Co je behaviorální biometrika a k čemu slouží?

Počty všemožných internetových útoků a podvodů rostou. Útočníci jsou navíc čím dál sofistikovanější. Zlepšují se ale i možnosti obrany. Proti útokům, které jsou vedené metodami sociálního inženýrství a tradiční detekční mechanismy si s nimi moc neví rady, může pomoci behaviorální biometrie. Na první pohled neviditelná obrana. Pomáhá mimo jiné určit, zda s danou aplikací pracuje oprávněný uživatel a jestli třeba není k něčemu nucen. 

Cestovatelé do vzdálených a často exotických zemí to nejspíš znají. Při první platbě ve vzdálené destinaci se platba kartou buď nezdařila, nebo po chvíli zazvonil telefon a bankovní úředník na lince se ptal, zda jde o legitimní transakci. Stávalo se to, obzvlášť když jste někam relativně daleko vycestovali poprvé. A čím častější vaše cesty byly, tím méně jste o své bance slyšeli.  

Banky totiž tradičně sledují chování svých zákazníků a snaží se odhalit jakékoli podezřelé transakce, které by mohly přinést potíže jak zákazníkům, tak samotné bance. Platba v nezvyklé zemi, kde jste nikdy nebyli, tak mohla vyvolat v bankovním systému poplach a banka se rozhodla ji ověřit. 

Banka sleduje naše chování. Máme jí poděkovat? 

S tímhle způsobem ověření se sice můžeme setkat i dnes, ale stal se daleko méně obvyklým. Když už na něj dojde, je celý mechanismus v pozadí, který banku na nezvyklou transakci upozorní, mnohem sofistikovanější než v minulosti.  

Nadále platí, že banka sleduje vaše chování. Tohle studium vzorců chování uživatelů se souhrnně nazývá behaviorální biometrika a v současnosti jde o jasný trend v oblasti zabezpečení před čím dál sofistikovanějšími metodami internetových útočníků a podvodníků. 

O co jde? Moderní webové a mobilní aplikace umí na pozadí sledovat celou řadu parametrů, jejichž existenci si uživatel vlastně ani neuvědomuje. Přitom ho dovedou jasně identifikovat. Jde o drobnosti. Aplikace třeba sledují, jak rychle a razantně uživatel píše na klávesnici, jak pohybuje myší, jakým způsobem ťuká do dotykového displeje tabletu či telefonu nebo jaké překlepy jsou pro něj typické. Podobně callcentra mohou analyzovat hlas uživatele. „Parametrů, které se takto dají sledovat, jsou tisíce,“ říká Michal Tresner, spoluzakladatel české společnosti ThreatMark, která řešení založená na behaviorální biometrice dodává.

Chrání obě strany 

Behaviorální biometrika má několik úkolů. Jedním z nich je ochrana samotného uživatele. Řešení dovede určit, zda se do aplikace, třeba internetového bankovnictví, přihlásil on, nebo někdo jiný, kdo třeba zneužil jeho přihlašovací údaje.  

„Chování uživatele jde v reálném čase analyzovat sofistikovaným strojovým učením a vyhodnotit, jestli jde o chování typické pro konkrétního jedince. Když přijde útočník, který někde získal přihlašovací heslo, tak to poznáme. Chová se úplně jinak,“ vysvětluje Michal Tresner.  

Změnit se ale může i chování samotného uživatele. Třeba když je ve stresu. Ten samozřejmě může být způsoben nějakou legitimní příčinou, ale důvodem může být také tlak útočníka.  

Pokud zadáte transakci v mobilním bankovnictví a třesou se vám při tom ruce, aplikace ji vyhodnotí jako podezřelou. Může se tedy stát, že vám banka zavolá, aby platbu ověřila. „Transakce se může tvářit, jako že proběhla, ale ve skutečnosti ji systém na pozadí pozastaví a určí k prověření,“ popisuje Michal Tresner standardní situaci.  

Samozřejmě může jít i o falešný poplach: „Když si zlomíte ruku a píšete kvůli tomu jinak, to už systém samozřejmě neví,“ vysvětluje Michal Tresner příčiny možného podezření. Nemusí to ale nutně znamenat, že bude transakce pozastavena a bude potřeba prověření ze strany banky. Někdy stačí, že systém uživatele požádá o dodatečné ověření: třeba zadání hesla, které jinak zadávat nemusí. 

Chcete se do behaviorální biometriky ponořit do hloubky? Pusťte si jeden z dílů O₂ CyberCastu, kde jsme se jí věnovali dopodrobna. 

Podobně dovede metoda chránit i samotné provozovatele služeb. Společnost Mastercard, která se zabezpečení pomocí behaviorální biometrie věnuje ve své vlastní společnosti NuData Security, uvádí na svém blogu příklad, kdy se do prodeje dostane nějaká žhavá novinka, třeba nový typ herní konzole.  

Běžně se během několika sekund vyprodá a za několik hodin objeví na inzertních portálech za násobně vyšší ceny. To proto, že ziskuchtiví překupníci si založí s předstihem v e-shopech řadu účtů a při spuštění prodeje vykoupí zboží hromadně jejich prostřednictvím – ať už automatizovaně, nebo pomocí „armády“ nákupčích.  

Behaviorální biometrie ale umí v takovém případě pomoci a zajistit, aby se dostalo na legitimní zájemce. „Behaviorální biometrie zvládne detekovat, že spousta účtů používá zařízení ve stejné lokaci, že tito uživatelé stránkou nebo aplikací procházejí stejným způsobem a díky tomu, že činnost opakují, i rychleji než běžný uživatel, nebo že jsou baterie používaných zařízení vždy plně nabité,“ píše Mastercard. 

Mobil přináší zajímavější možnosti 

„Dovedeme chránit v podstatě jakoukoli webovou či mobilní aplikaci,“ říká Michal Tresner. Právě mobilní telefon je ale z hlediska dostupných údajů a možných způsobů prověření identity uživatele mnohem lepší než počítač.  

V obou případech zabezpečení funguje jen v rámci dané aplikace, ale u mobilů má systém k dispozici daleko víc údajů. A to díky senzorům, které se v telefonech nacházejí. „Takže třeba víme, že židle, na které uživatel sedí, když obvykle dělá tuhle aktivitu, je otočená na severozápad. A anomálií je, když takto orientovaný není,“ říká Tresner.  

Podobnou anomálií může být třeba to, že uživatel zadává platební příkaz do mobilního bankovnictví a má při tom aktivní hovor a telefon třeba střídavě přikládá k uchu a od něj. To může být varovný signál, že ho někdo k transakci prostřednictvím telefonu navádí.   

I proto může být používání obdobných aplikací na mobilním telefonu bezpečnější než v prohlížeči. 

Chráníte i firemní mobily? Je vaše firma schovaná za robustním firewallem a zaměstnance pravidelně školíte o phishingových útocích, ale na koncová zařízení, zejména mobily, se zatím nedostalo? Chraňte je jednoduše skrze O₂ Mobile Device Management. Na dálku máte pod palcem všechny firemní telefony včetně přístupu kolegů k nedůvěryhodnému obsahu a aplikacím.   

Data nasbíraná z aplikací používají systémy zabezpečení k tomu, aby se dále učily. Jsou ale přísně anonymní, nikdy nedochází k přímému spojení konkrétního uživatele a jeho dat.  

Zjednodušeně řečeno, systém zabezpečení neví, že se do aplikace hlásí Josef Novák. Pouze pozná, jestli je to stejná osoba, jako obvykle. „Díky strojovému učení nám stačí uživatele poznat jen jednou a už při jeho příštím přihlášení jsme schopni detekovat anomálie,“ uzavírá Michal Tresner. 

Behaviorální biometrika je tak efektivní způsob, jak odhalit různé nekalé praktiky. A může jít o jednu ze součástí cesty k budoucnosti bez hesel.   

Co si z článku odnést? 

• Behaviorální biometrie je moderní způsob zabezpečení, který funguje na základě sledování mikroskopických detailů chování uživatele. 
• Metoda dovede snadno rozpoznat oprávněného uživatele od útočníka, který mu například odcizil heslo. 
• Vše funguje na základě detekce anomálií nebo podezřelých vzorců chování. 
• Daleko širší možnosti identifikace uživatele a odhalení možného podvodu má metoda na mobilních telefonech. 

Michaela Látalová
Marketingový specialista pro B2B Míša se v O2 stará o to, aby české firmy měly vždycky dost informací o trendech v cyberscurity a ICT. Plní blog články, natáčí podcasty a firmy zásobí e-mailingy se žhavými novinkami.