重新审视在线服务中真实风险基认证评估：复杂性致胜
密码学与安全
2023-08-30 v1
摘要
风险基认证（RBA）旨在保护终端用户免受涉及被盗或猜解密码的攻击，而无需始终要求第二种认证方法。在线服务通常对何为正常、何为非正常以及后续采取的动作设定限制。因此，RBA 在登录时监控不同特征，如地理定位与设备。若特征值偏离预期值，则可能请求第二种认证方法。然而，仅有少数在线服务公开其系统运作信息。这不仅阻碍 RBA 研究，也阻碍其在组织中的开发与采用。为理解在线服务的 RBA 系统如何运作，我们采用黑盒测试。为验证结果，我们重新评估三大提供商：Google、Amazon 和 Facebook。基于测试设置与测试用例，我们注意到 Google 上基于账号创建的 RBA 存在差异。此外，若干测试用例极少触发 RBA 系统。我们的结果提供了对 RBA 系统的新见解，并提出了若干未来工作问题。
引用
@article{arxiv.2308.15156,
title = {Evaluation of Real-World Risk-Based Authentication at Online Services Revisited: Complexity Wins},
author = {Jan-Phillip Makowski and Daniela Pöhn},
journal= {arXiv preprint arXiv:2308.15156},
year = {2023}
}