有时候感觉身份验证更像是一种平衡行为。一方面,确保您的数字体验是当务之急。维系客户对您服务的信任通常是与您的?品牌保持长期合作的关键。另一方面,在数字化转型的时代,客户也希望有一个简单的,易于操控的数字体验。
安全性和用户体验常常相互矛盾。额外的安全性意味着在客户的数字化之旅中会有附加的障碍。比如在双因素身份验证(2FA)中,短信验证码等因素,很可能会使用户有不好的体验。
基于风险的身份验证
一种有助于解决这些问题的策略是基于风险的身份验证(RBA)。此方法涉及根据风险指数创建不同级别的身份验证,还可以根据为每个用户或活动找到的风险因素构建。在这些场景中,组织会寻找表现出异常行为的用户。可能他们使用的设备与正常情况不同,或者从不同的位置登录了账户。这类情况下,将“提高”他们的身份验证要求,迫使其风险最大的用户执行多因素身份验证(MFA)的附加步骤。然后,其余的低风险用户只需要完成基本的身份验证步骤。
基于风险的身份验证被认为是对替代方案的改进,无需强制所有用户完成多因素身份验证,或者没有用户完成多因素身份验证。对于许多组织来说,高风险用户只占其用户总数的不到1%,因此有可能在MFA方面节省大量的运营成本。
但是,RBA战略仍然面临挑战。专业的攻击者可能会以低风险用户的身份出现,也许是使用仿真器来模拟真实的设备。此外,绝大多数低风险用户仍然被要求处理用户名和密码,这还是会导致用户体验度下降。
从风险度量到信任度量
那么,还有什么选择呢?商业领导者必须扩大视野,而不仅仅是欺诈和风险检测。应对安全和用户体验挑战的一种更强大,更现代的方法可能是将身份问题摆在桌面上,从风险度量转变为信任度量。通过分析风险指标和活跃的身份指标(行为生物特征,用户行为等),组织可以了解用户的背景,他们的行为以及他们在一系列数字身份信任和风险中所处的位置。
身份验证的未来可以是无缝的、自适应的
信任度量可以使组织为各种用户行为构建自定义的、细粒度的选项。风险高的用户会被阻止,允许那些风险仅为中等的用户访问,但是会限制他们能够访问什么信息或可以完成什么规模的交易。低风险用户(指有轻微异常的用户,比如使用新设备访问的用户)可能会被要求进行身份验证。高度受信任的用户(即使用行为生物识别匹配的已知设备的用户)甚至可以享受无缝的、自适应的身份验证体验。
安全,满足用户体验
那么,身份验证会损害用户体验吗?在许多情况下,它可能会损害用户体验但这不是一定的。如果做得好,使用一种基于信任的策略,结合风险和身份标识,身份验证可以是一种无缝的、自适应的体验。
文章来源: https://securityintelligence.com/posts/can-authentication-negatively-impact-the-user-experience/
关于我们
「龙归科技」 是一个专注于低代码赋能企业级信息化服务提供商。核心创始人团队来自绿盟安全、红帽开源操作系统、知名游戏玩蟹科技、知名开源社区等专家共同创立。
「龙归科技」 致力于让中国每一个企业拥有专属的自动化办公操作系统,助力企业或政府拥抱 (Cloud Native First)云原生优先战略,帮助客户构筑以「身份与应用」为中心的现代化 IT 基础设施!从而实现 「数字化转型」 及 「软件行业工业化生产」 !
主打产品:ArkOS方舟操作系统:一个企业级办公自动化操作系统 ,结合自研低代码应用开发平台,构建产业生态,专注为各类企业与组织机构打造一体化全栈云原生平台。系统自带应用包括:ArkID 统一身份认证,ArkIDE,ArkPlatform,App Store 等产品。截至目前,公司已经获得 15个 软件著作权、2个发明专利,并与2020年11月份,获得北京海淀区中关村国家高新技术企业认定。
相关链接:
官网:https://www.longguikeji.com/
文档:https://docs.arkid.longguikeji.com/
开源代码仓库地址:
https://github.com/longguikeji
历史文章