萬(wàn)科交互安全項(xiàng)目對(duì)比測(cè)試報(bào)告

一 引 二 目 三 安全 服務(wù) 四 總 一目前萬(wàn)科家、e選房等著機(jī)器、撞庫(kù)、黑產(chǎn)搶房等互聯(lián)網(wǎng)問題，科E選房現(xiàn)在著黃牛搶房等問提升破解難度，又將導(dǎo)致難以識(shí)別，降低客戶體驗(yàn)。、杭州網(wǎng)易網(wǎng)絡(luò)有限公司（即網(wǎng)易）以及極意網(wǎng)絡(luò)科技產(chǎn)品（以下簡(jiǎn)稱極驗(yàn)）三家產(chǎn)品做一對(duì)比。二.目在萬(wàn)科E測(cè)試對(duì)在http:/ （e選房）以及https://m （e選房）頁(yè)測(cè)試原在測(cè)試環(huán)境下，部署三家驗(yàn)證產(chǎn)品，通過部署以及產(chǎn)品測(cè)試流程論證產(chǎn)品的開發(fā)難度、可擴(kuò)展性以及體驗(yàn)等多項(xiàng)指標(biāo)；測(cè)試項(xiàng)此次測(cè)試由E選房項(xiàng)目組協(xié)調(diào)測(cè)試，產(chǎn)品經(jīng)理負(fù)責(zé)，其他技術(shù)同事協(xié)助，阿里、網(wǎng)易、極驗(yàn)相關(guān)技術(shù)協(xié)助部署測(cè)試；測(cè)試概2017913日開始，20179208天，通過對(duì)阿里、網(wǎng)三.數(shù)據(jù)隱通過分析和調(diào)試，阿里(noCaptcha)了大量的用戶隱私數(shù)據(jù)信息，甚至包括鍵盤輸入的按鍵值。號(hào)數(shù)據(jù)安全造成了，有可能造成萬(wàn)科用戶數(shù)據(jù)外泄情況產(chǎn)生。障用戶數(shù)據(jù)安全；通過了ISO27001國(guó)際安全認(rèn)證認(rèn)證，數(shù)據(jù)安全有保障；暫未檢測(cè)到數(shù)據(jù)隱私問題，完全的行為沙盒，非侵入式的安全體系，不會(huì)對(duì)用戶的任何敏感信息進(jìn)行收集。目前極驗(yàn)通過了SO27001、云雙重認(rèn)證，與一起通過了歐盟《一般數(shù)據(jù)保護(hù)條例》(GeneraDataProtectonRguaton，簡(jiǎn)稱GDPR)。數(shù)據(jù)私密性較高。安全的高阿里驗(yàn)證分為三層，分別對(duì)應(yīng)正常用戶（滑動(dòng)到底通過驗(yàn)證、中風(fēng)險(xiǎn)用戶（滑動(dòng)后點(diǎn)擊輸入）以及高風(fēng)險(xiǎn)用戶（滑動(dòng)后直接）即就是普通的字符驗(yàn)證，按照目前的OCR圖像識(shí)別技術(shù)和深度學(xué)習(xí)技術(shù)，難度相對(duì)比較低。之前也做過針對(duì)傳統(tǒng)字符的測(cè)試報(bào)告，通過率高達(dá)100%，所以由此判斷，阿第和引。以上是網(wǎng)易的兩種驗(yàn)證形式，滑動(dòng)拼圖以及圖文點(diǎn)選，于2017年推出，與極網(wǎng)易的滑動(dòng)拼圖經(jīng)過技術(shù)研究發(fā)現(xiàn)只是具備滑動(dòng)形式，其本質(zhì)技術(shù)原理只是簡(jiǎn)單的識(shí)滑塊位，滑驗(yàn)使用是態(tài)圖，動(dòng)形識(shí)率達(dá)80%以上。網(wǎng)易的圖文點(diǎn)選利用圖像識(shí)別原理以及深度學(xué)習(xí)模型進(jìn)行字符識(shí)別，了也可以高達(dá)80%以上。式這種模式依然存在問題，使用一些開源的工具就可以做OCR，將重要信息識(shí)別出來。然AI決策引擎來對(duì)驗(yàn)證安全進(jìn)行全方位的保護(hù)工作，從上次提交的《萬(wàn)科驗(yàn)證安全項(xiàng)目測(cè)試報(bào)告》發(fā)現(xiàn)，目前極驗(yàn)驗(yàn)證產(chǎn)品的安全性相對(duì)較好。極驗(yàn)驗(yàn)證的行為沙盒有三種模式，以下為第三種圖文點(diǎn)選模式，在AI決策引擎檢測(cè)到大量風(fēng)險(xiǎn)的時(shí)候推送圖文點(diǎn)選模式，進(jìn)一步防范。極驗(yàn)的圖文點(diǎn)選處理技術(shù)采用的是多層的卷積神經(jīng)網(wǎng)絡(luò)（CNNOCR針對(duì)目前的機(jī)器模擬行為，做了機(jī)器模擬測(cè)試，目前無法通過驗(yàn)證，采用已有的人工軌跡進(jìn)卷針對(duì)設(shè)備信息情況，也做了瀏覽器信息的驗(yàn)證，發(fā)現(xiàn)無法通過驗(yàn)證，極驗(yàn)宣稱而針對(duì)的情況，極驗(yàn)強(qiáng)制執(zhí)行特定JS消耗計(jì)算資源，大幅增加時(shí)間成本。用戶體中風(fēng)險(xiǎn)用戶：滑動(dòng)后，展示點(diǎn)擊、輸入（點(diǎn)擊只在WEB端展現(xiàn)用戶點(diǎn)web移動(dòng)端HTML520179推出了智能無感驗(yàn)證，與極驗(yàn)現(xiàn)在的驗(yàn)證3.0以上是網(wǎng)易在2017年9月中旬推出的驗(yàn)證形式，與極驗(yàn)驗(yàn)證極為相似，目前宣稱平驗(yàn)證僅需1.2秒，極驗(yàn)?zāi)壳靶Q完成驗(yàn)證僅需0.4秒，網(wǎng)易在圖文處理上略顯粗糙，具 極驗(yàn)通過AI決策引擎在保障安全的同時(shí)又兼顧了體驗(yàn)，通過接入測(cè)試，發(fā)現(xiàn)正常用戶E不改變用戶的情況下保障了驗(yàn)證安全。目前整體測(cè)試效果相對(duì)較好。管上圖為阿里的管理，只能看到部署ID情況，沒有數(shù)據(jù)報(bào)表。對(duì)于后期的運(yùn)營(yíng)分析帶了了極大的不便。極驗(yàn)在管理方面相比阿里、網(wǎng)易較為豐富，具有可視化報(bào)表，可以實(shí)時(shí)精準(zhǔn)分析，球IP分布，IP分布以及昨日P請(qǐng)求TOP10，具有可視化管理系統(tǒng)，自定義驗(yàn)證等。的，可以支撐后續(xù)的運(yùn)營(yíng)分析。開發(fā)難 極驗(yàn)的部署比較簡(jiǎn)單，提供完善的線上文檔支持，以及24小時(shí)和，在整可擴(kuò)展阿里驗(yàn)證目前的表現(xiàn)形式依然是驗(yàn)證，在整體的可擴(kuò)展性方面較差，無法集成在很多場(chǎng)景，只能單獨(dú)設(shè)置驗(yàn)證按鈕。用戶指網(wǎng)易驗(yàn)證目前主要的用戶群體依然是網(wǎng)易旗下的企業(yè)，但是目前網(wǎng)易郵箱、網(wǎng)易等符前在9月中旬新推出的智能無感還沒有實(shí)際用戶案例。極驗(yàn)在驗(yàn)證安全行業(yè)相對(duì)比較出名，也是客戶群體比較多的，號(hào)稱在全球擁20萬(wàn)家客戶，華為、金山、斗魚、國(guó)家工商、Airbnb等，相對(duì)在驗(yàn)證安全行業(yè)是屬于技術(shù)領(lǐng)先的服務(wù) 四無無有防無無有防無無有差好無無無高，Airbnb、金山、無以為提供以及24小時(shí)服阿里驗(yàn)阿里驗(yàn)證兜售整個(gè)數(shù)據(jù)風(fēng)控系統(tǒng)，需要的企業(yè)數(shù)據(jù)遠(yuǎn)高于網(wǎng)易、極驗(yàn)，目前阿里的數(shù)據(jù)隱私性不能得到保障，阿里驗(yàn)證會(huì)用戶的鍵盤信息；網(wǎng)易驗(yàn)網(wǎng)易驗(yàn)證本身安全性較差，網(wǎng)易的滑動(dòng)拼圖和圖文點(diǎn)選驗(yàn)證形式率高達(dá)80%在自己的郵箱包括網(wǎng)易驗(yàn)證賬號(hào)環(huán)節(jié)依然采用傳統(tǒng)，沒有使用自己的驗(yàn)證方式；網(wǎng)易驗(yàn)證目前只是在極驗(yàn)的驗(yàn)證形式，目前的智能無感驗(yàn)證模式不支持H5、極驗(yàn)驗(yàn)極驗(yàn)的集中在