錦佰安, AI讓身份認(rèn)證安全站在新風(fēng)口

□ 白 潔 李 勇

在身份認(rèn)證安全方面，全球面臨新的挑戰(zhàn)。經(jīng)歷了認(rèn)證安全的變革，今天人工智能為身份認(rèn)證安全提供了全新助力，優(yōu)勢(shì)顯著。蘇州錦佰安信息技術(shù)有限公司（以下簡(jiǎn)稱錦佰安）從2016年開始，進(jìn)行基于行為識(shí)別的身份認(rèn)證產(chǎn)品開發(fā),目前已經(jīng)積累了大量客戶案例，包括在金融行業(yè)的成功應(yīng)用。未來，人工智能與安全的結(jié)合也是大勢(shì)所趨。

身份認(rèn)證安全面臨挑戰(zhàn)錦佰安專注于AI安全

不久前，Ac Fun彈幕視頻網(wǎng)（以下簡(jiǎn)稱“A站”）發(fā)布公告稱網(wǎng)站受到黑客攻擊，近千萬條用戶數(shù)據(jù)遭泄露。隨后，有網(wǎng)友陸續(xù)曬出從2018年3—6月不同時(shí)期，暗網(wǎng)兜售A站用戶數(shù)據(jù)的信息及價(jià)目表，近千萬條用戶數(shù)據(jù)外泄，其中包含用戶ID、用戶昵稱、加密存儲(chǔ)的密碼等信息，類似于這樣觸目驚心的數(shù)據(jù)泄露事件在過去幾年已經(jīng)發(fā)生了多起。在遇到這類事件后，專家的建議是盡快修改密碼，如果用戶在其他網(wǎng)站使用相同密碼，也應(yīng)及時(shí)修改。

對(duì)于重要信息系統(tǒng)和關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域來說，電子政務(wù)、互聯(lián)網(wǎng)金融、智慧醫(yī)療、企業(yè)辦公等等，所有業(yè)務(wù)的實(shí)現(xiàn)、業(yè)務(wù)的運(yùn)作都離不開信息系統(tǒng)。一旦信息系統(tǒng)出現(xiàn)問題，業(yè)務(wù)的可用性就會(huì)受到很大的影響，甚至是致命的影響。另一方面，數(shù)據(jù)的集中存儲(chǔ)，也造成了風(fēng)險(xiǎn)的高度集中。

類似于A站的數(shù)據(jù)泄露事件全球頻發(fā)。必勝客系統(tǒng)被黑，6萬用戶信息泄露；希拉里因郵件門無緣美國(guó)總統(tǒng)；德勤500萬數(shù)據(jù)泄露……其中數(shù)據(jù)泄露及身份管理不到位，高居云安全聯(lián)盟（Cloud Security Alliance，CSA）發(fā)布的安全排行榜的第1名和第2名。數(shù)據(jù)的安全和個(gè)人賬戶的安全一再敲響了警鐘。解決數(shù)據(jù)泄露風(fēng)險(xiǎn)，最關(guān)鍵的是，如果有一種辦法能夠保證登錄者是本人，用戶就不會(huì)過于恐慌，而這關(guān)鍵的一道安全防線便是身份認(rèn)證。

當(dāng)然，身份認(rèn)證的重要性對(duì)于安全行業(yè)的專家和從業(yè)者來說，也是在日積月累的工作中體會(huì)出來的，錦佰安科技創(chuàng)始人兼CEO馮繼強(qiáng)先生就是這樣。很多年前，他跟所有安全從業(yè)者一樣，輾轉(zhuǎn)于很多大公司，在長(zhǎng)期與客戶的交流和工作中他體會(huì)到，身份安全是網(wǎng)絡(luò)安全的基礎(chǔ)，在機(jī)遇到來時(shí)，他毫不猶豫地投身到高效、便捷、精準(zhǔn)的解決身份認(rèn)證的方向上，創(chuàng)辦了公司，專注于AI安全——身份認(rèn)證領(lǐng)域。

可信身份認(rèn)證是網(wǎng)絡(luò)安全的基礎(chǔ)

美國(guó)咨詢公司Cybersecurity Ventures 發(fā)布的《2017年網(wǎng)絡(luò)犯罪報(bào)告》中有幾組數(shù)字：2020年，全世界需要保護(hù)3 000億個(gè)口令；2020年，全世界Io T聯(lián)網(wǎng)物體增至2 000億，這是一個(gè)龐大的數(shù)據(jù)，也就意味著身份認(rèn)證的問題每天每時(shí)都在發(fā)生。《CSA2018十二大頂級(jí)云安全威脅：行業(yè)見解報(bào)告》《2017年數(shù)據(jù)泄露調(diào)查報(bào)告》Verizon威瑞森電信等報(bào)告中指出：網(wǎng)絡(luò)安全問題榜首是數(shù)據(jù)泄露和身份問題，81%的數(shù)據(jù)泄露與身份被竊取有關(guān)。而對(duì)于黑客來說，一般的用戶名和密碼的身份認(rèn)證形式保護(hù)力度不夠，在黑客眼中形同虛設(shè)，很容易就可以用撞庫、密碼泄露、網(wǎng)絡(luò)釣魚、木馬病毒、社會(huì)工程學(xué)等方式破解。黑客攻擊手段分析：黑客或者內(nèi)部人員利用弱口令、撞庫、釣魚郵件、木馬、數(shù)據(jù)庫和系統(tǒng)漏洞、SQL注入等攻擊手段，竊取數(shù)據(jù)、破壞系統(tǒng)，甚至遠(yuǎn)程操控設(shè)備。網(wǎng)絡(luò)安全問題的榜首是數(shù)據(jù)泄露和身份問題，可信的身份認(rèn)證是網(wǎng)絡(luò)安全的基礎(chǔ)。

曾經(jīng)有一個(gè)說法：隔著網(wǎng)絡(luò)，你永遠(yuǎn)搞不清對(duì)面是一個(gè)人還是一條狗，身份認(rèn)證不僅要解決是人是“狗”的問題，更要解決是不是操作者本人的問題，如圖1所示。只有首先確認(rèn)操作者身份，才能確定該用戶是否具有對(duì)某種資源的訪問和使用權(quán)限，進(jìn)而使計(jì)算機(jī)和網(wǎng)絡(luò)系統(tǒng)的訪問策略能夠可靠、有效地執(zhí)行，防止攻擊者假冒合法用戶獲得資源的訪問權(quán)限，保證系統(tǒng)和數(shù)據(jù)的安全以及授權(quán)訪問者的合法利益。保證操作者的物理身份與數(shù)字身份相對(duì)應(yīng)，一直就是網(wǎng)絡(luò)安全的第1道關(guān)口，身份認(rèn)證有著舉足輕重的作用。其實(shí)身份認(rèn)證古已有之，中國(guó)古代的虎符就是身份認(rèn)證的一種，隨著科學(xué)技術(shù)的發(fā)展，在網(wǎng)絡(luò)世界中，身份認(rèn)證手段也在逐漸優(yōu)化，身份認(rèn)證也經(jīng)過了幾個(gè)不同的發(fā)展階段。

圖1 身份證認(rèn)證安全的關(guān)鍵環(huán)節(jié)

身份認(rèn)證方式的歷史變革

隨著科技的發(fā)展，身份認(rèn)證技術(shù)也經(jīng)歷了幾個(gè)迭代過程，大致上可以劃分為以下幾個(gè)時(shí)代：

1）1981 —2006年：PC時(shí)代

（1）靜態(tài)密碼

這期間主要使用的是靜態(tài)密碼，用戶的密碼是由用戶自己設(shè)定的。在網(wǎng)絡(luò)登錄時(shí)輸入正確的密碼，計(jì)算機(jī)就認(rèn)為操作者就是合法用戶，靜態(tài)密碼的弊端非常明顯，面臨弱口令、密碼復(fù)用、撞庫、釣魚、暴力破解等高風(fēng)險(xiǎn)問題。另外對(duì)于用戶來說，應(yīng)用多、密碼多，也會(huì)有經(jīng)常忘記密碼的問題。有很多人設(shè)置非常簡(jiǎn)單的密碼，比如12345，00000等，有的甚至就把密碼抄寫下來貼在電腦顯示器前，基本沒有安全可言。

（2）U盾等硬件設(shè)備

U盾實(shí)際上是一種內(nèi)置集成電路的芯片，芯片中存有與用戶身份相關(guān)的數(shù)據(jù)，智能卡由專門的廠商通過專門的設(shè)備生產(chǎn)，是不可復(fù)制的硬件。智能卡由合法用戶隨身攜帶，登錄時(shí)必須將智能卡插入專用的讀卡器讀取其中的信息，以驗(yàn)證用戶的身份。

這時(shí)期的安全機(jī)制有了一定程度的提高，在身份認(rèn)證中開始大量使用PKI/CA證書系統(tǒng)，智能卡認(rèn)證是通過智能卡硬件不可復(fù)制來保證用戶身份不會(huì)被仿冒。然而由于每次從智能卡中讀取的數(shù)據(jù)是靜態(tài)的，通過內(nèi)存掃描或網(wǎng)絡(luò)監(jiān)聽等技術(shù)還是很容易截取到用戶的身份驗(yàn)證信息，因此還是存在安全隱患。對(duì)于企事業(yè)單位來說，使用U盾技術(shù)方案復(fù)雜，建設(shè)維護(hù)成本高，用戶體驗(yàn)不佳，因?yàn)榭偸且獢y帶U盾等硬件設(shè)備，使用不夠方便。U盾解決了網(wǎng)銀以及一些重要系統(tǒng)、機(jī)構(gòu)的安全認(rèn)證問題，但隨著云計(jì)算、移動(dòng)互聯(lián)網(wǎng)以及物聯(lián)網(wǎng)越來越普及，U盾早已不能滿足手機(jī)登錄應(yīng)用的認(rèn)證。此時(shí)擺在安全認(rèn)證面前的是既要快速又要便捷，更不能影響用戶體驗(yàn)。

（3）動(dòng)態(tài)口令

動(dòng)態(tài)口令認(rèn)證采用的是雙因素認(rèn)證的理念，動(dòng)態(tài)口令是客戶手持用來生成動(dòng)態(tài)密碼的終端，主流的是基于時(shí)間同步方式的，每60 s變換一次動(dòng)態(tài)口令，口令一次有效，它產(chǎn)生6位動(dòng)態(tài)數(shù)字進(jìn)行一次一密的方式認(rèn)證。

但是由于基于時(shí)間同步方式的動(dòng)態(tài)口令牌存在60 s的時(shí)間窗口，導(dǎo)致該密碼在這60 s內(nèi)存在風(fēng)險(xiǎn)，現(xiàn)在已有基于事件同步的、雙向認(rèn)證的動(dòng)態(tài)口令牌?；谑录降膭?dòng)態(tài)口令，是以用戶動(dòng)作觸發(fā)的同步原則，真正做到了一次一密，并且由于是雙向認(rèn)證，即：服務(wù)器驗(yàn)證客戶端，并且客戶端也需要驗(yàn)證服務(wù)器，從而達(dá)到了徹底杜絕木馬網(wǎng)站的目的。

由于動(dòng)態(tài)口令使用起來非常便捷，85%以上的世界500強(qiáng)企業(yè)運(yùn)用它保護(hù)登錄安全，廣泛應(yīng)用在VPN、網(wǎng)上銀行、電子政務(wù)、電子商務(wù)等領(lǐng)域。但這種驗(yàn)證方式適用于安全保密等級(jí)要求比較高的場(chǎng)景，比如網(wǎng)銀登錄等，對(duì)于日常的身份認(rèn)證而言，成本高，操作不方便，經(jīng)濟(jì)成本高，需要定期更換令牌，不適用于一般的身份認(rèn)證場(chǎng)景。

2）2007 —2015年：移動(dòng)時(shí)代

（1）短信驗(yàn)證碼

進(jìn)入移動(dòng)時(shí)代后，手機(jī)的普及程度和與生活的緊密程度大大加強(qiáng)，成為了人們必不可少的物品，手機(jī)和人們生活的邊界正在消融，所以利用短信驗(yàn)證碼進(jìn)行身份認(rèn)證開始變得可靠而且方便。短信密碼以手機(jī)短信形式請(qǐng)求包含6位隨機(jī)數(shù)的動(dòng)態(tài)密碼，身份認(rèn)證系統(tǒng)以短信形式發(fā)送隨機(jī)的6位密碼到客戶的手機(jī)上?？蛻粼诘卿浕蛘呓灰渍J(rèn)證時(shí)輸入此動(dòng)態(tài)密碼，從而確保系統(tǒng)身份認(rèn)證的安全性。但短信驗(yàn)證碼的驗(yàn)證方式也有明顯的缺點(diǎn)，很容易被劫持和竊取。一是技術(shù)上短信協(xié)議本身存在著已被證實(shí)且可以成功利用的漏洞，并且大量出現(xiàn)的LTE/4G偽基站加上GSM中間人攻擊可以攻破所有短信驗(yàn)證；二是實(shí)際應(yīng)用中任何智能手機(jī)的應(yīng)用都可以申請(qǐng)讀取短信的權(quán)限，安全性依賴于用戶自己的安全意識(shí)。

（2）生物識(shí)別

隨著科技的進(jìn)步，越來越多的生物識(shí)別的方式開始廣泛應(yīng)用，比如指紋、人臉、聲紋等。生物識(shí)別是科技的巨大飛躍，人們體驗(yàn)到了不需要繁瑣的驗(yàn)證方式就可以進(jìn)行認(rèn)證，利用生物識(shí)別方式進(jìn)行認(rèn)證優(yōu)勢(shì)明顯，符合安全性高、輕量級(jí)、統(tǒng)一、體驗(yàn)好的身份認(rèn)證標(biāo)準(zhǔn)，但是普通的生物識(shí)別有明顯的短板，通過紙片翻拍，打印用戶照片、屏幕翻拍、3D打印面具、合成活體視頻等方式能容易繞過。并且指紋和人臉容易被盜取，可以偽造，經(jīng)證實(shí)，導(dǎo)電硅膠以及膠帶+導(dǎo)電漆筆制作的假指紋可以輕松破解各種手機(jī)指紋密碼；指紋復(fù)制工具可以很容易買到。聲紋也容易被復(fù)制，部分聲紋可以通過錄音的方式破解，針對(duì)更成熟的聲紋識(shí)別系統(tǒng)，通過機(jī)器學(xué)習(xí)的方式也是可以破解的。而個(gè)人特征一旦被破解，幾乎所有的身份都可以被盜取。盡管如此，由FIDO，IFAA，TUSI等聯(lián)盟推薦的硬件隔離配合高強(qiáng)度的密碼學(xué)算法，利用生物識(shí)別進(jìn)行身份認(rèn)證在一段時(shí)間內(nèi)依然是低安全等級(jí)身份認(rèn)證的首要選擇。

通過行為識(shí)別的身份認(rèn)證優(yōu)勢(shì)

生物識(shí)別作為身份認(rèn)證的方式目前已經(jīng)被廣泛應(yīng)用，但弊端顯而易見。隨著科技的進(jìn)步，人工智能（AI）技術(shù)的快速發(fā)展，再加上國(guó)內(nèi)在AI技術(shù)方面起步早、應(yīng)用多、發(fā)展迅速，這為通過AI技術(shù)進(jìn)行身份認(rèn)證提供了非常好的條件。

隨著網(wǎng)絡(luò)攻防用AI對(duì)抗AI情況的增多，人臉識(shí)別甚至能被100%秒破。人工智能與身份認(rèn)證技術(shù)的結(jié)合，可以有效解決身份認(rèn)證問題。未來20年，AI行為認(rèn)證是大勢(shì)所趨，身份認(rèn)證的無密時(shí)代很快就會(huì)到來。

基于行為的身份認(rèn)證技術(shù)實(shí)現(xiàn)，主要是依靠傳感器多維度、多規(guī)則地對(duì)用戶日常登錄系統(tǒng)的操作行為和使用習(xí)慣，在用戶無感知狀態(tài)下持續(xù)深度地學(xué)習(xí)其特征，建立識(shí)別模型，并與用戶本人進(jìn)行相似度匹配，即可對(duì)用戶身份進(jìn)行準(zhǔn)確確認(rèn)。在用戶輸入密碼時(shí)，后端進(jìn)行用戶AI 行為模型相似度匹配，同時(shí)完成密碼驗(yàn)證及用戶行為驗(yàn)證，1步操作=2步驗(yàn)證，安全和便捷可以兼得，用戶全程無感知。基于人的行為習(xí)慣建立的行為模型特征也是生物特征的一種，有2個(gè)最大優(yōu)勢(shì)：一是無感知身份驗(yàn)證，在不知不覺中就完成了身份識(shí)別，體驗(yàn)很好；二是行為特征不會(huì)被盜，形似神不似也能識(shí)別出來，因?yàn)槿说男袨槟Ｊ揭坏┬纬删秃茈y改變，更無法被模仿。AI行為識(shí)別身份認(rèn)證基于人工智能技術(shù)，使用貝葉斯、條件隨機(jī)場(chǎng)機(jī)器學(xué)習(xí)算法，對(duì)用戶日常登錄的操作行為和使用習(xí)慣數(shù)據(jù)（敲擊鍵盤的頻率、強(qiáng)度、時(shí)間等），在用戶無感知狀態(tài)下，持續(xù)深度學(xué)習(xí)其行為特征，建立單獨(dú)的用戶數(shù)據(jù)畫像，并與用戶本人進(jìn)行相似度匹配，即可對(duì)用戶身份進(jìn)行確認(rèn)。通過將AI的行為感知技術(shù)和安全機(jī)制結(jié)合，基于行為的身份認(rèn)證產(chǎn)品可實(shí)現(xiàn)以下功能：

1）通過AI行為識(shí)別技術(shù)，能精確辨別操作者是否為用戶本人，而且有效過濾虛假機(jī)器操作。通過基于AI 行為識(shí)別的雙因素身份認(rèn)證，過濾不合法用戶的登錄、支付等請(qǐng)求。避免因弱口令、木馬程序、釣魚攻擊、密碼泄露等引起的身份冒用，增強(qiáng)身份鑒別能力。

2）基于AI人機(jī)行為識(shí)別技術(shù)，可以攔截機(jī)器人主動(dòng)頻繁網(wǎng)絡(luò)請(qǐng)求，攔截羊毛黨的群控操作，保護(hù)活動(dòng)資金的安全；預(yù)防暴力破解、撞庫等自動(dòng)化程序攻擊，增強(qiáng)風(fēng)控體系。

3）通過行為識(shí)別，疊加多因素身份認(rèn)證，可以滿足要求等級(jí)高的身份認(rèn)證需要。多因素身份認(rèn)證是通過結(jié)合至少2個(gè)以上獨(dú)立的身份憑證因素進(jìn)行訪問控制，目的是建立一個(gè)多層次的防御，使未經(jīng)授權(quán)的人訪問應(yīng)用、系統(tǒng)或網(wǎng)絡(luò)更加困難。行為認(rèn)證可以集成多種身份驗(yàn)證功能——人臉識(shí)別、指紋識(shí)別、圖片密碼、一鍵確認(rèn)、OTP 動(dòng)態(tài)口令等身份識(shí)別解決方案，政府和企業(yè)可以根據(jù)不同的安全場(chǎng)景指定相應(yīng)的登錄驗(yàn)證方式。

通過行為感知來進(jìn)行身份認(rèn)證，不僅對(duì)于個(gè)人，對(duì)于需要管理眾多終端的行業(yè)用戶來說，優(yōu)點(diǎn)明顯，通過疊加多因素身份認(rèn)證技術(shù)，更可以實(shí)現(xiàn)場(chǎng)景式多元化的驗(yàn)證方式，滿足不同等級(jí)、不同方式的需要。以錦佰安的產(chǎn)品Sec ID來說，可滿足以下需求：

1）合法合規(guī)檢測(cè)用戶異常登錄，精準(zhǔn)區(qū)分正常用戶與惡意訪問，杜絕弱口令、密碼泄露、撞庫、釣魚、暴力破解等惡意攻擊，提供軍用級(jí)賬號(hào)保護(hù)。

2）智能后臺(tái)提供一站式批量化管理，將IT員工從枯燥重復(fù)的身份管理工作中解放出來，專注于IT研發(fā)與創(chuàng)新。支持Windows、Linux、麒麟等各類操作系統(tǒng)，包括國(guó)產(chǎn)操作系統(tǒng)。支持AD域、LDAP、RADIUS 等各種認(rèn)證協(xié)議。支持各類Web語言應(yīng)用及各類網(wǎng)絡(luò)設(shè)備。

3）滿足等保2.0時(shí)代密碼管理標(biāo)準(zhǔn)，啟用用戶身份標(biāo)識(shí)唯一性檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)，提供覆蓋到每個(gè)用戶的安全審計(jì)功能，對(duì)應(yīng)用系統(tǒng)中重要的安全事件進(jìn)行審計(jì)。

4）Sec ID快速身份認(rèn)證基于FIDO UAF1.0協(xié)議標(biāo)準(zhǔn)實(shí)現(xiàn)，在用戶名和密碼的基礎(chǔ)上，結(jié)合日趨成熟的生物特征識(shí)別技術(shù)（如指紋識(shí)別）與系統(tǒng)鎖屏（密碼、九宮格、PIN碼）等完成本地身份認(rèn)證，可用于增強(qiáng)登錄、驗(yàn)證、支付等敏感性操作的身份準(zhǔn)入。采用即插即用的本地身份認(rèn)證，用戶的隱私、生物特征信息及其產(chǎn)生的私鑰保存在可信設(shè)備手機(jī)之中，具有更好的安全性、便捷性、適配性以及隱私保護(hù)性。

基于行為識(shí)別的多因素身份認(rèn)證典型場(chǎng)景

錦佰安團(tuán)隊(duì)從2016年開始進(jìn)行基于行為識(shí)別的身份認(rèn)證產(chǎn)品開發(fā),目前已經(jīng)積累了百余項(xiàng)客戶案例。Sec ID在實(shí)際應(yīng)用中，進(jìn)行優(yōu)化并形成了更好的體驗(yàn)方式（見圖2），主要有以下幾類：

1）管理員后臺(tái)功能

用戶全生命周期管理，提供用戶全生命周期管理，支持單個(gè)及批量用戶的創(chuàng)建、修改、刪除等操作，支持用戶分組管理模式，可基于組織結(jié)構(gòu)或角色對(duì)用戶進(jìn)行分組管理。為員工入職、離職等角色變更提供一站式身份管理，避免因?yàn)閱T工離職、權(quán)限不明帶來的安全隱患。

2）統(tǒng)一身份一鍵接入

用戶管理可實(shí)現(xiàn)多應(yīng)用環(huán)境下的統(tǒng)一用戶身份管理，支持SSO單點(diǎn)登錄，支持AD同步，一鍵批量導(dǎo)入，實(shí)現(xiàn)賬號(hào)統(tǒng)一管理。

3）豐富的安全策略

身份識(shí)別管理后臺(tái)可以配置用戶訪問控制策略，針對(duì)應(yīng)用系統(tǒng)及用戶組的不同安全需求，定義不同的二次驗(yàn)證方式；設(shè)置用戶訪問間隔，防止暴力破解。

4）安全策略

配置用戶訪問控制策略，針對(duì)應(yīng)用系統(tǒng)及用戶組的不同安全需求，定義不同的二次驗(yàn)證方式；設(shè)置用戶訪問間隔，防止暴力破解。

5）安全審計(jì)

身份識(shí)別管理后臺(tái)的日志包括管理員操作日志以及用戶登錄認(rèn)證日志，日志中記錄了用戶、應(yīng)用、操作時(shí)間、事件、安全設(shè)備等信息，方便安全審計(jì)和追溯，可以實(shí)現(xiàn)責(zé)任到人。精準(zhǔn)識(shí)別風(fēng)險(xiǎn)，快速集成工作效率高。

圖2 AI無感知認(rèn)證示意圖

行為識(shí)別在關(guān)鍵信息基礎(chǔ)設(shè)施領(lǐng)域的應(yīng)用

金融、交通、能源是關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域遭受網(wǎng)絡(luò)攻擊的重災(zāi)區(qū)。所以錦佰安團(tuán)隊(duì)和其產(chǎn)品Sec ID在國(guó)內(nèi)率先應(yīng)用于金融行業(yè)，可以防范釣魚欺詐、暴力破解、群控操作、木馬支持及API濫用等與用戶身份鑒別相關(guān)的場(chǎng)景。如圖3所示。

另外，隨著政務(wù)信息化工作的持續(xù)深化，云計(jì)算在支撐政務(wù)信息系統(tǒng)向更加集中、集約、高效、開放的方向發(fā)展。政務(wù)應(yīng)用是國(guó)家關(guān)鍵基礎(chǔ)設(shè)施的一部分，保障安全是政務(wù)云的一項(xiàng)基本要求，也是錦佰安著力要保障的領(lǐng)域。

在傳統(tǒng)身份認(rèn)證技術(shù)基礎(chǔ)上，Sec ID基于行為識(shí)別的多因素身份認(rèn)證系統(tǒng)為政務(wù)云主機(jī)賬號(hào)添加安全高效的二次驗(yàn)證，確保合法可信任的人才能登錄和操作云主機(jī)及應(yīng)用等相關(guān)資源。相對(duì)傳統(tǒng)的短信、動(dòng)態(tài)口令二次驗(yàn)證方式，Sec ID的認(rèn)證方式能唯一確定到人，防止短信和動(dòng)態(tài)口令等可能泄露或多人使用的問題。

圖3 基于行為感知的身份認(rèn)證在金融領(lǐng)域的應(yīng)用

SecID的解決方案可有效防范與身份鑒別相關(guān)的數(shù)據(jù)泄露、暴力破解、外包人員惡意行為等安全風(fēng)險(xiǎn)。

目前，人工智能已經(jīng)成為我國(guó)科技發(fā)展中重要發(fā)展戰(zhàn)略。調(diào)查表明，到2030年，我國(guó)人工智能核心產(chǎn)業(yè)規(guī)模將達(dá)1萬億，帶動(dòng)相關(guān)產(chǎn)業(yè)規(guī)模超10萬億。人工智能的風(fēng)口期已經(jīng)到來，人工智能與安全的結(jié)合也是大勢(shì)所趨。目前還要警惕一些“偽人工智能”，比如，市面上的行為識(shí)別產(chǎn)品將“行為”定義為：用戶的地點(diǎn)、消費(fèi)金額、購(gòu)買類別等，這種“偽行為識(shí)別”識(shí)別精度不高，可以作為風(fēng)控的一部分，無法直接用來進(jìn)行身份認(rèn)證；涉及到用戶的隱私，具有法律風(fēng)險(xiǎn)。對(duì)于身份認(rèn)證領(lǐng)域來說，“行為”應(yīng)當(dāng)定義為用戶真實(shí)的操作習(xí)慣，如：敲擊鍵盤的頻率、強(qiáng)度、時(shí)間等，不涉及到用戶敏感的個(gè)人隱私。

今天，網(wǎng)絡(luò)安全正在越來越接近每一個(gè)人，安全的泛化趨勢(shì)讓人工智能迅速走向?qū)嶋H應(yīng)用。同時(shí)，使用人工智能手段的攻擊也將會(huì)發(fā)展壯大。在網(wǎng)絡(luò)安全領(lǐng)域，只有永遠(yuǎn)的對(duì)抗，沒有永久的安全。一次次的安全事件警示我們，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)永遠(yuǎn)存在，安全產(chǎn)品并不能解決所有問題，持續(xù)性安全服務(wù)是必不可少的，安全產(chǎn)品與安全服務(wù)“雙劍合璧”，才能更好地做好信息安全。