WO2021118399A1 - Способ и система динамической аутентификации и оценки риска пользователя - Google Patents

Способ и система динамической аутентификации и оценки риска пользователя Download PDF

Info

Publication number
WO2021118399A1
WO2021118399A1 PCT/RU2020/000490 RU2020000490W WO2021118399A1 WO 2021118399 A1 WO2021118399 A1 WO 2021118399A1 RU 2020000490 W RU2020000490 W RU 2020000490W WO 2021118399 A1 WO2021118399 A1 WO 2021118399A1
Authority
WO
WIPO (PCT)
Prior art keywords
user
data
authentication
mobile application
web resource
Prior art date
Application number
PCT/RU2020/000490
Other languages
English (en)
French (fr)
Inventor
Павел Сергеевич БОЛЬШАКОВ
Original Assignee
Павел Сергеевич БОЛЬШАКОВ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Павел Сергеевич БОЛЬШАКОВ filed Critical Павел Сергеевич БОЛЬШАКОВ
Publication of WO2021118399A1 publication Critical patent/WO2021118399A1/ru

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems

Definitions

  • the present technical solution relates to the field of computer technology, in particular, to a method and system for performing dynamic authentication and risk assessment of a user to ensure his access to web resources and / or mobile applications.
  • the first place is the assessment of the level of risk from actions carried out by the user, or data provided by the user. For example, to allow some financial transactions of users (for example, issuing credits), a preliminary assessment is made of the likelihood that the provided user data correspond to this particular user and that the said credit will be paid by the user.
  • US Pat. No. 8,560,436 describes a technology for computerized assessment of a borrower's credit risk in an online lending environment.
  • the mentioned service collects data about the borrower in social networks and forms, on the basis of the collected data, an assessment of the borrower's profile on the basis of predefined rules and established cross-links determined from the collected data.
  • Another US patent US 9684905 describes a technology for verifying user data. For this purpose, upon request, the consumer's asset is verified, for which the analysis of the consumer's confidential data and associated indirect data is performed. Based on the parameters of the asset (type, value, etc.) and the analyzed consumer data, a decision is made that the user data has been successfully verified.
  • Two-step verification or two-factor authentication (2FA). Secondary user authentication removes the requirement for one type of authentication information in the form of a username and password.
  • 2FA is now widely used by companies for online payments (like Visa 3D Secure) and authentication (like Google Mail 2-step verification). Despite improving the security of payments and authentication, this approach reduces the number of conversions in final purchases for mass e-commerce stores and chains. In the case of identity theft, this method has not shown significant results in protection against fraud.
  • One of the biggest problems with 2FA is the account recovery mechanism that is regularly used to hijack an account.
  • Hardware key or "key" protection A dongle, which usually connects to a computer via a USB port, can be used to identify end users.
  • DFP Device fingerprint
  • Biometrics This set of approaches includes: fingerprints, voice recognition, retinal scans, facial recognition, DNA, and other biometric identification methods. Biometrics is becoming more and more popular these days. The main reason for their popularity is the lower cost of use and the high efficiency of identification and protection against fraud. However, the massive use of this approach results in a significant decrease in the conversion of payments or subscriptions on public / commercial networks or sites.
  • the present technical solution is aimed at creating a new highly efficient way to ensure user authentication with the calculation of a trust rating based on their non-personal information.
  • the technical result is to ensure user authentication based on their non-personal data.
  • a method for dynamic authentication and risk assessment of a user on a web resource and / or in a mobile application, performed using a processor of a computer device comprising the steps of: setting for at least one web resource and / or mobile applications the threshold value of the trust rating for user authentication using the authentication system; registering user devices using an authentication system, during which collecting non-personal data of user devices; fix the connection to the said web resource and / or mobile application of at least one user device; at the moment of said connection, collecting non-personal data about the user device, and the collection of data is carried out in a seamless mode and / or when notifying the user at the time of access to the web resource and / or mobile application, depending on the selected settings of the authentication and risk assessment system; process the collected information
  • the collected non-personal data about the user's device includes at least one of: device descriptors, characteristics of the Internet connection, parameters of point b connections, data on the physical characteristics of the device, data on the online behavior or software of the device.
  • non-personal information about the user is collected, which includes descriptors of the user's biometric information, representing the non-personal part of the user's biometric data.
  • the biometric information of the user is selected from the group: face image, iris image, palm vein pattern, fingerprint.
  • a trust rating threshold for user authentication is generated based on trust predictors.
  • the extraction of the non-personal part of the biometric information occurs directly on the user's device, and the said biometric information does not leave the user's device.
  • the user's trust rating is recalculated.
  • the claimed solution is implemented using a system for dynamically authenticating a user on a web resource or in a mobile application, which contains at least one processor, at least one memory device that contains instructions executed by the processor, which, when executed implement the stages, which are: set for at least one web resource and / or mobile application a threshold value of the trust rating for user authentication using the authentication system; registering user devices using an authentication system, during which collecting non-personal data of user devices; fix the connection to the said web resource and / or mobile application of at least one user device; at the moment of said connection, collecting non-personal data about the user device, and the collection of data is carried out in a seamless mode and / or when notifying the user at the time of access to the web resource and / or mobile application, depending on the selected settings of the authentication and risk assessment system; process the collected information about the user device by comparing it with data stored in the authentication system, forming a reference set of trust parameters for performing authentication; determining the value of the trust rating to the said device initiating the connection,
  • the user's device is a smartphone, tablet, personal computer, laptop, smart wearable device, game console, smart TV, or car multimedia device.
  • FIG. 1 illustrates a general implementation of a system for implementing a dynamic authentication process.
  • FIG. 2 illustrates a flow diagram of the steps for performing a dynamic authentication method.
  • FIG. 3 illustrates a flow diagram of a method for requesting additional biometric information for dynamic authentication when required.
  • FIG. 4 illustrates a schematic diagram of a computing computing device.
  • Fraud eng. Fraud [l] "fraud" - a type of fraud in the field of information technology, in particular, unauthorized actions and misuse of resources and services
  • Gradient descent is a method of finding the local extremum (minimum or maximum) of a function by moving along the gradient.
  • one-dimensional optimization methods are used, for example, the golden ratio method. You can also search for not the best point in the direction of the gradient, but some better than the current one.
  • personal data means direct identifiers of an individual or a set of data that makes it possible to unambiguously identify an individual, or a set of data that allows direct communication with an individual.
  • Non-personal data means data that does not fall into the category of personal data and does not allow an unambiguous identification of an individual.
  • personal data may include:
  • biometric personal data For example, a medical record, medical test data.
  • a general view of the system (100) for implementing the present solution includes a user device (110), a web resource or a mobile application (120) (hereinafter referred to as an access resource), to which a user's device (110) requests access, a system authentication (130), which includes: application programming interface (API, 131), user account (132) and database (133).
  • API application programming interface
  • 132 user account
  • database 133
  • a predetermined value of the trust rating is set for each user device (110). This process is provided by registering users in the authentication system (130) and storing information about them and their accounts (132) in the database (133).
  • the API (131) of the authentication system (130) allows interaction and processing of requests between access resources (120) and user devices (110).
  • An access resource (120) can mean a website and / or a mobile application, for example, a website for providing banking services, an application for carrying out financial transactions, an application for controlling access, activating external devices, etc.
  • Information about users (110) is stored in the authentication system (130) in the form of descriptors that are calculated during the initial registration of users (110) in the authentication system (130).
  • Each access resource (120) is also registered in the authentication system (130), and a predetermined value of the trust rating is stored for it to allow users (110) to access said resource (120).
  • the user's device (110) can be a different format of computing devices, for example, a smartphone, tablet, personal computer, laptop, game console, smart TV, wearable smart device (watch, bracelet), etc.
  • Primary registration for collecting user descriptors is carried out by establishing a connection between the device (software) and the authentication system (130), for example, by installing a specialized software application to provide communication through the API (131).
  • User descriptors are stored for a user account (132) and transferred to a database (133) for their subsequent use to gain access to resources (120).
  • the authentication system (130) can be implemented using a server and corresponding software applications installed on user devices (110) and access resources (120) to provide a trust rating calculation for devices (110) making an access request.
  • the mentioned software application of the authentication system (130) is also designed to collect non-personal data from user devices (UE) to calculate the trust rating of such a device (110) for the corresponding access resource (120) when requesting access to it.
  • Such data can be, for example:
  • characteristics of the online connection including, for example: o the source and destination of the connection (addresses) (including IPV4 and IPV6),
  • the data about the user's device (110) can be:
  • descriptors of the device for example, fonts, geometric characteristics of the screen, plugins, etc .
  • the following can be used as user activity data:
  • graphic elements of the operating system or applications with which the user interacts for example, characteristics of the color palette used on the device, screen geometry, rendering of the graphical interface, type of video card, way of displaying fonts, colors, special characters, etc.
  • characteristics of data input eg: o special keys and special characters entered by the user (for example, by collecting statistics of keystroke interruptions), o time intervals between data entry (more generally, the frequency response of data entry) o application from which the user enters data (including the parameters described above for running applications), printing speed, etc.
  • characteristics of user activity in applications for example: about a set of installed specific applications (for example, rarely / frequently used applications, the type of such applications), about the time the user has been working (starting and stopping work in a particular application, time for performing predetermined actions), o statistics about how the user interacts with applications (for example, the frequency of performing predefined actions in applications, etc.). These characteristics use the number of openings of a particular application, the average session time in the application, etc.
  • the components of the system (100) are interconnected by means of a data transmission network, for example, the Internet.
  • a data transmission network for example, the Internet.
  • the principle of networking between the elements of the system (100) can be selected from various examples of such an organization, based on the achievements of the current technical level, for example, LAN, Wi-Fi, WAN, PAN, WLAN, etc.
  • the authentication system (130) can also be a widget or plug-in that can be installed on user devices (software) and function in a seamless mode, collecting the required information when requesting access to a resource (120).
  • the seamless mode is understood as the principle of operation from the side of the authentication system (130) without the need to request additional permissions to perform actions with the user's device (110).
  • FIG. 2 shows a process for implementing a method (200) for authenticating users (110).
  • the primary step in implementing the method (201) includes setting the required security parameters on the access resource (120). This process is performed using the authentication system (130) for each resource registered in it (120). For each resource (120), a set of metrics is established, based on which the subsequent calculation of the trust rating for users requesting access (110) is performed.
  • the processing is carried out by collecting data from the user device (110) at the time of requesting access to the access resource (120), for example, when downloading a mobile application.
  • the software logic and / or special libraries (as an integral software part of the resource (120)) installed on the user's device (110) collects non-personal information about the device (110) and transfers it to the database (133) for subsequent calculation of the trust rating.
  • the mentioned program logic is transferred to the device (110) and stored in its memory, the transfer is carried out together with the content of the access resource (120) at the time of its loading on the device (110).
  • the device descriptors described above are collected on the device (110), after which they are transmitted to the authentication system (130), where, based on the convolution of these descriptors, for example, using the MD5 method or gradient descent (one of the probabilistic methods for determining a device based on device descriptors), the result is compared with a stored image of the device in the system (130).
  • the marker reflects a risk event when the device descriptors did not match the reference image or value;
  • Constants or weights A1, A2, AZ can be determined based on historical observations or expert opinion. For example, you can take a sample of loan applications and mark it in the form of 0 and 1 (0 would mean the absence of fraud behavior, 1 - on the contrary, the presence of fraud behavior). Further, having these values and using the methods of mathematical statistics (and, for example, machine learning, big data analysis), it is possible to find the optimal values of these weights / coefficients based on various optimization conditions.
  • Y can take positive values.
  • a value of 0 reflects the absence of anomalies (the level of maximum confidence), values> 0 - reflect the presence of risks, the higher the value, the greater the risk.
  • a threshold of trust in function Y can be set to 0 or a small positive value based on historically verified observations (which can be determined for each system independently).
  • the number of variables used can be significantly more than 100 (this number does not affect the essence of the technical solution); logistic regression, GLM regression, decision trees, neural networks and / or their combinations can be used as functions.
  • great importance is attached to the use of rare events (large deviations) and their use in the system for assessing the level of trust.
  • Rare events allow you to identify users with a specific intent or pattern / pattern of behavior. An example of such a rare event would be that the user is using a TOP connection, the use of randomizers, or the user has a foreign non-standard keyboard layout for a specific market / country.
  • Rare events affect the scoring and user trust score within the rating function (rating calculation).
  • Rare events used within the described solution can be configured, added at the stage of setting up the system / solution, and in the process of work, after the accumulation of historical data.
  • non-personal information of the user device (110) is collected using the installed program logic from the access resource (120).
  • the collection of non-personal information is carried out exclusively on the device (110).
  • all sensitive information does not leave the device, which excludes the possibility of leakage or interception of the user's personal information.
  • the device (110) collects non-personal data, which is anonymized non-personal information, which excludes the possibility of reverse recovery of any personal user information from it.
  • This information is transmitted to the authentication system (130), where it is further processed at step (204).
  • the list of collected parameters and non-personal descriptors is provided in advance to the owner of the resource (120).
  • Anonymized personal information can be obtained by transforming personal data (information) in such processing methods that make it impossible to restore them back. So, for example, instead of hashing the entire phone number (for example, 10 digits, depending on the country), only some part, for example, 6 digits, can be used, which will not allow recovering the used phone number using this hash.
  • such information can be: device descriptors, characteristics of the Internet connection, geolocation data (not exceeding the accuracy of geolocation more (more precisely) than 1 residential block), connection point parameters, data on the physical characteristics of the device, data on online behavior or software providing the device, etc.
  • the authentication system (130) compares it with the data stored in the database (133) for the corresponding resource account (132), and such data forms a reference set of parameters trust to authenticate on the specified access resource (120).
  • the comparison method can be performed, for example, by comparing the hash sums from the array of collected information from the device (110) with the hash sum in the base (133) of the reference parameter set.
  • gradient descent can be used, which allows you to flexibly work with a different set of data and different metrics of the proximity of this data.
  • the authentication system (130) calculates the trust rating for the specified device (110) requesting access to the resource (120) at step (205).
  • the calculation of the trust rating can be performed using one or more machine learning algorithms, for example, decision trees, a combination of GLM and decision trees, K-nearest neighbors, SVM (Support Vector Machine), neural networks (deep neural networks), etc. (see. e.g. https://docs.opencv.org/3.4.6/dc/dd6/ml intro.html).
  • the initial data for calculating the trust rating can be such variables as: the number of requests for access from this device, how long ago the user made the last request, the coincidence of the descriptors of the current device with the reference one, the presence of anomalies on the device, the presence of anomalies in the Internet connection, the presence high-risk user behavior in the past, etc.
  • the trust rating (205) for the user's device (110) at step (206) is compared with the threshold rating value set for the access resource (120) to perform further procedures of the authentication process. If the calculated rating corresponds to the trust range, then the user (110) at step (207) is given access to the resource (120), otherwise, access is denied (208). For access to the resource (120), the value of the trust rating is also set for the "border zone", in which the initially calculated trust rating is less than the required value for granting access, but not small enough to form a denial of granting access.
  • FIG. 3 is a flowchart of a process for requesting additional information in step (300). This information is the biometric information of the user of the device (110).
  • biometric information (301) is carried out using software logic installed on the device (110) at the time of the request for access to the resource (120) at step (202).
  • the collected biometric information is processed (302) in order to obtain descriptors of the user's biometric information, which represent the non-personal part of the user's biometric data, excluding the possibility of its subsequent processing for the possibility of recovering information that uniquely identifies the user.
  • the initial biometric information can be, for example, an image of the user's face, an image of the iris of the eye, a drawing of the veins of the palm, or a fingerprint.
  • the collection of biometric information at step (301) is carried out using the software and hardware of the device (software), for example, a camera, an iris scanner, a fingerprint scanner, etc.
  • the collection and processing of descriptors is carried out exclusively on the user's device (110) and itself the received biometric information does not leave the device (110).
  • Only non-personalized non-personalized descriptors (303) are transmitted to the authentication system (130), for example, the calculation of the location of the fiducials calculated from the received image of the user.
  • methods for calculating descriptors can be used - SIFT, ORB, SURF, HOG, etc., in which key points are selected, which are then applied to the impression.
  • information about the online session is collected from the user's device (110) (online session token, device connection parameters (110), etc.).
  • the trust rating for such a device in step (205) its value falls within the range values that cannot unambiguously characterize the level of risk of such a device (110).
  • the calculated risk level is 0.75, when a risk level in the range [0.0, 0.2] (access allowed) or the range [0.8, 1.0] (access to resources is prohibited) is required to form unambiguous access rights to an access resource (120).
  • the calculation of the trust rating using the authentication system (130) is performed based on requests coming from the access resource (120) via the API (131). Such requests can be a standardized call facility in the form of curl / wget.
  • the authentication system transmits the calculated trust rating, dynamic authorization information, and calculated descriptor values to the access resource (120).
  • FIG. 4 shows a general example of a computing computing device (400) that can be used to implement the claimed method and / or system.
  • the device (400) contains components such as one or more processors (401), at least one random access memory (402), persistent data storage (403), I / O interfaces (404), I / O means (405), networking tools (406).
  • the components of the device (400) are usually interfaced through a common data bus.
  • the processor (401) of the device performs the basic computational operations necessary for the operation of the device (400) or the functionality of one or more of its components.
  • the processor (401) executes the necessary computer readable instructions contained in the main memory (402).
  • a processor (401) should also be understood as a graphics processor suitable for performing specialized processing within the framework of the claimed solution, which can be an additional means of calculation.
  • Memory (402), as a rule, is made in the form of RAM and contains the necessary program logic that provides the required functionality.
  • the data storage medium (403) can be performed in the form of HDD, SSD disks, raid array, network storage, flash memory, optical information storage devices (CD, DVD, MD, Blue-Ray disks), etc.
  • Means (403) allows for long-term storage of various types of information, for example, the history of processing requests (logs), user IDs, camera data, images, etc.
  • Interfaces (404) are standard means for connecting and working with cameras (110, 120, 130) or other computing devices, for example, USB, RS232, RJ45, LPT, COM, HDMI, PS / 2, Lightning, FireWire, etc. P.
  • the choice of interfaces (404) depends on the specific implementation of the device (400), which can be a personal computer, mainframe, server cluster, thin client, smartphone, laptop, etc.
  • a keyboard, joystick, display (touchscreen display), projector, touchpad, mouse, trackball, light pen, speakers, microphone, etc. can be used as data I / O (405).
  • Networking tools (406) are selected from devices that provide network reception and transmission of data, for example, Ethernet cards, WLAN / Wi-Fi module, Bluetooth module, BLE module, NFC module, IrDa, RFID module, GSM modem, etc.
  • the tool (406) provides the organization of data exchange via a wired or wireless data transmission channel, for example, WAN, PAN, LAN, Intranet, Internet, WLAN, WMAN or GSM.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Data Mining & Analysis (AREA)
  • Databases & Information Systems (AREA)
  • Mathematical Physics (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

Техническое решение относится к способу и системе для осуществления динамической аутентификации и оценки риска пользователя для обеспечения его доступа к веб-ресурсам и/или мобильным приложениям. Заявленный способ содержит этапы, на которых: устанавливают для веб-ресурса и/или мобильного приложения пороговое значение рейтинга доверия для аутентификации пользователя с помощью системы аутентификации; осуществляют регистрацию устройств пользователей; фиксируют подключение к веб-ресурсу и/или мобильному приложению пользовательского устройства; в момент подключения осуществляют сбор неперсональных данных о пользовательском устройстве, причем сбор данных осуществляется в бесшовном режиме и/или при уведомлении пользователя в момент доступа к веб-ресурсу и/или мобильному приложению в зависимости от выбранных настроек системы аутентификации и оценки риска; обрабатывают собранную информацию о пользовательском устройстве с помощью ее сравнения с данными, хранящимися в системе аутентификации, формирующими эталонный набор параметров доверия; определяют значение рейтинга доверия устройству, инициирующему подключение; принимают решение о предоставлении доступа пользователю к веб-ресурсу и/или мобильному приложению.

Description

СПОСОБ И СИСТЕМА ДИНАМИЧЕСКОЙ АУТЕНТИФИКАЦИИ И ОЦЕНКИ РИСКА ПОЛЬЗОВАТЕЛЯ
ОБЛАСТЬ ТЕХНИКИ
Настоящее техническое решение относится к области компьютерной техники, в частности к способу и системе для осуществления динамической аутентификации и оценки риска пользователя для обеспечения его доступа к веб-ресурсам и/или мобильным приложениям.
УРОВЕНЬ ТЕХНИКИ
Бурное развитие компьютерных технологий в последнее десятилетие, а также широкое распространение разнообразных вычислительных устройств (персональных компьютеров, ноутбуков, смартфонов и т.д.) стали мощным стимулом для использования упомянутых устройств в разнообразных сферах деятельности и для огромного количества задач (от интернет-сёрфинга до электронного документооборота и банковской деятельности). Параллельно с увеличением деятельности пользователей с использованием упомянутых вычислительных устройств через компьютерные сети росли и требования к такого рода деятельности - увеличению количества предоставляемых сервисов, увеличению скорости их работы, повышению уровня безопасности. Например, работа пользователя со своими финансами через банковский личный кабинет требует обеспечения безопасности и конфиденциальности данных, доступных из личного кабинета, быстрой авторизации пользователя в личном кабинете, а также быстрой реакции на действия, осуществляемые пользователем.
В современном мире использование недостаточно безопасных средств обмена данными между клиентами и удалёнными сервисами способно привести к огромным материальным и финансовым потерям. В финансовом секторе само использование персональных данных создаёт большие сложности по их защите - например, подмена персональных данных пользователей может обернуться потерей денег клиентов банков; в финансовом секторе неверная информация может привести к многомиллиардным убыткам и парализации работы фондовых бирж; в страховом секторе поддельная информация может стать причиной незаконных выплат и, как следствие, убытков страховых компаний. Поэтому в настоящее время на первое место выходит оценка уровня риска от действий, осуществляемых пользователем, или данных, предоставляемых пользователем. Например, для разрешения некоторых финансовых операций пользователей (к примеру, выдачу кредитов) предварительно производится оценка вероятности того, что предоставленные данные пользователя соответствуют именно этому пользователю и что упомянутый кредит будет выплачен пользователем.
Для решения описанных задач используются разнообразные скоринговые модели (англ, credit score), каждая из которых обладает своими плюсами и минусами - одни способны вычислить очень точные оценки, но работают очень долго или требуют большого количества ресурсов, другим для работы требуются персональные данные пользователей, которые могут быть скомпрометированы или к которым может быть осуществлён несанкционированный доступ (зачастую такие данные просто запрещено передавать и хранить в рамках законодательства стран, в которых работают пользователи). При этом часто встречаемая проблема заключается в недоступности данных для эффективной работы упомянутых скоринговых моделей, например, наличие информативной кредитной истории по пользователям, запрашивающим кредит онлайн, составляет в среднем 70-85%, а наличие информативных данных в социальных сетях - 60-80%.
В патенте США US 8560436 описана технология компьютеризированной оценки кредитного риска заёмщика в условиях онлайн-кредитования. С этой целью упомянутый сервис собирает данные о заёмщике в социальных сетях и формирует на основании собранных данных оценку профиля заёмщика на основании заранее заданных правил и установленных перекрёстных связей, определённых по собранным данным.
В другом патенте США US 9684905 описана технология верификации пользовательских данных. С этой целью, по запросу, выполняют проверку актива потребителя, для чего выполняют анализ конфиденциальных данных потребителя и связанных с ними косвенных данных. На основании параметров актива (тип, стоимость и т. д.) и проанализированных данных потребителя выносят решение о том, что пользовательские данные успешно прошли верификацию.
Описанные выше технологии хорошо справляются с задачами проверки пользователей, данных, предоставляемых пользователями и т. д., но при этом для своей работы требуют конфиденциальных или персональных данных пользователей, а также могут занимать значительное время.
Важным аспектом развития компьютерных технологий является возможность использования не только данных, предоставляемых непосредственно пользователем, но также информации, которая является неперсональной (деперсонифицированной) и позволяет осуществить оценку возможности доступа на основании расчета параметров доверия устройств без возможности утери или перехвата персональных данных пользователя.
Быстрый рост интернет-бизнеса определяется конкурентными преимуществами интернет- подобия - способностью общаться с огромным количеством клиентов без значительных капитальных затрат и способностью вести бизнес с более низкими эксплуатационными расходами. В то же время предприниматели, которые запускают онлайн-бизнес или переносят свою офлайн-деятельность в Интернет, допускают значительные риски, связанные с развитием бизнеса в информационно-коммуникационной сети, такие как, мошеннические заявления и платежи, кражи личных данных и репутационные риски. По мере того, как в интернете растет популярность, возможности предотвращения мошенничества и правильной идентификации клиентов становятся важными аспектами бизнес сферы в таких областях, как онлайн-банкинг, страхование, электронная коммерция, электронная торговля, онлайн-игры, социальные сети. В настоящее время существует несколько ключевых способов предотвращения мошенничества и аутентификации пользователей:
1) Пароли. Логины и пароли являются основой текущей системы аутентификации.
К сожалению, значительная часть наших логинов и паролей состоит из персональных данных, в частности, имен, фамилий и дат рождения. Таким образом, данный подход является наиболее уязвимым в целях его обхода. Кроме того, широкое распространение технологий фишинга и мошенничества позволяет осуществить обход или кражу даже сложных и необычных логинов и паролей.
2) Двухэтапная проверка или двухфакторная аутентификация (2FA). Вторичная аутентификация пользователя снимает требования к одному типу аутентификационной информации в виде логина и пароля. В настоящее время 2FA широко используется компаниями для онлайн-платежей (например, Visa 3D Secure) и аутентификации (например, Google Mail 2-ступенчатая проверка). Несмотря на повышение безопасности платежей и аутентификации, этот подход уменьшает количество конверсий в конечных покупках для массовых интернет-магазинов и сетей. В случае кражи личных данных этот метод не выявил существенных результатов в защите от мошенничества. Одна из самых больших проблем с 2FA — это механизм восстановления аккаунта, который регулярно используется для захвата аккаунта. ) Аппаратный ключ или защита «ключа». Аппаратный ключ, который обычно подключается к компьютеру через порт USB, может использоваться для идентификации конечных пользователей. По сравнению с обычными (софтверными) подходами, данный принцип обеспечивает существенное улучшение безопасности, однако, этот метод имеет ряд недостатков - он создает существенные барьеры для крупных публичных сетей и онлайн-магазинов и может быть скопирован или смоделирован. ) Цифровой сертификат. Использование сертификатов помогает значительно улучшить безопасность веб-соединения. К сожалению, сертификаты могут быть скопированы и даже украдены удаленно. Кроме того, цифровые сертификаты создают барьеры использования для массовых онлайн-сайтов и сетей. ) Стоп-листы. Списки скомпрометированных кредитных карт, похищенных учетных записей электронной почты и социальных профилей доказали свою эффективность. И в то же время, у этого подхода есть ряд недостатков. В первую очередь, у этого подхода есть временные ограничения, и его эффективность ограничена недавними кражами учетных записей, из чего следует, что общий эффект от стоп-листов со временем значительно ухудшается. Таким образом, этот подход зависит от регулярных обновлений / покупок стоп-листов, которые могут быть неэффективными по стоимости. ) Отпечаток устройства (англ. Device fingerprint - DFP). Это относительно новый подход, ставший популярным за последние 10 лет. Этот подход позволяет идентифицировать мошеннические или подозрительные логины / заявки на кредит на основе уникальных идентификаторов устройств, которые могут быть связаны с соответствующим пользователем или группой пользователей. Более того, этот подход помогает в аутентификации устройства, таким образом избегая дополнительных барьеров для использования сети / сайта пользователем. Однако у этого подхода есть ряд недостатков. Во-первых, все крупные разработчики браузеров стремятся стандартизировать свои браузеры и минимизировать количество уникальных идентификаторов, поскольку этот подход можно использовать для скрытого отслеживания пользователей; во-вторых, этот подход следует усилить с регулярно обновляемыми списками анонимизирующих IP- адресов (например, Proxy, VPN, TOR), чтобы обеспечить ценную защиту от кражи личных данных и мошеннических соединений.
7) Биометрия. Этот набор подходов включает в себя: отпечатки пальцев, распознавание голоса, сканирование сетчатки глаза, распознавание лица, ДНК и другие методы биометрической идентификации. Биометрия становится все более популярна в наши дни. Основной причиной их популярности является снижение стоимости использования и высокая эффективность идентификации и защиты от мошенничества. Однако массовое использование этого подхода приводит к значительному снижению конверсии платежей или подписки в общественных / коммерческих сетях или сайтах.
Таким образом, на текущий момент не существует единого высокоэффективного инструмента, который можно было бы использовать для аутентификации клиентов и предотвращения мошенничества — у всех методов аутентификации есть свои плюсы и минусы. И все вышеперечисленные подходы могут быть использованы, будучи эффективными для бизнеса.
Использование совокупности подходов для аутентификации вкупе с технологиями применения для оценки доступа неперсонифицированной (неперсональной) информации пользователей позволит создать новый высокоэффективный метод для современных бизнес-систем.
СУЩНОСТЬ
Настоящее техническое решение направлено на создание нового высокоэффективного способа обеспечения аутентификации пользователей с расчетом рейтинга доверия на основании их неперсональной информации.
Техническим результатом является обеспечение аутентификации пользователей на основании их неперсональных данных.
Дополнительным результатом является повышение защищенности данных пользователей при осуществлении процесса аутентификации за счет вычисления рейтинга доверия пользователей исключительно по дескрипторам их неперсональных данных и данных устройств пользователей, с помощью которых осуществляется запрос на получение доступа. В одном из предпочтительных вариантов реализации заявлен выполняемый с помощью процессора компьютерного устройства способ динамической аутентификации и оценки риска пользователя на веб-ресурсе и/или в мобильном приложении, содержащий этапы, на которых: устанавливают для по меньшей мере одного веб-ресурса и/или мобильного приложения пороговое значение рейтинга доверия для аутентификации пользователя с помощью системы аутентификации; осуществляют регистрацию устройств пользователей с помощью системы аутентификации, в ходе которой выполняют сбор неперсональных данных пользовательских устройств; фиксируют подключение к упомянутому веб-ресурсу и/или мобильному приложению по меньшей мере одного пользовательского устройства; в момент упомянутого подключения осуществляют сбор неперсональных данных о пользовательском устройстве, причем сбор данных осуществляется в бесшовном режиме и/или при уведомлении пользователя в момент доступа к веб-ресурсу и/или мобильному приложению в зависимости от выбранных настроек системы аутентификации и оценки риска; обрабатывают собранную информацию о пользовательском устройстве с помощью ее сравнения с данными, хранящимися в системе аутентификации, формирующими эталонный набор параметров доверия для осуществления аутентификации; определяют значение рейтинга доверия упомянутому устройству, инициирующему подключение, на основании обработанной неперсональной информации; принимают решение о предоставлении доступа пользователю к упомянутому веб- ресурсу и/или мобильному приложению на основании сравнения значения рейтинга доверия пользователя с пороговым значением, установленным для веб-ресурса и/или мобильного приложения, на основании обработки неперсональных данных устройства пользователя, причем решение на предоставление доступа может включать в себя следующее: предоставление доступа, запрос дополнительной информации или отказ в предоставлении доступа.
В одном из частных вариантов осуществления способа, собираемые неперсональные данные об устройстве пользователя включают в себя по меньшей мере одно из: дескрипторы устройства, характеристики интернет-соединения, параметры точки б подключения, данные о физических характеристиках устройства, данные онлайн поведения или программном обеспечении устройства.
В другом частном варианте осуществления способа при необходимости запроса дополнительной информации осуществляют сбор неперсональной информации о пользователе, которая включает в себя дескрипторы биометрической информации пользователя, представляющие неперсональную часть биометрических данных пользователя.
В другом частном варианте осуществления способа биометрическая информация пользователя выбирается из группы: изображение лица, изображение радужной оболочки глаза, рисунок вен ладони, отпечаток пальца.
В другом частном варианте осуществления способа пороговое значение рейтинга доверия для аутентификации пользователя формируется на основании предикторов доверия.
В другом частном варианте осуществления способа при запросе дополнительной информации выделение неперсональной части биометрической информации происходит непосредственно на устройстве пользователя, причем упомянутая биометрическая информация не покидает устройство пользователя.
В другом частном варианте осуществления способа на основании дополнительной информации осуществляется повторный расчет рейтинга доверия пользователя.
Также в предпочтительном варианте реализации, заявленное решение реализуется с помощью системы для динамической аутентификации пользователя на веб-ресурсе или в мобильном приложении, которая содержит по меньшей мере один процессор, по меньшей мере одно устройство памяти, которое содержит исполняемые процессором инструкции, которые при их исполнении реализуют этапы, на которых: устанавливают для по меньшей мере одного веб-ресурса и/или мобильного приложения пороговое значение рейтинга доверия для аутентификации пользователя с помощью системы аутентификации; осуществляют регистрацию устройств пользователей с помощью системы аутентификации, в ходе которой выполняют сбор неперсональных данных пользовательских устройств; фиксируют подключение к упомянутому веб-ресурсу и/или мобильному приложению по меньшей мере одного пользовательского устройства; в момент упомянутого подключения осуществляют сбор неперсональных данных о пользовательском устройстве, причем сбор данных осуществляется в бесшовном режиме и/или при уведомлении пользователя в момент доступа к веб-ресурсу и/или мобильному приложению в зависимости от выбранных настроек системы аутентификации и оценки риска; обрабатывают собранную информацию о пользовательском устройстве с помощью ее сравнения с данными, хранящимися в системе аутентификации, формирующими эталонный набор параметров доверия для осуществления аутентификации; определяют значение рейтинга доверия упомянутому устройству, инициирующему подключение, на основании обработанной неперсональной информации; принимают решение о предоставлении доступа пользователю к упомянутому веб- ресурсу и/или мобильному приложению на основании сравнения значения рейтинга доверия пользователя с пороговым значением, установленным для веб-ресурса и/или мобильного приложения на основании обработки неперсональных данных устройства пользователя, причем решение на предоставление доступа может включать в себя следующее: предоставление доступа, запрос дополнительной информации или отказ в предоставлении доступа.
В одном из примеров реализации заявленной системы, устройство пользователя представляет собой: смартфон, планшет, персональный компьютер, ноутбук, умное носимое устройство, игровую приставку, смарт-телевизор или автомобильное мультимедийное устройство.
Другие частные примеры и варианты осуществления заявленного изобретения будут раскрыты далее в настоящих материалах заявки.
ОПИСАНИЕ ЧЕРТЕЖЕЙ
Фиг. 1 иллюстрирует общую реализацию системы для осуществления процесса динамической аутентификации.
Фиг. 2 иллюстрирует блок-схему этапов выполнения способа динамической аутентификации. Фиг. 3 иллюстрирует блок-схему способа при необходимости запроса дополнительной биометрической информации для динамической аутентификации.
Фиг. 4 иллюстрирует схему вычислительного компьютерного устройства.
ПОДРОБНОЕ ОПИСАНИЕ
Фрод (англ. fraud[l] «мошенничество») — вид мошенничества в области информационных технологий, в частности, несанкционированные действия и неправомерное пользование ресурсами и услугами
Градиентный спуск — метод нахождения локального экстремума (минимума или максимума) функции с помощью движения вдоль градиента. Для минимизации функции в направлении градиента используются методы одномерной оптимизации, например, метод золотого сечения. Также можно искать не наилучшую точку в направлении градиента, а какую-либо лучше текущей.
Здесь и далее по тексту под персональными данными подразумеваются прямые идентификаторы индивидуума или набор данных, позволяющих однозначно определить индивидуума, или набор данных позволяющих провести прямую коммуникацию с индивидуумом. Под неперсональными данными подразумеваются данные, не подпадающие в категорию персональных данных и не позволяющие провести однозначную идентификацию индивидуума.
Например, под персональными данными могут выступать:
- Фамилия, имя, отчество;
- Год, месяц, дата и место рождения
- Паспортные данные или данные любого другого удостоверяющего документа;
- E-mail, наименование аккаунта в соц. сети, в т. ч. Skype, WhatsApp, Telegram;
- Номер мобильного телефона;
- ИНН, пенсионное свидетельство, СНИЛС, свидетельство о рождении;
- Адрес постоянной, временной регистрации и проживания;
- Семейное, социальное, имущественное положение;
- Сведения об образовании, профессии, доходах, данные о трудоустройстве; - Полные данные банковской банковской карты полный номер банковской карты, детали расчетного счета в банке;
- Детализированные квитанции платежей включая маршрутные квитанции, списки заказов, заметки, покупки, комментарии
- Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные). Например, медицинская карта, данные медицинских анализов.
- Фотография человека
- И любые другие прямые идентификаторы человека или линейные/ обратимые хэш функции от этих идентификаторов.
Как представлено на Фиг. 1, общий вид системы (100) для реализации настоящего решения включает в себя устройство пользователя (110), веб-ресурс или мобильное приложение (120) (далее - ресурс доступа), к которому осуществляет запрос на доступ устройство пользователя (110), систему аутентификации (130), в которую входят: программный интерфейс приложения (API, 131), аккаунт пользователя (132) и база данных (133).
Для каждого ресурса доступа (120) с помощью системы аутентификации (130) устанавливается заданное значение рейтинга доверия для каждого устройства пользователя (110). Данный процесс обеспечивается с помощью регистрации в системе аутентификации (130) пользователей и сохранением информации о них и их аккаунтах (132) в базе данных (133). С помощью API (131) системы аутентификации (130) обеспечивается взаимодействие и обработка запросов между ресурсами доступа (120) и устройствами пользователей (110).
Под ресурсом доступа (120) может пониматься веб-сайт и/или мобильной приложение, например, сайт предоставления банковских услуг, приложение для осуществления финансовых транзакций, приложение контроля доступа, активации внешних устройств и т.п.
Информация о пользователях (110) хранится в системе аутентификации (130) в виде дескрипторов, которые высчитываются при первичной регистрации пользователей (110) в системе аутентификации (130). Каждый ресурс доступа (120) также регистрируется в системе аутентификации (130), и для него сохраняется заданное значение рейтинга доверия для осуществления доступа пользователей (110) к упомянутому ресурсу (120). В качестве устройства пользователя (110) может выступать различный формат вычислительных устройств, например, смартфон, планшет, персональный компьютер, ноутбук, игровая приставка, смарт ТВ, носимое умное устройство (часы, браслет) и т.п.
Первичная регистрация для сбора дескрипторов пользователя (ПО) осуществляется с помощью установки связи между устройством (ПО) и системой аутентификации (130), например, с помощью установки специализированного программного приложения для обеспечения связи через API (131). Дескрипторы пользователя сохраняются для аккаунта пользователя (132) и передаются в базу данных (133) для их последующего использования для целей получения доступа к ресурсам (120).
Система аутентификации (130) может быть реализована с помощью сервера и соответствующих программных приложений, устанавливаемых на устройства пользователей (110) и ресурсы доступа (120), для обеспечения расчета рейтинга доверия для устройств (110), осуществляющих запрос на предоставление доступа.
Упомянутое программное приложение системы аутентификации (130) предназначено также для осуществления сбора неперсональных данных с устройств пользователей (ПО) для вычисления рейтинга доверия такому устройству (110) для соответствующего ресурса доступа (120) при запросе доступа к нему.
Такими данными могут выступать, например:
• данные онлайн сессии пользователя (110) на ресурсе доступа (120);
• данные о пользовательском устройстве (ПО), с которого осуществляется запрос на доступ к ресурсу (120);
• данные об активности пользователя на упомянутом устройстве пользователя
(110).
В качестве данных онлайн сессии пользователя могут использоваться:
• маркер (идентификатор) онлайн сессии,
• характеристики онлайн соединения, включающие, например: о источник и приёмник соединения (адреса) (включая IPV4 и IPV6),
• маска браузера и заголовок онлайн запроса, а также другие параметры, без которых не может состояться стандартное онлайн соединение; скорость соединения, определяемая по IP адресу; • геолокационное местоположение точки доступа, из которой осуществляется онлайн сессия.
В некоторых вариантах реализации в качестве данных об устройстве пользователя (110) могут выступать:
• дескрипторы устройства (ПО), например, шрифты, геометрические характеристики экрана, плагины и т.д.;
• изменяемые маркеры устройства, например, MAC и др.;
• параметры физических элементов устройства (ПО) (процессор, разрешение экрана, плотность матрицы экрана и т. д.),
• параметры операционной системы устройства (110);
• установленные и запущенные на устройстве (110) приложения, доступные в выбранном режиме безопасности (названия, версии, режимы работы и т. д.);
• геолокационные данные устройства пользователя, не позволяющие определить индивидуума, например, с точностью до 1 квартала (110).
В некоторых вариантах реализации в качестве параметров операционной системы используются по меньшей мере:
• название операционной системы,
• версия и ревизия операционной системы,
• битность операционной системы,
Например, Microsoft Windows 7, 64bit; Android OS 7.0 и т. п.
В некоторых вариантах реализации в качестве данных об активности пользователя могут использоваться:
• графические элементы операционной системы или приложений, с которыми взаимодействует пользователь (например, характеристики используемой цветовой палитры на устройстве, геометрия экрана, отрисовка графического интерфейса, тип видеокарты, способ отображения шрифтов, цветов, специальных символов и т.д.), характеристики ввода данных, например: о специальные клавиши и специальные символы, вводимые пользователем (например, с помощью сбора статистики прерываний нажатия клавиш) , о временные интервалы между вводом данных (более широко - частотная характеристика ввода данных) о приложение, из которого пользователь вводит данные (включая параметры, описанные выше для работы приложений), о скорость печати и т. д.
• характеристики активности пользователя в приложениях, например: о набор установленных специфичных приложений (например, редко/часто используемые приложения, тип таких приложений), о время работы пользователя (начало и завершение работы в том или ином приложении, время выполнения заранее заданных действий), о статистические данные о работе пользователя с приложениями (например, частота выполнения заранее заданных действий в приложениях и т. д.). Под данными характеристиками используются количество открытий того или иного приложения, среднее время сессии работы в приложении и т.п.
Компоненты системы (100) соединяются между собой посредством сети передачи данных, например, Интернета. Принцип организации сети между элементами системы (100) может выбираться из различных примеров такой организации, исходя из достижений текущего технического уровня, например, LAN, Wi-Fi, WAN, PAN, WLAN и т. п.
Система аутентификации (130) также может представлять собой виджет или плагин, который может устанавливаться на устройства пользователей (ПО) и функционировать в бесшовном режиме, осуществляя сбор требуемой информации при запросе доступа к ресурсу (120). Под бесшовным режимом понимается принцип работы со стороны системы аутентификации (130) без необходимости запроса дополнительных разрешений на осуществление действий с устройством пользователя (110).
На Фиг. 2 представлен процесс осуществления способа (200) аутентификации пользователей (110). Как указывалось выше, первичный этап осуществления способа (201) включает в себя установку требуемых параметров безопасности на ресурсе доступа (120). Данный процесс выполняется с помощью системы аутентификации (130) для каждого регистрируемого в ней ресурса (120). Для каждого ресурса (120) устанавливается набор метрик, на основании которых выполняется последующий расчет рейтинга доверия для запрашивающих доступ пользователей (110).
При получении запроса от устройства пользователя (110) на доступ к ресурсу (120) выполняется его обработка с помощью системы аутентификации (130) на этапе (202). Обработка осуществляется с помощью сбора данных пользовательского устройства (110) в момент запроса доступа к ресурсу доступа (120), например, при загрузке мобильного приложения. Программная логика и/или специальные библиотеки (как неотъемлемая программная часть ресурса (120)), установленная на устройстве пользователя (110), осуществляет сбор неперсональной информации об устройстве (110) и передает ее в базу данных (133) для последующего расчета рейтинга доверия. Упомянутая программная логика передается в устройство (110) и сохраняется в его памяти, передача осуществляется вместе с контентом ресурса доступа (120) в момент его загрузки на устройстве (110).
Рассмотрим пример:
На устройстве (110) собираются дескрипторы устройства, описанные выше, после чего они передаются в систему аутентификации (130), где на основе свертки данных дескрипторов например методом MD5 или градиентным спуском (один из вероятностных методов определения устройства на основе дескрипторов устройства) сравнивается полученный результат с хранимым образом устройства в системе (130).
При этом, если при анализе полученных данных устанавливается, что помимо совпавших образов устройства в системе аутентификации (130) имеются рисковые факторы, например, интернет запрос был инициирован из другой страны или интернет запрос был сформирован с аномалиями в хедере (Ьеас1ег)/заголовке запроса (например, http request), то в системе расчета доверия (133) выставляется высокий риск и низкий рейтинг доверия для данного интернет соединения несмотря на совпавшие или несовпавшие наборы дескрипторов устройства в системе (130).
В таком случае, из-за низкого рейтинга доверия или отклоняется доступ или предлагается провести дополнительную аутентификацию устройства или виртуального пользователя для увеличения рейтинга доверия. Факторы, влияющие на рейтинг доверия, и их вклад в рейтинг доверия берутся из собираемого массива неперсональных сопутствующих данных и проверяются на практической выборке заблаговременно (например, на этапе найстройки системы с использованием исторических данных накопленных ранее). При этом проверяются и оцениваются как уровень риска при условии прохождения на первом шаге системы аутентификации (130), так и уровень возможной ошибки для определения порога (рейтинга) доверия и следующих шагов для данных сопутствующих факторов. Рассмотрим далее упрощенный пример формирования рейтинга/ скоринга доверия/ риска.
В качестве системы оценки рейтинга доверия может выступать обычная линейная регрессия. Представим функцию рейтинга доверия Y=A1*X1 + А2*Х2 + АЗ*ХЗ. Где значение рейтинга доверия варьируются от 0 и до до некоторой максимальной положительной величины. Значения рейтинга отражают наличие риска - чем больше значение, тем больше риск. В качестве переменных XI, Х2, ХЗ могут выступать отдельные маркеры риска на основе неперсональных данных.
Например:
- XI — это маркер, соответствующий следующему событию: = 0 если дескрипторы устройства совпали с образцом; 1 - если дескрипторы не совпали. Тем самым маркер отражает рисковое событие, когда дескрипторы устройства не совпали с эталонным образом или значением;
- Х2 - отражает наличие предыдущих фродилентных (фрод) действий по устройству. Например, Х2=0 означает, что по данному устройству не наблюдалось фродилентных действий за последние 12 месяцев, а значение Х2=7 - означает, что по данному устройству наблюдалось 7 фродилентных значений за определённый период времени;
- ХЗ - отражает число выявленных аномалий в интернет-соединении. Например, Х3=0 означает, что не было выявлено аномалий в рамках интернет-соединения, а значение Х3=5 означает, что было выявлено 5 аномалий в рамках интернет-соединения;
- Константы или веса А1, А2, АЗ можно определять исходя из исторических наблюдений или экспертного мнения. Например, можно взять выборку заявок на кредиты и разметить ее виде 0 и 1 (0 будет означать отсутствие фродилентного поведения, 1 - наоборот, наличие фродилентного поведения). Далее обладая данными значениями и используя методы математической статистики (и, например, методы машинного обучения, анализа больших данных), можно найти оптимальные значения данных весов/ коэффициентов исходя из различных оптимизационных условий.
В приведенном примере Y может принимать положительные значения. При этом значение 0 отражает отсутствие аномалий (уровень максимального доверия), значения >0 - отражают наличие рисков, чем больше значение, тем больше риск. В качестве порога доверия по функции Y можно выставить значение 0 или небольшое положительное значение исходя из исторически проверенных наблюдений (которые могут определяться для кажой системы самостоятельно) .
Как правило, на практике, число используемых переменных может значительно быть больше 100 (данное количество не влияет на суть технического решения), в качестве функций могут использоваться логистическая регрессия, GLM регрессия, деревья решений, нейронные сети и/или их комбинации. При этом уделяется большое значения использованию редких событий (large deviations) и их использованию в системе оценки уровня доверия. Редкие события позволяют выявлять пользователей с определёнными намерениями или шаблоном/ патерном поведения. Примером такого редкого события может быть что пользователь использует ТОР соединение, использование рандомизаторов или пользователь имеет иностранную нестандартную раскладку клавиатуры для конкретного рынка/страны. Редкие события влияют на скоринг и рейтинг доверия к пользователю в рамках функции рейтинга (вычисления рейтинга). Редкие события, используемые в рамках описываемого решения, могут настраиваться, добавляться на этапе настройки системы/решения, так и в процессе работы, после накопления исторических данных.
Далее на этапе (203) осуществляется сбор неперсональной информации пользовательского устройства (110) с помощью установленной программной логики от ресурса доступа (120). Сбор неперсональной информации осуществляется исключительно на устройстве (110). При этом вся чувствительная информация не покидает пределы устройства, что исключает вероятность утечки или перехвата персональной информации пользователя.
С помощью программной логики на устройстве (110) выполняется сбор неперсональных данных, которые представляют собой обезличенную неперсональную информацию, исключающую возможность обратного восстановления по ней какой-либо персональной информации пользователя. Упомянутая информация передается в систему аутентификации (130), где происходит ее последующая обработка на этапе (204). Список собираемых параметров и неперсональных дескрипторов предоставляется заранее владельцу ресурса (120). Обезличенная персональная информация может получаться путем преобразования персональных данных (информации) такими способами обработки, которые делают невозможным обратное их восстановление. Так, например, вместо хэширования всего телефонного номера (например, 10 цифр, зависит от страны) может использоваться только некоторая часть, например, 6 цифр, что не позволит по данному хэшу восстановить использованный номер телефона. Как было указано выше, такой информацией могут выступать: дескрипторы устройства, характеристики интернет-соединения, данные геолокации (не превышающие точность геолокации более (точнее) чем 1 жилой квартал), параметры точки подключения, данные о физических характеристиках устройства, данные онлайн поведения или программном обеспечении устройства и др.
На этапе (204) на основании полученной неперсональной информации от устройства пользователя (110) в системе аутентификации (130) выполняется ее сравнение с данными, хранящимися в базе данных (133) для соответствующего аккаунта ресурса (132), причем такие данные формируют эталонный набор параметров доверия для осуществления аутентификации на указанном ресурсе доступа (120). Способ сравнения может выполняться, например, с помощью сравнения хэш-сумм от массива собранной информации от устройства (110) с хэш-суммой в базе (133) эталонного набора параметров. В другом примере для реализации процедуры сравнения может применяться градиентный спуск, который позволяет гибко работать с различным набором данных и различными метриками близости этих данных
По итогам обработки неперсональных данных устройства (110) система аутентификации (130) осуществляет на этапе (205) расчет рейтинга доверия для указанного устройства (110), запрашивающего доступ к ресурсу (120). Расчет рейтинга доверия может выполняться с помощью одного или нескольких алгоритмов машинного обучения, например, деревья решений, комбинация GLM и деревьев решений, К-ближайших соседей, SVM (Support Vector Machine), нейронные сети (глубокие нейронные сети) и др. (см., например, https://docs.opencv.org/3.4.6/dc/dd6/ml intro.html). В качестве исходных данных для расчета рейтинга доверия могут выступать такие переменные, как: число запросов на доступ с данного устройства, как давно пользователь последний раз делал запрос, совпадение дескрипторов текущего устройства с эталонным, наличие аномалий на устройстве, наличие аномалий в интернет соединении, наличие высокорискованного поведения пользователя в прошлом и т.д
По итогам расчета рейтинга доверия (205) для устройства пользователя (110) на этапе (206) выполняется его сравнение с установленным для ресурса доступа (120) пороговым значением рейтинга для выполнения дальнейших процедур процесса аутентификации. Если расчетный рейтинг соответствует диапазону доверия, то пользователю (110) на этапе (207) предоставляется доступ к ресурсу (120), в противном случае — отказ в предоставлении доступа (208). Для доступа к ресурсу (120) значение рейтинга доверия устанавливается также для «пограничной зоны», в которой, первоначально рассчитанный рейтинг доверия, менее чем требуемое значение для предоставления доступа, но недостаточно мало для формирования отказа в предоставлении доступа.
На Фиг. 3 представлена блок-схема процесса запроса дополнительной информации на этапе (300). Такой информацией является биометрическая информация пользователя устройства (110).
Сбор и обработка биометрической информации (301) осуществляется с помощью программной логики, устанавливаемой на устройстве (110) в момент осуществления запроса доступа к ресурсу (120) на этапе (202). Собираемая биометрическая информация обрабатывается (302) на предмет получения дескрипторов биометрической информации пользователя, которые представляют неперсональную часть биометрических данных пользователя, исключающую вероятность ее последующей обработки для возможности восстановления информации, однозначно идентифицирующей пользователя. В качестве исходной биометрической информации может выступать, например, изображение лица пользователя, изображение радужной оболочки глаза, рисунок вен ладони, отпечаток пальца.
Сбор биометрической информации на этапе (301) осуществляется с помощью программно- аппаратных средств устройства (ПО), например, камеры, сканера радужной оболочки, сканера отпечатков пальца и т. п. Сбор и обработка дескрипторов осуществляется исключительно на устройстве пользователя (110) и сама полученная биометрическая информация не покидает пределы устройства (110). В систему аутентификации (130) передаются только обезличенные неперсонализированные дескрипторы (303), например, расчет расположения реперных точек, вычисляемых по полученному изображению пользователя. В качестве известных примеров такого рода способ и технологических подходов могут применяться методы вычисления дескрипторов - SIFT, ORB, SURF, HOG и т.д., при которых выполняется выделение ключевых точек, которые затем наносятся на слепок. Далее по полученной дополнительной биометрической неперсональной информации в системе аутентификации (130)
Например, от устройства пользователя (110) собирается информация об онлайн-сессии (маркер онлайн-сессии, параметры соединения устройства (110) и т. д.). После вычисления рейтинга доверия такому устройству на этапе (205), его значение попадает в диапазон значений, который не может однозначно характеризовать уровень риска такого устройства (110). К примеру, вычисленный уровень риска равен 0.75, когда для формирования однозначных прав доступа к ресурсу доступа (120) необходим уровень риска в диапазоне [0.0, 0.2] (доступ разрешён) или диапазоне [0.8, 1.0] (доступ к ресурсам запрещён). В результате выполняется запрос дополнительной биометрической информации (300), и после осуществления новых вычислений рейтинга доверия такому пользователю, выполняющему доступ с помощью упомянутого устройства (110), для которого ранее был посчитан рейтинг доверия, уровень риска становится равным 0.2 и выносится суммарное окончательное решение о предоставлении доступа к ресурсу (120).
Расчёт рейтинга доверия с помощью системы аутентификации (130) выполняется на основании запросов, поступающих от ресурса доступа (120) через API (131). Такими запросами могут служить стандартизованные средства обращения в виде curl/ wget. В ответ на обработку запроса система аутентификации передает на ресурс доступа (120) рассчитанный рейтинг доверия, информацию по динамической авторизации и рассчитанные значения дескрипторов.
На Фиг. 4 представлен общий пример вычислительного компьютерного устройства (400), которое может применяться для реализации заявленного способа и/или системы. В общем случае устройство (400) содержит такие компоненты, как один или более процессоров (401), по меньшей мере одну оперативную память (402), средство постоянного хранения данных (403), интерфейсы ввода/вывода (404), средство В/В (405), средства сетевого взаимодействия (406). Компоненты устройства (400), как правило, сопряжены посредством общей шины передачи данных.
Процессор (401) устройства выполняет основные вычислительные операции, необходимые для функционирования устройства (400) или функционала одного или более его компонентов. Процессор (401) исполняет необходимые машиночитаемые команды, содержащиеся в оперативной памяти (402). Под процессором (401) также следует понимать графический процессор, пригодный для выполнения специализированной обработки в рамках заявленного решения, который может являться дополнительным средством вычисления.
Память (402), как правило, выполнена в виде ОЗУ и содержит необходимую программную логику, обеспечивающую требуемый функционал. Средство хранения данных (403) может выполняться в виде HDD, SSD дисков, рейд массива, сетевого хранилища, флэш-памяти, оптических накопителей информации (CD, DVD, MD, Blue-Ray дисков) и т.п. Средство (403) позволяет выполнять долгосрочное хранение различного вида информации, например, истории обработки запросов (логов), идентификаторов пользователей, данные камер, изображения и т.п.
Интерфейсы (404) представляют собой стандартные средства для подключения и работы с камерами (110, 120, 130) или иными вычислительными устройствами, например, USB, RS232, RJ45, LPT, COM, HDMI, PS/2, Lightning, FireWire и т.п. Выбор интерфейсов (404) зависит от конкретного исполнения устройства (400), которое может представлять собой персональный компьютер, мейнфрейм, серверный кластер, тонкий клиент, смартфон, ноутбук и т.п.
В качестве средств Ввода/Вывода данных (405) может использоваться клавиатура, джойстик, дисплей (сенсорный дисплей), проектор, тачпад, манипулятор мышь, трекбол, световое перо, динамики, микрофон и т.п.
Средства сетевого взаимодействия (406) выбираются из устройств, обеспечивающих сетевой прием и передачу данных, например, Ethernet карты, WLAN/Wi-Fi модуля, Bluetooth модуля, BLE модуля, NFC модуля, IrDa, RFID модуля, GSM модема и т. п. С помощью средства (406) обеспечивается организация обмена данными по проводному или беспроводному каналу передачи данных, например, WAN, PAN, ЛВС (LAN), Интранет, Интернет, WLAN, WMAN или GSM.
В настоящих материалах заявки было представлено предпочтительное раскрытие осуществления заявленного технического решения, которое не должно использоваться как ограничивающее иные, частные воплощения его реализации, которые не выходят за рамки испрашиваемого объема правовой охраны и являются очевидными для специалистов в соответствующей области техники.

Claims

ФОРМУЛА
1. Выполняемый с помощью процессора компьютерного устройства способ динамической аутентификации и оценки риска пользователя на веб-ресурсе и/или в мобильном приложении, содержащий этапы, на которых:
- устанавливают для по меньшей мере одного веб-ресурса и/или мобильного приложения пороговое значение рейтинга доверия для аутентификации пользователя с помощью системы аутентификации;
- осуществляют регистрацию устройств пользователей с помощью системы аутентификации, в ходе которой выполняют сбор неперсональных данных пользовательских устройств;
- фиксируют подключение к упомянутому веб-ресурсу и/или мобильному приложению по меньшей мере одного пользовательского устройства;
- в момент упомянутого подключения осуществляют сбор неперсональных данных о пользовательском устройстве, причем сбор данных осуществляется в бесшовном режиме и/или при уведомлении пользователя в момент доступа к веб-ресурсу и/или мобильному приложению в зависимости от выбранных настроек системы аутентификации и оценки риска;
- обрабатывают собранную информацию о пользовательском устройстве с помощью ее сравнения с данными, хранящимися в системе аутентификации, формирующими эталонный набор параметров доверия для осуществления аутентификации;
- определяют значение рейтинга доверия упомянутому устройству, инициирующему подключение, на основании обработанной неперсональной информации;
- принимают решение о предоставлении доступа пользователю к упомянутому веб-ресурсу и/или мобильному приложению на основании сравнения значения рейтинга доверия пользователя с пороговым значением, установленным для веб-ресурса и/или мобильного приложения, на основании обработки неперсональных данных устройства пользователя, причем решение на предоставление доступа может включать в себя следующее: предоставление доступа, запрос дополнительной информации или отказ в предоставлении доступа.
2. Способ по п.1, характеризующийся тем, что собираемые неперсональные данные об устройстве пользователя включают в себя по меньшей мере одно из: дескрипторы устройства, характеристики интернет-соединения, данные геолокации, параметры точки подключения, данные о физических характеристиках устройства, данные онлайн поведения или программном обеспечении устройства.
3. Способ по п.2, характеризующийся тем, что при необходимости запроса дополнительной информации осуществляют сбор неперсональной информации о пользователе, которая включает в себя дескрипторы биометрической информации пользователя, представляющие неперсональную часть биометрических данных пользователя.
4. Способ по п.З, характеризующийся тем, что биометрическая информация пользователя выбирается из группы: изображение лица, изображение радужной оболочки глаза, рисунок вен ладони, отпечаток пальца.
5. Способ по п.1, характеризующийся тем, что пороговое значение рейтинга доверия для аутентификации пользователя формируется на основании предикторов доверия.
6. Способ по п.4, характеризующийся тем, что при запросе дополнительной информации выделение неперсональной части биометрической информации происходит непосредственно на устройстве пользователя, причем упомянутая биометрическая информация не покидает устройство пользователя.
7. Способ по п.6, характеризующийся тем, что на основании дополнительной информации осуществляется повторный расчет рейтинга доверия пользователя.
8. Система для динамической аутентификации пользователя на веб-ресурсе или в мобильном приложении, содержащая по меньшей мере один процессор, по меньшей мере одно устройство памяти, которое содержит исполняемые процессором инструкции, которые при их исполнении реализуют этапы, на которых: - устанавливают для по меньшей мере одного веб-ресурса и/или мобильного приложения пороговое значение рейтинга доверия для аутентификации пользователя с помощью системы аутентификации;
- осуществляют регистрацию устройств пользователей с помощью системы аутентификации, в ходе которой выполняют сбор неперсональных данных пользовательских устройств;
- фиксируют подключение к упомянутому веб-ресурсу и/или мобильному приложению по меньшей мере одного пользовательского устройства;
- в момент упомянутого подключения осуществляют сбор неперсональных данных о пользовательском устройстве, причем сбор данных осуществляется в бесшовном режиме и/или при уведомлении пользователя в момент доступа к веб-ресурсу и/или мобильному приложению в зависимости от выбранных настроек системы аутентификации и оценки риска;
- обрабатывают собранную информацию о пользовательском устройстве с помощью ее сравнения с данными, хранящимися в системе аутентификации, формирующими эталонный набор параметров доверия для осуществления аутентификации;
- определяют значение рейтинга доверия упомянутому устройству, инициирующему подключение, на основании обработанной неперсональной информации;
- принимают решение о предоставлении доступа пользователю к упомянутому веб-ресурсу и/или мобильному приложению на основании сравнения значения рейтинга доверия пользователя с пороговым значением, установленным для веб-ресурса и/или мобильного приложения, на основании обработки неперсональных данных устройства пользователя, причем решение на предоставление доступа может включать в себя следующее: предоставление доступа, запрос дополнительной информации или отказ в предоставлении доступа.
9. Система по п.8, характеризующаяся тем, что устройство пользователя представляет собой: смартфон, планшет, персональный компьютер, ноутбук, умное носимое устройство, игровую приставку, смарт-телевизор или автомобильное мультимедийное устройство.
PCT/RU2020/000490 2019-12-09 2020-09-18 Способ и система динамической аутентификации и оценки риска пользователя WO2021118399A1 (ru)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
RU2019140446A RU2723679C1 (ru) 2019-12-09 2019-12-09 Способ и система динамической аутентификации и оценки риска пользователя
RU2019140446 2019-12-09

Publications (1)

Publication Number Publication Date
WO2021118399A1 true WO2021118399A1 (ru) 2021-06-17

Family

ID=71096075

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/RU2020/000490 WO2021118399A1 (ru) 2019-12-09 2020-09-18 Способ и система динамической аутентификации и оценки риска пользователя

Country Status (2)

Country Link
RU (1) RU2723679C1 (ru)
WO (1) WO2021118399A1 (ru)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117407843A (zh) * 2023-10-13 2024-01-16 成都安美勤信息技术股份有限公司 一种隐私信息访问检测管理方法

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023075628A1 (ru) * 2021-10-27 2023-05-04 Публичное Акционерное Общество "Сбербанк России" Способ и система автоматизированного определения порога идентификации для биометрических образцов в системе контроля доступа

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110112957A1 (en) * 2009-11-10 2011-05-12 Neobanx Technologies, Inc. System and method for assessing credit risk in an on-line lending environment
RU2477929C2 (ru) * 2011-04-19 2013-03-20 Закрытое акционерное общество "Лаборатория Касперского" Система и способ предотвращения инцидентов безопасности на основании рейтингов опасности пользователей
US20130239217A1 (en) * 2012-03-07 2013-09-12 Cleanport, BV System, Method and Computer Program Product for Determining a Person's Aggregate Online Risk Score
US9684905B1 (en) * 2010-11-22 2017-06-20 Experian Information Solutions, Inc. Systems and methods for data verification
RU2691830C1 (ru) * 2018-02-28 2019-06-18 Павел Сергеевич Большаков Система и способ работы проверки данных онлайн пользователей и создания скоринговой модели с использованием неперсональных данных пользователей

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101493913A (zh) * 2008-01-23 2009-07-29 阿里巴巴集团控股有限公司 一种评估网上用户信用的方法及系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110112957A1 (en) * 2009-11-10 2011-05-12 Neobanx Technologies, Inc. System and method for assessing credit risk in an on-line lending environment
US9684905B1 (en) * 2010-11-22 2017-06-20 Experian Information Solutions, Inc. Systems and methods for data verification
RU2477929C2 (ru) * 2011-04-19 2013-03-20 Закрытое акционерное общество "Лаборатория Касперского" Система и способ предотвращения инцидентов безопасности на основании рейтингов опасности пользователей
US20130239217A1 (en) * 2012-03-07 2013-09-12 Cleanport, BV System, Method and Computer Program Product for Determining a Person's Aggregate Online Risk Score
RU2691830C1 (ru) * 2018-02-28 2019-06-18 Павел Сергеевич Большаков Система и способ работы проверки данных онлайн пользователей и создания скоринговой модели с использованием неперсональных данных пользователей

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117407843A (zh) * 2023-10-13 2024-01-16 成都安美勤信息技术股份有限公司 一种隐私信息访问检测管理方法
CN117407843B (zh) * 2023-10-13 2024-04-19 成都安美勤信息技术股份有限公司 一种隐私信息访问检测管理方法

Also Published As

Publication number Publication date
RU2723679C1 (ru) 2020-06-17

Similar Documents

Publication Publication Date Title
US10044730B1 (en) Methods, systems, and articles of manufacture for implementing adaptive levels of assurance in a financial management system
US10484178B2 (en) Systems and methods for providing a universal decentralized solution for verification of users with cross-verification features
EP3280113B1 (en) Systems and methods for proximity identity verification
CN108804906B (zh) 一种用于应用登陆的系统和方法
US11763305B1 (en) Distributed ledger for device management
US10902425B2 (en) System and method for biometric credit based on blockchain
US10068076B1 (en) Behavioral authentication system using a behavior server for authentication of multiple users based on their behavior
RU2635275C1 (ru) Система и способ выявления подозрительной активности пользователя при взаимодействии пользователя с различными банковскими сервисами
JP6653268B2 (ja) 異なるチャネル上で強力な認証イベントを伝えるシステム及び方法
AU2012261635B2 (en) Methods and Systems for Increasing the Security of Network- Based Transactions
JP6046765B2 (ja) 秘密情報にアクセスするための、多重パーティ及び多重レベルの承認を可能にするシステム及び方法
US8856902B2 (en) User authentication via mobile communication device with imaging system
US9204298B2 (en) Multilevel authentication
JP6438534B2 (ja) 安全なオンラインバンキングトランザクションを実行するためのシステム及び方法
CN111159308B (zh) 基于区块链网络的交易记录共享方法、装置及电子设备
Agidi Biometrics: the future of banking and financial service industry in Nigeria
US20130065556A1 (en) Multilevel Authentication
WO2021118399A1 (ru) Способ и система динамической аутентификации и оценки риска пользователя
US8656468B2 (en) Method and system for validating authenticity of identity claims
US11372958B1 (en) Multi-channel authentication using smart cards
Avdić Use of biometrics in mobile banking security: case study of Croatian banks
US10003464B1 (en) Biometric identification system and associated methods
WO2019168442A1 (ru) Способ и система создания скоринговой модели
KR102564395B1 (ko) 전자 문서 인증 및 저장 방법
US11941053B1 (en) Secure data interactions performed by an internet of things (IoT) device

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20898756

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20898756

Country of ref document: EP

Kind code of ref document: A1