在 之前 的文章中,我曾提到有關密碼的議題。雖然過了一年的時間,密碼依舊是我們每天在大量使用的驗證機制,而且在可見的未來並沒有跡象顯示這樣的情況會有任何轉變。方便性,這是所有其他驗證機制想要取代密碼的最大挑戰。所以雖然我們有個人憑證、Token這類”相當”安全的驗證機制,但是實際應用的系統依舊相當有限。
一家位於波士頓的公司 - Delfigo Security,推出了一項線上驗證的服務,名稱為 DSGateway 。此服務特別之處,在於它在原先的帳號/密碼驗證機制之外加上了其它的要素做為是否通過驗證的條件。當使用者輸入帳號/密碼之後,如果輸入資料正確,則原先的驗證伺服器可以將額外的資訊傳送到 Delfigo 的伺服器做進一步的判斷。這些額外資訊包含打字的特性 (Keystroke dynamics)、地理位置 (Geospatial parameters)、系統設定 (System parameters)等。而驗證的結果也不是通過與不通過這樣兩極化的判斷,而是一個稱之為 Confidence Factor (CF) 的數值,系統並可進一步根據此數值決定使用者的權限。整個基本的運作流程可以參考下圖。
雖然整個產品看起來複雜性不高而容易了解,不過卻有幾個重要的議題沒有提到。第一個當然就是此一驗證方式的準確性,尤其是透過瀏覽器取得打字特性,能有多精準的效果仍須實際的例子加以證明。另外一個更大的議題則是使用者的資料如何建立?又如何加以更新?這個議題關係到這樣的機制是否可以應用於提供大眾服務的系統,還是較適合用於內部使用的系統。
儘管如此,如果你想增加驗證機制的安全性,但是又不想造成使用者的不方便,DSGateway或許值得一試。
相關連結: