炼数成金 门户 量化投资 金融风控 查看内容

挑战设备指纹风控策略的两大利器

2017-6-9 14:54| 发布者: 炼数成金_小数| 查看: 24572| 评论: 0|原作者: 七月|来自: Fintech技术圈

摘要: 设备指纹(Device Fingerprinting)是什么?简单来讲,设备指纹是指可以用于唯一标识出该设备的设备特征或者独特的设备标识。设备指纹因子通常包括计算机的操作系统类型,安装的各种插件,浏览器的语言设置及其时区 、 ...

工具 安全 金融 操作系统 量化投资

设备指纹(Device Fingerprinting)是什么?

简单来讲,设备指纹是指可以用于标识出该设备的设备特征或者独特的设备标识。设备指纹因子通常包括计算机的操作系统类型,安装的各种插件,浏览器的语言设置及其时区 、设备的硬件ID,手机的IMEI,电脑的网卡Mac地址,字体设置等,通过某种Hash算法生产特征字符串来用作设备指纹。

在互金反欺诈实践中,设备指纹已经成为了基础技术。为什么设备指纹的作用那么重要?因为身份的不确定性是互联网反欺诈分子的根本支撑,在无法识别操作用户的情况下,可以从设备着手,识别可疑上网设备,及时对高风险的设备及相关操作做出反应,即可控制风险降低损失。

例如,在线支付公司的风险管理系统引入设备指纹指纹技术,可贯穿于所有需要风险判断的场景。比如,垃圾注册,如果同一设备注册次数过多或注册时间异常,即发出风险警报或进入二次验证过程,防止拖库撞库的风险行为;当支付时,同一设备支付金额过大或频繁交易,那么就要警惕是否有洗钱的风险。支付环节需求严格管控,传统的IP容易伪造代理等,并且精度不够细,设备指纹完美地补充了这一风险漏洞。

另一种很常见的情况是黑客的“肉鸡”发起网络攻击时,如果该“肉鸡”设备指纹以前已经在黑名单中,风控系统可及时发现这次的网络请求存在欺诈嫌疑。比如,某股份制银行的微信营销活动中,设备指纹被引入风控模型,将其作为设备方面的一个维度,快速准确的识别每一台设备,及时将刷奖等恶意操作拒之门外,预防了巨额经济损失。

国内外都有不少安全公司,投入巨资研究设备指纹技术,并且累计了巨大的设备指纹黑名单库,在电商、支付、在线信贷等行业得到了广泛的应用,并且也的确取得了显著的效果。然而,黑产也在不断进步,黑客神器不断出现,挑战各大公司的安全防线。

FraudFox(http://fraudfox.net/)是一个突破设备指纹风控体系的有力武器。这个售价99美元的服务提供一个兼容VMWare和VirtualBox的Win7虚拟机,通过使用内置程序更改通常用于生成设备指纹的细节信息。FraudFox提供自动随机生成设备设置的工具,帮助黑客提升效率并避免基本的错误,例如,当模仿OS X系统时,CPU应该始终为64位,并且浏览器将自动选择Safari的对应版本,这样可以确保始终获得正确的随机设置。FraudFox还为用户提供命令行参数化登录工具,并支持多配置文件扩展,定制字体,插件,Flash和浏览器版本等信息,帮助黑产轻松实现大批量部署。

以下是FraudFox的配置界面,基本上,能够完全模拟一个新的用户,避开设备指纹黑名单。


地下黑客论坛还流行另外一大来自战斗民族的神器,名为 Antidetect(https://antidetect.org/)。该工具永久授权报价700美元,作者还贴心地提供了一个月版本,仅需99美元!用户可以非常快速,轻松地改变他们的系统的配置,包括浏览器类型,版本,语言,用户代理,Adobe Flash版本,插件的数量和类型,以及操作系统设置如操作系统和处理器类型,时区和屏幕分辨率等。

曾经有黑客发布了利用Antidetect仿冒用户的视频,使用偷来的信用卡购物,仅仅只需10分钟,就在同一网站上完成了两笔消费,盗窃了超过2000美元的虚拟物品。

在Antidetect的网站上,作者骄傲地宣称:
“我们是专业的,因为我们研究了绝大部分商业的风控系统,而不仅仅是使用一些类似"whatisyouripaddress"或"iwanttoknowmyuseragent"这样的网站来获取数据。我们知道一些异常复杂的获取你的设备指纹的JS脚本,也曾经开发过防护系统,非常清楚如何利用他们的漏洞。”
 
然后,他们又很谦逊地表示:我们的软件不是魔杖,而仅仅是一个用于网络安全实验和Javascript技能培训的工具。

谁信呢……

所幸的是,以上两个工具都是PC端的,模拟浏览器设备指纹。到目前为止,笔者还未发现移动端类似的工具,在手机上,通过App设备指纹应该还是比较可靠的。如果有读者知道手机端的类似工具,请加作者微信号“xiaoming_wang2011”交流,非常感谢!

欢迎加入本站公开兴趣群
量化投资群
兴趣范围包括:量化投资,算法交易,金融建模,统计套利等等
QQ群 262335016
如果大家不明白什么是量化投资,在百度谷歌搜索一下“西蒙斯”就知道了,最近这哥们火极了!这套东西在国外的金融机构已经大量使用,随着中国金融市场规模日益扩大和趋于成熟,这套玩法最终肯定也能在国内转起来,我们一起学习切磋,寻求项目机会做一下,提升自己在这方面的技能,将来一起发财

鲜花

握手

雷人

路过

鸡蛋

最新评论

热门频道

  • 大数据
  • 商业智能
  • 量化投资
  • 科学探索
  • 创业

即将开课

热门文章

     

    GMT+8, 2019-8-19 11:42 , Processed in 0.178570 second(s), 23 queries .