Warstwa behawioralna
Program zdradza się tym, jak działa, a nie tym, co robi
Każda wizyta wytwarza ruch: kursor jadący w stronę przycisku, wciskane i puszczane klawisze, przewijana strona, dotykany ekran. TRACIO ocenia ten ruch na bieżąco i mówi ci, czy pochodzi od ręki, czy od oprogramowania.
Czego pilnujemy
Cztery kanały wejścia, ważone urządzeniem, które odwiedzający ma w rękach
Każdy kanał oceniamy osobno, a potem je łączymy. Wagi nie są sztywne — idą za urządzeniem, z którego odwiedzający naprawdę korzysta. Na telefonie werdykt niesie dotyk, a brak kursora nie znaczy nic. Na komputerze kursor jest najmocniejszym kanałem, a brak strumienia dotyku jest po prostu oczekiwany.
Mysz i kursor
Główny na komputerzePrędkość i jej rozrzut, zmiany kierunku na odcinku drogi, sposób, w jaki tor zakrzywia się ku celowi, przyspieszanie i hamowanie przed kliknięciem oraz drobne drżenie ludzkiej ręki, którego skryptowany ruch nie odtwarza.
Rytm klawiatury
Wyłącznie czasyJak długo każdy klawisz pozostaje wciśnięty, odstęp między jednym puszczeniem a kolejnym wciśnięciem, nakładanie się, gdy następny klawisz schodzi w dół, zanim poprzedni się podniesie, serie i pauzy, poprawki i backspace'y. Czasy — nigdy znaki. Zobacz sekcję o prywatności poniżej.
Przewijanie
Oba typy urządzeńRozrzut prędkości, jak często odwraca się kierunek, pęd wygasający tak, jak wygasa fizyczne machnięcie, i pauzy pokrywające się z tym, ile tekstu naprawdę jest na ekranie.
Dotyk
Główny na telefoniePowierzchnia styku i to, jak zmienia się w trakcie stuknięcia, raportowany nacisk tam, gdzie urządzenie go udostępnia, drobny dryf palca, który nigdy nie ląduje dwa razy w tym samym pikselu, oraz czasy między wieloma punktami styku.
Ta sama sesja, ważona na dwa różne sposoby
Wagę niosą mysz i klawiatura. Strumienia dotyku nikt się tu nie spodziewa, więc jego brak nie kosztuje odwiedzającego nic.
Wagę niosą dotyk i ruch urządzenia. Wizyta zupełnie bez ruchu kursora jest na telefonie normalna, a nie podejrzana.
Brak nie jest dowodem
Kanał, którego urządzenie nigdy nie oferowało, wyłączamy z oceny, zamiast liczyć go przeciwko odwiedzającemu. Brzmi oczywiście i jest zarazem najczęstszym sposobem, w jaki naiwna ocena behawioralna zamienia prawdziwych klientów w podejrzanych: telefon nie ma myszy, osoba korzystająca z czytnika ekranu nie ma płynnego toru kursora i żaden z tych faktów nie mówi nic o byciu botem.
Dowody
Trzy rzeczy, które robi oprogramowanie, a których ręce nie potrafią
To przykłady, a nie pełny zestaw reguł, ale pokazują kształt dowodów, na których działamy. Każdy jest fizycznie niemożliwy dla ręki i każdy jest obwarowany warunkami tak, by pojedynczy dziwny moment nigdy nie stał się werdyktem.
Metronomowe przytrzymania klawiszy
Co mierzymy
Każdy klawisz przytrzymany przez prawie dokładnie tę samą liczbę milisekund w całym wejściu.
Dlaczego ręka tak nie potrafi
To, jak długo palec zostaje na klawiszu, zależy od tego, który to klawisz, do której ręki należy i jak zmęczona jest ta ręka. Ludzkie czasy przytrzymania się rozrzucają. Wstrzykiwane naciśnięcia generuje się ze stałej i rozrzut spada niemal do zera.
Co pilnuje uczciwości
Reguła potrzebuje w oknie dość naciśnięć, zanim w ogóle zostanie policzona. Wejście z czterech znaków nie jest próbką i jako próbka nie jest oceniane.
Kliknięcia, które się teleportują
Co mierzymy
Kliknięcie ląduje na kontrolce, do której kursor nigdy nie dojechał — wskaźnik po prostu pojawia się we współrzędnych i strzela.
Dlaczego ręka tak nie potrafi
Człowiek podchodzi do celu: tor zakrzywia się do środka, prędkość spada pod koniec, a przed naciśnięciem zwykle jest moment najechania. Automat ustawia współrzędne i wysyła zdarzenie; podejścia nie ma, bo fizycznie nic się nie poruszyło.
Co pilnuje uczciwości
Pojedyncze teleportujące kliknięcie to wiarygodny artefakt nawigacji klawiaturą albo gładzikiem. Liczy się dopiero wtedy, gdy stanowi większość kliknięć w sesji, która miała ich dość, by cokolwiek oceniać.
Pisanie w ukrytej karcie
Co mierzymy
Naciśnięcia klawiszy przychodzą dalej, choć strona jest w tle i nigdy nie została wysunięta na wierzch.
Dlaczego ręka tak nie potrafi
Człowiek nie potrafi pisać w stronę, na którą nie patrzy. Oprogramowanie farmowe prowadzi dziesiątki kart równolegle i nie zawraca sobie głowy aktywowaniem każdej, zanim zacznie wypełniać formularze.
Co pilnuje uczciwości
Jedno zdarzenie w chwili przełączenia karty to wyścig zdarzeń przeglądarki, a nie dowód. Liczy się przy powtarzającym się wejściu, gdy strona wciąż ani razu nie była widoczna.
Prywatność
Mierzymy rytm. Tekstu nie potrafimy odtworzyć.
Zbieranie danych behawioralnych działa wszędzie na stronie, także w polach hasła, e-maila i numeru karty. To celowa decyzja i zasługuje na pełne wyjaśnienie, a nie na zakopanie w dokumencie polityki.
Dlaczego liczą się właśnie pola wrażliwe
Ataki typu credential stuffing, testowanie kart i przejęcia kont dzieją się dokładnie wewnątrz tych pól. Detektor, który się tam sam wyłącza, jest ślepy w jedynym miejscu, w którym atak naprawdę żyje. Tak właśnie było wcześniej: zbieranie w polach wrażliwych wyłączano hurtem, więc najbardziej ryzykowne sekundy wizyty nie dawały żadnych pomiarów.
Co zostaje zachowane
Czasy. Kiedy klawisz zszedł w dół, jak długo tam pozostał, ile minęło do następnego, czy dwa naciśnięcia się nałożyły. To wystarcza, by odróżnić rękę od generatora, i o nic więcej detektor nigdy nie prosił.
Co nie zostaje zachowane
To, który był to klawisz. Wewnątrz pól wrażliwych tożsamość każdego naciśnięcia zastępujemy zgrubnym surogatem już w przeglądarce, zanim cokolwiek opuści stronę — jednym z niewielkiej garstki kubełków, a nie znakiem. Drogi powrotnej nie ma. Strumień, który dociera do naszych serwerów, nie zawiera tekstu, jego fragmentów ani niczego, z czego dałoby się tekst złożyć.
Konsekwencja, z którą trzeba było sobie poradzić
Skoro tożsamość klawiszy w tych polach naprawdę znika, każda reguła zależna od odróżniania klawiszy musi wyłączyć te naciśnięcia z własnego licznika — inaczej zwykłe hasło wyglądałoby jak jeden klawisz bity w kółko, a my oznaczalibyśmy ludzi za to, że piszą poprawnie. Reguł opartych na czasach to nie dotyczy i działają dalej na całym strumieniu.
Wyłączenie zbierania nigdy nie chroniło treści
Znaków nie zbierano w żadnym z tych projektów. Dawne hurtowe wyłączenie usuwało wyłącznie dowody — oślepiało detektor, nie dając nikomu więcej prywatności. Podejście z surogatami utrzymuje dokładnie tę samą gwarancję co do twojego tekstu i oddaje detektorowi jego pomiary. Mocniejsze wykrywanie i lepsza prywatność wyszły z jednej decyzji, co zdarza się na tyle rzadko, że warto powiedzieć to wprost.
Jak wdrażamy reguły
Nowa reguła działa na ślepo, zanim wolno jej dotknąć werdyktu
Wykrywanie psuje się w chwili, gdy zaczyna być sprytne bez dowodów. Każda reguła behawioralna trafia najpierw do cienia: liczy się na żywym ruchu produkcyjnym i jej wynik jest zapisywany, ale do oceny, którą ktokolwiek widzi, nie wnosi nic.
Wdrożona w cieniu
Reguła liczy się na prawdziwym ruchu od pierwszego dnia. Jej wynik idzie wyłącznie do analityki — niczyj werdykt nie drgnie dlatego, że doszła reguła.
Zmierzona na obu populacjach
Patrzymy, jak często odpala na sesjach niezależnie uznanych za ludzkie i na sesjach niezależnie uznanych za zautomatyzowane, na tyle dużym żywym ruchu, żeby to coś znaczyło.
Decydują dwa progi
Musi rozdzielać co najmniej dziesięć do jednego — odpalać na automatach co najmniej dziesięć razy częściej niż na ludziach — i musi utrzymać się poniżej 0,5% odpaleń na żywych sesjach ludzi.
Awansowana albo zostawiona w ciemności
Reguła, która przejdzie obie bramki, dostaje wagę w ocenie. Reguła, która nie przejdzie, zostaje w cieniu albo znika. Awans to świadoma, przejrzana zmiana — nic nie włącza się automatycznie.
Właśnie to chroni cię przed detektorem, który w nocy zmądrzał i zaczął odsyłać twoich własnych klientów. Twój odsetek fałszywych alarmów nie drgnie dlatego, że komuś w piątek po południu przyszedł pomysł do głowy.
Co otrzymujesz
Trzy pola dostarczane razem ze zdarzeniem identyfikacji
Werdykt behawioralny przychodzi obok reszty zdarzenia — bez drugiego wywołania, bez odpytywania, bez osobnego endpointu do zintegrowania.
Wycinek zdarzenia
{
"visitorId": "X7fh2Hg9LkMn3pQr",
"behavior": {
"score": 87.4,
"verdict": "human",
"confidence": 0.82
}
}Dostępne w planie Business i wyższych. Dostarczane w webhookach i dostępne przez Data API.
Blok behawioralny to sygnał, a nie akcja. Sam z siebie niczego nie blokuje — łączysz go z resztą zdarzenia i z własną polityką, i tam właśnie należy decyzja.
Granice
Czego zachowanie ci nie powie
Zachowanie dobrze odpowiada na jedno pytanie: człowiek czy program. Na pytanie „który człowiek” nie odpowiada i nie sprzedajemy go tak, jakby odpowiadało.
To nie jest sygnał tożsamości
Nie twierdzimy, że rozpoznajemy powracającą osobę po sposobie pisania czy po myszy. Zmierzyliśmy to na żywym ruchu: dopasowanie konkretnej osoby między dwiema przeglądarkami, z których sama korzysta, wypadło nie lepiej niż przypadek. Każdego dostawcę sprzedającego „biometrię behawioralną, która identyfikuje użytkownika” warto poprosić o opublikowanie dokładnie tej samej liczby.
Nie zastępuje identyfikacji
Kim jest urządzenie, mówi warstwa urządzenia i przeglądarki. Zachowanie mówi, jakiego rodzaju aktor tym urządzeniem kieruje. Odpowiadają na różne pytania i jedno nie zastępuje drugiego.
Do działania potrzebuje wejścia
Odwiedzający, który ląduje i znika w dwie sekundy, nie wytwarza prawie niczego do oceny. Uczciwym wynikiem jest tam „uncertain” z niską pewnością — a nie zgadywanka przebrana za werdykt.
Najczęściej zadawane pytania
Zobacz werdykt behawioralny na własnym ruchu
Zainstaluj agenta, patrz, jak ocena przychodzi z każdym zdarzeniem identyfikacji, i sam zdecyduj, ile jest warta.