评分对用户意味着什么：基于数据的风险型认证特征长期研究

风险型认证（RBA）旨在强化而非替代基于密码的认证。RBA 通过在登录过程中监控和记录额外特征来实现这一点。若登录时的特征值与此前观测值显著不同，RBA 会要求额外的身份凭证。尽管 NIST 数字身份指南推荐使用 RBA，但迄今为止它几乎仅被大型在线服务使用。这部分是由于缺乏开放的知识和实现，使得任何服务提供商都能向其用户部署 RBA 保护。为弥补这一差距，我们提供了实际部署中 RBA 特征的首次深入分析。我们在一个真实在线服务上观测了 N=780 名用户及 247 个独特特征，历时超过 1.8 年。基于所收集的数据集，我们提供（i）对疑似大型在线服务在现实中使用的两种 RBA 实现的行为分析，（ii）对特征进行基准测试以提取最适合 RBA 使用的子集，（iii）一个此前未用于 RBA 的新特征，以及（iv）对 RBA 性能有显著影响的因素。我们的结果表明，RBA 需要针对每个在线服务精心定制，因为即使是微小的配置调整也会极大影响 RBA 的安全性和可用性。我们提供了关于特征选择、其权重分配以及风险分类的见解，以便在最少登录尝试次数后从 RBA 中获益。