实战：大数据如何通过设备行为分析降低支付风险？

传统安全认证方式及其问题
　　之前有人说在互厂界环境噪声联网上，没人知道你是一条狗，这种身份不确定性对于互联网金融服务来说，是一个永远的风险。网络钓鱼、木马传播、账号窃取等带来的盗用和欺诈都是这种风险的直接体现。
　　所以，就有了人们最熟悉的几种安全认证手段：一是用户所知道的东西，比如密码；二是用户所拥有的东西，比如数字证书、硬件盾。他们的本质都是，当支付服务接收到支付请求时，为了减低支付风险，服务端要先确认支付发起者的身份是合法的。
　　但以上两种方法都会遇到一些障碍，比如密码容易忘记，有些人所有应用都用同一个密码，密码还可能存在泄露的风险。这一点，2011年底的CSDN密码泄露事件就给了所有人一个警示。
　　数字证书和硬件盾的问题在于，更换电脑或者重装系统之后，电脑中没有数字证书，用户就会无法支付，而硬件盾可能丢失或者损坏，发生这种情况，用户也会无法支付。这也是至今很多用户都没有选择这些安全产品的原因。
　　第三种现在广泛使用的安全认证方式是手机检验码。用户在电子商务网站、网上银行或者第三方支付网站预留手机之后，就可以在需要进行身份确认时接收动态验证码。手机有良好的携带性、私密性，手机短信的达到率可以达到90%以上。因此手机短信动态验证码被电子银行和第三方支付大量使用。
　　在手机短信验证码被大量使用之后，不法分子也开始针对性的展开攻势。钓鱼网站、电话的方式骗取验证码甚至成为一个黑色产业链，对电子商务环境造成很大的负面影响。
　　举个真实的案例，
支付宝为了防止不法分子冒充工作人员向用户骗取手机校验码，曾经在发送短信校验码的短信文案中明确写到淘宝或支付宝工作人员不会向您索取短信校验码。有一次，一位用户接到一位假客服的电话，假客服以帮她处理交易为由向她索取校验码，这位用户跟假客服说，短信里面说了工作人员不会向我索取短信校验码的。假客服可能也是灵机一动，回答说，我不是淘宝和支付宝的，我是卖家。这位用户就把校验码告诉假客服了。为此，支付宝只好更改了短信校验码的文案，明确说明任何索取短信校验码的行为均是诈骗行为。
　　即使这样，用户被骗取短信校验码的情况还是不能绝迹。因为这类非法骗取验证码的行为很多是有组织的实施，加上受害者的防范意识比较薄弱，成功骗取的概率始终是存在的。电子银行和第三方支付想要很好的控制这种非法行为，存在很大的难度。
　　设备行为分析的优势：你可以易容，但你的行为特征很难改变
　　答案是肯定的。不法分子可能通过各种方式掌握你的密码，骗取你的校验码，但他要完全使自己的行为特征跟你相似，那就要难得多。就好像整容很容易，但要改变你的行为特征却很难一样。能够通过这样的数据化、技术化的手段去控制风险，这就是互联网做安全的优势。
　　事实上，通过对用户支付行为的习惯数据进行分析来进行身份认证，可以很好的减少在支付过程中身份认证对用户的打扰。
　　行为在一段时间之内形成规律，就好比某个人习惯用左手写字。通过分析这声波分析种行为习惯，就可以知道用户的真实身份。
　　在网络上，一个人能获取到的设备是有限的，一般是办公室电脑、家里电脑、手机等。如果在一个可信的设备上登录系统，那么当前行为的可信度就较高。那么设备又是行为分析中的关键点。
　　我们可以给每个设备一个可信度，用户的行为与设备进行关联，每次用户的行为都可以动态的改变可信度。
　　一次可信的、合法的行为会增加可信度，一次不可信的、非法的行为会减少可信度。而增加和减少的度，是通过一套复杂的模型，采用机器学习的方式获得。这样就围绕设备形成一个闭环，输入-处理-输出-反馈。
　　除了可以改变用户直接使用的设备的可信度，甚至还可以通过设备与设备之间的关联关系动态改变设备的可信度。比如，用户A使用手机A，使用声波支付给用户B的手机B转账1000块，那么除了手机A的可信度提升，手机B的可信度也可以相应提升。分析设备直接的关系同样也可以建立一套复杂的模型。
　　因为用户网络行为会映射到设备的操作行为，所以通过对设备可信度的分析，就可以知道行为的风险有多高。而且这个过程中，不需要用户主动安装数字证书或者硬件盾，不需要接收校验码，对用户的体验也会有明显提升。
　　随着移动互联网兴起，地理位置定位、加速度感应等成为主流智能手机的标准配置。智能设备上的传感器，就好比人的五官，不断的采集周围环境的信息，这就为设备行为的分析提供更丰富的数据。这些智能化的设备散步在世界的每个角落，分分秒秒都在生产和传输信息；未来的挑战，不是用于分析的数据不够，而在于对如此庞大数据的储存和分析能力。
　　通过设备行为分析的方式去控制风险，只是通过大数据的方法去进行风险控制的一种。在国外paypal就没有数字证书、硬件盾这样的安全产品，就是靠分析用户与设备的行为去控制风险。中国的环境下，用户对安全的要求更高，安全感也更差，之前国内领先的第三方支付公司更多还是采取安全产品、校验码这些用户能够明显感知到的安全认证方式。但设备行为分析这样的新方式也已经开始起步。
　　还是那句话，这个世界上没有绝对意义上的安全，互联网上也是如此。但不论是要降低风险发生率本身，还是要提升风控过程中的用户体验和效率，互联网的方式、大数据的方式都要优于传统方式，这就是时代进步的必然。大家既要看到问题，也要看到这样更积极的一面。(来源：创事记；作者：章建军；编选：中国电子商务研究中心）