐騙行為。”
即使這樣，使用者被騙取簡訊校驗碼的情況還是不能絕跡。因為這類非法騙取驗證碼的行為很多是有組織的實施，加上受害者的防範意識比較薄弱，成功騙取的概率始終是存在的。電子銀行和第三方支付想要很好的控制這種非法行為，存在很大的難度。
裝置行為分析的優勢：你可以易容，但你的行為特徵很難改變
為了降低支付風險而引入了身份認證，但是身份認證過程本身也存在被攻擊的可能性。那麼，能否減少網路行為中的“身份認證”環節呢？
答案是肯定的。不法分子可能通過各種方式掌握你的密碼，騙取你的校驗碼，但他要完全使自己的行為特徵跟你相似，那就要難得多。就好像整容很容易，但要改變你的行為特徵卻很難一樣。能夠通過這樣的資料化、技術化的手段去控制風險，這就是網際網路做安全的優勢。
事實上，通過對使用者支付行為的習慣資料進行分析來進行身份認證，可以很好的減少在支付過程中身份認證對使用者的打擾。
使用者在網路上的行為都會留下“資訊”，比如在什麼時間支付、購物的金額、使用什麼樣的網路。
行為在一段時間之內形成規律，就好比某個人習慣用左手寫字。通過分析這種行為習慣，就可以知道使用者的真實身份。
網路行為一般包含5個方面的因素：在什麼時間、使用什麼裝置、賬號、登入什麼網站、做了什麼。
在網路上，一個人能獲取到的裝置是有限的，一般是辦公室電腦、家裡電腦、手機等。如果在一個“可信”的裝置上登入系統，那麼當前行為的可信度就較高。那麼裝置又是行為分析中的關鍵點。
我們可以給每個裝置一個“可信度”，使用者的行為與裝置進行關聯，每次使用者的行為都可以動態的改變“可信度”。
一次可信的、合法的行為會增加可信度，一次不可信的、非法的行為會減少可信度。而增加和減少的“度”，是通過一套複雜的模型，採用機器學習的方式獲得。這樣就圍繞裝置形成一個閉環，“輸入-處理-輸出-反饋”。
除了可以改變使用者直接使用的裝置的可信度，甚至還可以通過“裝置”與“裝置”之間的關聯關係動態改變裝置的可信度。比如，使用者A使用手機A，使用聲波支付給使用者B的手機B轉賬1000塊，那麼除了手機A的可信度提升，手機B的可信度也可以相應提升。 分析裝置直接的關係同樣也可以建立一套複雜的模型。
因為使用者網路行為會對映到裝置的操作行為，所以通過對裝置可信度的分析，就可以知道行為的風險有多高。而且這個過程中，不需要使用者主動安裝數字證書或者硬體盾，不需要接收校驗碼，對使用者的體驗也會有明顯提升。
隨著移動網際網路興起，地理位置定位、加速度感應等成為主流智慧手機的標準配置。智慧裝置上的感測器，就好比人的五官，不斷的採集周圍環境的資訊，這就為裝置行為的分析提供更豐富的資料。這些智慧化的裝置散步在世界的每個角落，分分秒秒都在生產和傳輸資訊；未來的挑戰，不是用於分析的資料不夠，而在於對如此龐大資料的儲存和分析能力。
通過裝置行為分析的方式去控制風險，只是通過大資料的方法去進行風險控制的一種。在國外paypal就沒有數字證書、硬體盾這樣的安全產品，就是靠分析使用者與裝置的行為去控制風險。中國的環境下，使用者對安全的要求更高，安全感也更差，之前國內領先的第三方支付公司更多還是採取安全產品、校驗碼這些使用者能夠明顯感知到的安全認證方式。但裝置行為分析這樣的新方式也已經開始起步。
還是那句話，這個世界上沒有絕對意義上的安全，網際網路上也是如此。但不論是要降低風險發生率本身，還是要提升風控過程中的使用者體驗和效率，網際網路的方式、大資料的方式都要優於傳統方式，這就是時代進步的必然。大家既要看到問題，也要看到這樣更積極的一面。
via：@創事記