Digital-технологии призваны сделать повседневную жизнь удобнее. Однако вместе с переходом на цифровые услуги, людям приходится придумывать все больше сложных паролей, которые в итоге просто невозможно запомнить. Чтобы обеспечить пользователям одновременно простоту в использовании и безопасность, финансовые учреждения должны думать над альтернативными способами аутентификации клиентов.
В первую очередь стоит присмотреться к технологиям биометрических данных, что Bilderlings Pay и сделал в этой публикации, адаптировав англоязычную статью, опубликованную в The Financial Brand.
Корень проблемы кроется в количестве ресурсов, которыми мы пользуемся — каждое устройство, приложение, сервис требуют отдельного пароля, желательно сложного и надежного. По некоторым оценкам, в ближайшем будущем каждому потребителю потребуется около 200 различных паролей. Это слишком большой объем данных, чтобы хранить его в голове.
Проблемы управления паролями
Управление растущим количеством паролей становится отдельной задачей для пользователей. Сегодня потребители цифровых технологий используют несколько методов, чтобы справиться с проблемой.
Один пароль для всех аккаунтов. Худший из всех возможных вариантов из-за принципа домино: стоит взломать один ресурс, и злоумышленнику тут же откроются все ваши «защищенные» данные.
Различные варианты одного пароля. Относительная простота запоминания и чуть больше гарантий безопасности, чем в предыдущем пункте.
Использование отдельного сервиса для генерации и хранения паролей. Это, пожалуй, самый безопасный вариант для пользователя, но сопряженный с определенными хлопотами и потому более обременительны.
По данным исследования Telesign, 73% взрослых жителей США и Великобритании используют один пароль для всего. Более половины потребителей (53%) используют всего 5 или менее паролей во всей своей онлайн-жизни, а 22% — три или менее паролей. И, наконец, 47% потребителей полагаются на пароль, который не меняли в течение 5-и лет.
Сложность заключается еще и в том, что даже если человек использует разные комбинации паролей, в любой момент он может забыть, какой из вариантов к какому сервису привязан. И как итог — утомительная функция «восстановить пароль».
Что предлагают финансовые учреждения сегодня: альтернатива «паролю»
Банковские системы ни в коем случае не должны снижать свои требования к безопасности и упрощать системы защиты данных. Тогда какой же выход из ситуации? На сегодняшний день существует несколько решений.
Традиционные «Имя пользователя»/ «Пароль». Этот метод самый распространенный и наиболее понятный для большинства пользователей, но и самый несовершенный. Именно в связи с тем, как люди придумывают и запоминают пароли: их либо легко взломать, либо легко забыть. А если пароль вылетает из головы, система «восстановить пароль» не слишком дружелюбна.
Парольная фраза — чуть более надежна, чем просто пароль и ее, как правило, легче запомнить. Но парольная фраза подразумевает достаточно длинное выражение, что затрудняет ввод с помощью смартфона, так что с момента появления мобильных банков парольные фразы перестали быть универсальным средством.
Двухфакторная аутентификация. В этом случае после успешного ввода комбинации имени пользователя/пароля требуется отдельное подтверждение — с помощью кода, отправленного по смс или другим способом. Однако это не так просто в случаях, когда мобильный телефон, на который зарегистрирован аккаунт, по каким-то причинам не в сети.
Вход через социальные сети. Использование «третьего лица» в виде социальных сетей типа Facebook, LinkedIn и Twitter вынуждает пользователя положиться на надежность своего аккаунта в соцсетях и не использовать те службы, которые могут блокировать социальные сети. Не говоря уже о том, что человек вообще должен быть зарегистрирован в соцсети.
Отсутствие пароля. Пользователю необходимо запомнить только логин и телефон/электронную почту, к которым привязан аккаунт. Сервис отправляет уникальный одноразовый код для входа в систему. Хлопотно, если есть проблемы с мобильной сетью или конкретным номером, к которому привязан сервис.
Биометрические данные. Использование отпечатков пальцев, сканирования сетчатки глаза, распознавания голоса и/или лица пользователя и многое другое из категории биометрических данных обретает все большую популярность. Наиболее наглядный и распространенный пример — функция Touch ID в устройствах Apple. И хотя данные технологии характерны именно для смартфонов, другие устройства развиваются в том же направлении.
Подключенные устройства. В данном случае используется Bluetooth или аналогичный вид подключения, который связывает два устройства, на одном из которых уже была произведена аутентификация пользователя. Например, если вы хотите зайти в онлайн-банк с помощью телефона, при этом прежде выполняли данную процедуру с помощью компьютера.
Выглядит, будто для аутентификации клиента существует широкий выбор опций. Однако столь это нередко свидетельствует о том, что просто нет единого образца, который удовлетворяет все стороны во всех отношениях.
Движение в сторону биометрических данных: «вы можете поделиться паролем, но не отпечатком пальца»
В рамках исследования «Мир за пределами паролей» было опрошено 4 тысячи человек. Так, 31% аудитории в возрасте 18-24 лет пользуется функцией сканирования отпечатка пальца для получения доступа к смартфону, тогда как в возрастной группе старше 65 лет — лишь 8% используют Touch ID. Ожидается, что данная функция вскоре будет доступна не только на устройствах Apple, но и на более дешевых моделях, и уже к концу 2017 года около триллиона человек будут пользоваться подобным средством аутентификации.
Крупные банки стали стремительно переходить на биометрические данные вместо привычной системы паролей. Сегодня все чаще происходит утечка данных, поэтому упрощение схемы аутентификации с одновременным повышением уровня защиты особенно актуальны.
В целях дополнительной безопасности некоторые банки используют геолокацию: если мобильный телефон клиента банка находится в непривычном географическом месте, требуется ввод пароля для доступа к счету.
Тренды и кейс USAA
Британская компания Mapa Research, исследуя тенденции биометрических данных в банковском деле, обнаружила, что 6 из 7-и банков Великобритании рассматривают переход на сканирование отпечатков пальца как средство аутентификации. Другие виды биометрических данных (распознавание голоса, сканирование сетчатки глаза и т.п.) пока что не пользуются популярностью.
Более прогрессивны в этом отношении финансовые компании в США. Так, кредитные корпоративы Mountain America и Arizona Federal Credit Union подключили функцию Eyeprint ID — идентификацию клиента с помощи сканирования сетчатки глаза. Для доступа к своему аккаунту необходима камера на смартфоне или компьютере, чтобы подтвердить свою личность с помощью уникального узора сетчатки глаза.
United Services Automobile Association — группа компаний диверсифицированных финансовых услуг — стала первопроходцем, введя в эксплуатацию распознание лица и голоса клиента для его аутентификации. Клиент может активировать данные функции с помощью мобильного банковского приложения.
Чтобы система узнавала вас по голосу, необходимо трижды произнести одну и ту же фразу, которую устройство будет ждать от вас каждый раз при входе в аккаунт. «Регистрация» лица клиента осуществляется с помощью фотографии, сделанной в момент входа. Каждый раз в процессе распознавания лица мигает специальная вспышка, защищающая от мошенничества: вы реагируете на световой сигнал, тогда как заранее сделанные (допустим, злоумышленниками) фотография или видео не могут.
Клиент USAA выбирает наиболее подходящий для себя способ аутентификации: отпечатки пальца, сетчатки, распознание лица или голоса, или привычный традиционный пароль.
За пределами биометрии
Да, биометрические данные очень сложно подделать, но это не значит, что они могут полностью избавить мир от мошенничества. Современные системы безопасности должны использовать многоступенчатую модель, задействовав разные технологии. Чем больше различных способов удостоверения личности требуется от пользователя, тем сложнее взломать аккаунт или выдать себя за другого человека.
Одной из наиболее интересных с точки зрения безопасности является авторизация, основанная на оценке рисков. Это динамическая система, которая предоставляет доступ в зависимости от надежности пользователя, запрашивающего вход, и «чувствительности» находящихся там данных. Что значит «надежность пользователя»? Механизм отслеживает и анализирует поведение пользователя, из чего делает выводы о его надежности. С помощью камеры, акселерометра (прибор, который призван помочь программному обеспечению смартфона определить положение, а также расстояние перемещения мобильного устройства в пространстве) и GPS смартфоны могут собирать широкий спектр данных о своем владельце, отслеживая его типичные выражения лица, ежедневные маршруты и другие поведенческие особенности.
Совокупность всех этих факторов — в 10 раз надежнее одних лишь отпечатков пальцев и в 100 раз надежнее паролей и PIN-кодов.
Большой шаг в Digital-будущее должны сделать все компании, стремящиеся к повышенному уровню безопасности. Интеграция дополнительных средств аутентификации пользователя — это стратегический приоритет всех финансовых учреждений.
