القياسات الحيوية السلوكية للمصادقة المستمرة

كلمة المرور تُثبت من سجّل الدخول. لكنها لا تقول شيئاً عمّن يمسك بلوحة المفاتيح بعد عشر دقائق، بعد أن تكون ملف تعريف ارتباط (cookie) الجلسة قد سُرق أو تكون أداة وصول عن بُعد قد سيطرت على الشاشة. القياسات الحيوية السلوكية (behavioural biometrics) تسدّ هذه الثغرة بتسجيل درجة لكيفية كتابة الشخص وتنقّله عبر المسار، بشكل مستمر، بحيث يتفاعل النظام حين يتغيّر المُشغِّل في منتصف الجلسة لا عند الباب فقط.

سبب أهمية هذا يكمن في شكل عمليات الاستيلاء على الحساب الحديثة. لم تعد بيانات الاعتماد هي الحلقة الأضعف في الغالب؛ فالمهاجم يمتلكها بالفعل عادةً. ما لا يستطيع إعادة إنتاجه بسهولة هو الذاكرة العضلية للمستخدم الأصلي: الإيقاع بين ضغطات المفاتيح، والترتيب الذي ينتقل به شخص بين حقول نموذج يملؤه عشرين مرة في اليوم. هذه الإشارات يصعب اصطيادها عبر التصيّد (phishing) ويصعب شراؤها في منتدى، وهي تدوم طوال الجلسة لا في الثانية الأولى فحسب.

ما هي الإشارات فعلياً

المادة الخام هي التوقيت والحركة، مأخوذة من أحداث يُصدرها المتصفّح أو التطبيق أصلاً. ولا شيء منها هو محتوى ما يكتبه المستخدم.

• ديناميكيات ضغط المفاتيح (keystroke dynamics): زمن الضغطة (dwell time؛ كم يُبقى المفتاح مضغوطاً) وزمن الطيران (flight time؛ الفجوة بين تحرير مفتاح وضغط التالي). أزمنة الحرفين (digraph) والثلاثة أحرف (trigraph) للأزواج الشائعة مستقرة لكل شخص وتنزاح حين يتولّى شخص آخر.
• سلوك المؤشر واللمس: منحنيات السرعة والتسارع، تجاوز الهدف عند النقر (overshoot)، إيقاع التمرير (scroll)، وعلى الهاتف المحمول ضغط اللمس وهندسة السحب (swipe).
• بنية التفاعل: ترتيب التنقّل عبر مسار معروف، التردّد قبل الحقول عالية القيمة، أنماط النسخ واللصق، وإيقاع مهمة متكرّرة أتمتها مُشغِّل حقيقي في يديه.
• الجهاز والسياق، مفصولين: المنصّة العامة، المنطقة الزمنية، الشبكة. هذه خصائص مساندة لا الإشارة الأساسية، ونُبقي مصدرها منفصلاً حتى لا يتنكّر تغيّر الجهاز وحده في هيئة تغيّر سلوكي.

نقطة تستحق القول بوضوح: المحتوى غير مطلوب ولا ينبغي جمعه. أنت تلتقط أن حدث مفتاح وقع ومتى وقع، لا أي حرف كان. هذا يُبقي مجموعة الخصائص قابلة للدفاع عنها بموجب المادة 9 من اللائحة العامة لحماية البيانات (GDPR)، ويُبقي مسار التدقيق نظيفاً حين يسأل جهة تنظيمية عمّا خزّنته.

تحويل الإشارات إلى قرار حيّ

النموذج هو مسألة تحقّق لكل مستخدم، لا مصنِّف للفئة العامة. أثناء التسجيل تبني ملفاً من الجلسات الأصلية للشخص، ثم عند الاستدلال تُسجّل درجة لمدى بُعد الجلسة الحالية عن ذلك الملف. الإشارة هي ارتفاع درجة الشذوذ عبر نافذة، لا ضغطة مفتاح شاذة واحدة.

مخاطر الهندسة هنا هي نفسها التي تُخرّب بهدوء أي نموذج سلوكي:

• التسرّب وصحّة النقطة الزمنية. يجب أن تكون جلسات التسجيل مؤكَّدة الأصالة اعتباراً من لحظة التدريب، لا أن يُعاد وسمها لاحقاً لأن الحساب تبيّن أنه احتيالي. إن تسرّبت جلسة استيلاء إلى مجموعة التسجيل، يتعلّم الملف المهاجم. أرشِف نسخ الملف واحتفظ بمصدر (lineage) كل جلسة غذّته.
• البداية الباردة (cold start). المستخدمون الجدد بلا ملف، لذا تُسجَّل الجلسات المبكرة قياساً على خط أساس للفئة العامة وتبقى في حالة ثقة أدنى. كن صريحاً بأن ميزانية الإيجابيات الكاذبة مختلفة في هذه المرحلة، لأن الاحتكاك مع عميل جديد أصلي مكلف.
• الانزياح (drift). كتابة الناس تتغيّر مع لوحة مفاتيح جديدة، أو إصابة، أو الانتقال من مكتبي إلى محمول. على الملف أن يتكيّف دون أن يتكيّف مع مهاجم، ما يعني تحديثات تدريجية مشروطة بإشارات ثقة أخرى ومجموعة تقييم محجوزة (hold-out) تتتبّع رفض المستخدم الأصلي عبر الزمن.
• الحدود المفاهيمية بين مستخدمين يتشاركون جهازاً. الحسابات العائلية، محطات العمل المشتركة في فرع، الوصول المفوَّض. على تحليل الكيانات (entity resolution) أن يقرّر ما إن كانت بصمتان سلوكيتان لشخصين أم لشخص واحد على جهازين.

زمن الاستجابة قيد حقيقي. الدرجة المستمرة التي تصل بعد ثلاثين ثانية من التحويل الاحتيالي سجلّ استقصائي، لا وسيلة تحكّم. يعمل مسار التسجيل على تدفّق أحداث الجلسة ويُنتج درجة محدَّثة كل بضعة تفاعلات، وهو ما يتيح لطبقة القرار أن تتدخّل قبل أن تُفرِج المعالجة المباشرة (straight-through processing) عن دفعة.

تقرير ما يُفعل مع درجة هابطة

الدرجة ليست إجراءً. القيمة في سلّم الاستجابة الذي تُلحقه بها، مضبوطاً على ميزانية إيجابيات كاذبة وافق عليها العمل فعلاً.

• شذوذ منخفض: لا تفعل شيئاً، سجّل الدرجة لمسار التدقيق وللتقييم لاحقاً.
• شذوذ مرتفع في إجراء منخفض القيمة: زِد المراقبة، وأبقِ الجلسة في حالة تتطلّب فيها الإجراءات عالية القيمة إعادة تحقّق.
• شذوذ عالٍ في إجراء عالي القيمة: صعِّد. أعد المطالبة بعامل، أو أخّر المعاملة، أو وجّهها إلى المراجعة بدلاً من الحجب المباشر، لأن حجباً خاطئاً خلال نهاية الربع لمستخدم خزينة أصلي هو حادثة بذاته.
• شذوذ عالٍ متواصل مع إشارات داعمة: أنهِ الجلسة وافرض إعادة المصادقة.

التعزيز المتبادل (corroboration) هو الانضباط الذي يمنع هذا من أن يصير مولّد إزعاج. الشذوذ السلوكي وحده دليل ضعيف. أما الشذوذ نفسه إلى جانب جهاز جديد، أو قفزة سفر مستحيل (impossible travel)، أو مستفيد أُضيف قبل دقائق فقصة مختلفة، وينبغي أن يكون منطق الدمج صريحاً بشأن أي تركيبات تُصعِّد. أبقِ رموز السبب مقروءة: حين تُصعَّد جلسة أو تُقتل، يجب أن يقول السجلّ أي الخصائص تحرّكت وبأي مقدار، لأن العميل سيتصل، والمحلّل سيحقّق، وفي النهاية سيطلب منك أحدهم في الامتثال شرح القرار.

الحدّ الأمين للتقنية أنها احتمالية وأنها تتدهور. الملفات تتقادم، والمهاجمون الذين يجلسون ويراقبون قادرون على تقليد الإيقاع، واحتيال الوصول عن بُعد حيث يُلقَّن المستخدم الأصلي الكتابة يُنتج إشارات سلوكية أصلية مرتبطة بنيّة احتيالية. القياسات الحيوية السلوكية تُضيّق النافذة التي يعمل فيها المهاجم وتجعل الاستيلاء الصامت مكلفاً. لكنها لا تُغلق النافذة، وأي نشر يُباع على أنه يُغلقها سيفشل أول مرة تصل فيها حالة تحويل مُلقَّن بدرجة سلوكية نظيفة.