人机验证作为手机银行验证体系中重要的一环，其验证码的安全性以及用户体验成为了次要考验。12 月 22 日，顶象资深解决方案专家鳯羽就手机银行的人机验证解决方案讲起，从人机验证需要的诞生、验证码的倒退演变、手机银行验证码降级的必要性等方面为大家深度分析了手机银行人机验证的最优解决方案。
人机验证需要的诞生家喻户晓，验证码的呈现是为了反抗机器流量。但近几年，随着黑灰产逐步走向专业化、规模化，且有明确的分工配合，其从业人数超千万人，每年给整个行业带来的损失是微小的，数据泄露问题成为高危问题。
而从整体数据来看，寰球机器流量攻打不降反升，只管寰球机器攻击行为通过多年的反抗与治理，但不可否认，机器流量目前依然占据互联网流量中的较大局部，超过 40% 的流量是机器行为，其中歹意流量超过总流量 1 /4。
零碎层面的机器攻打反抗能力曾经遇到瓶颈，无奈在不影响业务的状况下进一步晋升拦挡效率。为了解决机器流量，验证码正式诞生。
验证码的价值次要体现在以下三方面：一是真人辨认。真人辨认的利用次要呈现在网站平台或 App 的注册、登录界面, 用于判断操作者是真人还是机器程序。
次要是通过辨认、输出辨别出操作者的真伪。真人辨认是验证码呈现的初衷, 也是验证码的首要价值。二是平安预警。
平安预警的利用次要呈现在账号遭逢危险时, 例如账号异地登录、更换登录设施、遭逢暴力破解、遭逢陌生人登录时。
次要是基于操作者既往的行为、环境、设施等信息, 与最新的操作行为进行比对, 从而核验该敏感操作是否账户持有人所为。三是身份核验。身份核验的利用次要呈现在账户登录状态下, 操作者在服务申请、重要信息发送、隐衷信息批改等界面, 用于核实账号操作者是否是账户持有者。
次要是基于账户预留信息与操作者提交信息比对, 从而实现操作者的身份进行二次核验或确认。验证码自诞生以来，先后经验了从文字验证码到图形验证码再到行为验证码的迭代过程。
目前仍有不少企业仍采纳第一代传统图形化验证码来应答黑灰产的批量机器攻击行为，然而以后的技术水平下针对传统图形化验证码的自动化辨认曾经十分成熟，并且有丰盛的配套黑灰产辨认脚本软件做反对，导致传统字符验证码并没有起到料想的防控成果，也不具备良好的用户体验不符合国家适老化的要求。
此外，据 CNNC 第 48 次中国互联网网络倒退情况统计报告显示，截止到 2021 年 6 月，60 岁以上的网民占比曾经达到了 12.2%。较 2020 年的六月份增长了 1.9 个百分点，也就是说随着老年群体规模的不断扩大，老年人在网民中的占比将进一步的进步。
简言之，网民的增长主体由青年群体向未成年人和老年人群体转化的趋势是非常明显的。另一方面，越来越多的老年人退出网民大军，他们在享受数字业务带来的生存便当的同时，越来越多的公共服务也从线下搬到了线上，那么老年人无障碍纯熟应用的公共服务提出了更高的要求。而传统的验证码因其复杂程度曾经无奈满足老年人的需要。
因而，适老化问题成为当下验证码亟待解决的问题。并且目前国家也在全国范畴内踊跃的推动适老化和无障碍革新专项口头，这也迫使的验证码一直的更新迭代。能够看到，验证码从最后的图文验证码倒退到行为验证码再到智能验证码，经验了先后四次迭代，一直晋升验证码的破解难度以及用户体验。
手机银行为什么要降级验证码？手机银行作为人机验证的重要环节，在很多业务中都有它的身影，验证的品种和模式也十分多。比如说，针对反欺诈危险去做验证，其目标就是去做真人辨认，验证是否是实在的用户在进行操作，验证的形式能够通过名单验证、人机验证。名单验证次要是通过手机号和 IP 黑名单这些支流的数据名单做验证。人机验证则是通过验证码去做验证。
对于验证的形式，可能有传统的密钥验证、手机验证、动静验证码、人机验证、三方的受权验证、生物验证等等，这些不同的验证形式之间也并没有相互代替的关系，在不同的业务场景有不同的危险，不同的用户体验。此外，以后还是有很多银行还在应用传统的验证码，正如前文所说，传统验证码存在诸多弊病，容易被破解，也不合乎无障碍适老化的需要
随着挪动互联网的高速倒退，业务平安畛域的攻防反抗也越来越强烈，而验证码往往是最容易被疏忽的环节，因而也成为了黑灰产的首要指标。诸如羊毛党刷单、主动注册机、撞库等歹意行为层出不穷。
整体来看，验证码可能带给企业业务的收益是十分大的。首先，验证码实用于多个业务场景，可在账户内场景下应用，比如说登录页面、注册页面、流动场景（积分、优惠券、红包）、辅助校验类场景等等，能够其到防爆破、防模仿等等具备高频机器特色的场景中去。其次，验证码对于业务带来的收益是非常显著的。
包含简化屡次发送短信弹图片验证的代码、. 防短信轰炸，灵便调整认证等级，全局管制验证码展现及强度，升高危险、可将长期保持脚本登录状态的用户过滤，增强登录态刷新的安全性、代码更简略、加强用户感知、安全性更高、可实现积分抽奖中原通过缓存实现的屡次抽奖管制，更牢靠、微信手机验证码中减少无感，可简化原发送次数代码，并使业务逻辑更清晰。更为重要的是，对于机器流量的防备，验证码是同类产品中影响最小、效率最高的。
但正是因为其绝对简略的产品个性，很多企业都漠视了它的重要性，老式验证码不仅没有解决平安问题，还给用户带来了业务体验上的降落。反之，关注用户体验的业务能力播种更多用户，正所谓不积跬步，无以至千里。不积小流，无以成江海。
对于金融行业来说，监管始终都是一把利剑。2020 年 2 月，中国人民银行正式公布 JR/T0068-2020《网上银行零碎信息安全通用标准》对网上银行验证码提出了具体要求。要求网上银行的验证码应随机产生，采取图片底纹烦扰、色彩变换、设置非连续性及旋转图片字体、变异字体显示款式、交互式认证等无效形式，避免验证码被自动识别。
验证码应具备应用工夫限度并仅能应用一次。同年 3 月，中国人民银行公布《挪动金融客户端应用软件平安治理标准》，要求各金融机构增强客户端软件设计、开发、公布、保护等环节的平安治理，构建笼罩全生命周期的管理机制，切实保障客户端软件平安。
其中，在身份认证平安中强调，若采纳图形验证码作为验证的辅助因素，图形验证码应具备应用工夫限度并仅能应用一次，图形验证码应由服务器生成，客户端源文件中不应蕴含图形验证码文本内容。
不难看出监管对于金融业无障碍适老化的要求，这些都促使手机银行的验证码的一直降级迭代。手机银行人机验证的最优解决方案那么，对于手机银行而言，最优的人机验证解决方案应该是怎么的？它须要具备哪些特点呢？首先，验证码曾经不单单是一个验证产品，除了其自身赋予的平安能力，咱们也能够实现对验证码赋能。
比方顶象的进攻云。在这个根底上，顶象推出了第五代智能验证码。新一代智能验证码联合了设施指纹、行为特色、拜访频率、地理位置等多项信息，无效的拦挡歹意登录、批量注册，阻断机器操作，拦挡非正常用户，较传统验证码相比，用户无需再通过思考或输出操作，只需微微一滑即可进行验证。
通过智能甄别为失常的用户，在肯定工夫内无需再进行滑动操作，既为银行提供了平安保障也让用户无感知通过，极大晋升金融用户的用户体验。同时，可提供 13 种验证形式，蕴含 12 种不同模式的视觉验证和 11 种面向老年人及残障人士的语音验证，并将继续钻研拓展降级。并且能够依据企业格调针对性定制专属皮肤，适配手机暗黑模式。充沛响应国家适老化无障碍的要求，将体验蹩脚的传统字符验证码进行降级替换为更容易被用户承受的滑块验证，并反对配适合老化工具或浏览器进行对立放大；除基于视觉的滑块验证外，提供基于不同感官的验证形式，满足老年人和残障人士在不同场景上应用时的优化诉求；反对通过内置的专家策略面向开启无障碍模式的用户，能够前端齐全不弹出验证码，满足了适老化人群的应用要求，极大了晋升了用户体验。
另外，验证码产品自身须要有多层防控的可信链路，让破解难上加难。与此同时，顶象智能验证码内置专家规定和训练的人机模型，笼罩危险点，波及设施信息篡改、异样轨迹、异样关联、核验信息不统一等多个方面。在设施维度，咱们会去测验设施指纹合法性，IP 的危险异样，设施的检测浏览器的 UA 是否统一，分辨率是否统一，有没有篡等。在验证环节，咱们会通过人机模型去做轨迹模型的检测，轨迹耗时的检测，异样轨迹的检测等，而后会去检测行为以及业务侧的行为特色等，可能实现毫秒级匹配危险特色。作为进攻云的一部分，顶象智能验证码更像是一套微型的决策引擎风控系统，领有 5903 个模型策略、8859 条规定，笼罩大多数金融业务场景，防控精准度大于 99.9%。一套欠缺的监控体系能够让危险透明化啊，也就是说咱们看到的不仅仅只是一个验证行为的胜利与失败，咱们还可能看到它的一些业务参数、用户的 user ID、申请 IP、IP 归属地、指纹、整个验证的详情，验证耗时等都能够从日志中去看到啊，不仅能够通过这套监控体系去监控验证方面的危险，还能够从日志中去看出验证形式进而优化验证策略，帮忙推动业务。正所谓，知己知彼方能屡战屡败，一套残缺的业务情报可能帮忙企业及时感知危险、进攻危险。
最初，一整套高可用的零碎架构可能保障咱们的业务在大并发状况下，那个整个零碎不出问题，可能保障咱们的业务失常运作。最初再给大家简略介绍下顶象业务平安大讲堂。
顶象业务平安大讲堂会集了业内大咖，分享万亿级业务平安攻防教训，打造时下最业余的业务平安直播课，通过“技术 + 计划 + 实际”三大外围专题，带您全面理解金融、互联网、航旅出行、跨境电商以及目前大热的 NFT 等各类业务危险及防备伎俩，深刻解析背地的产品技术，抽丝剥茧攻防实战，助您打造零危险的数字业务。
下期课程将顶象技术总监大卫老师给大家带来《业务平安平台外围模块技术解析 - 验证码》的主题演讲，敬请期待！增加“顶象小助手”入群，与各路专家共话平安，更有丰富福利和最新平安情报。