詐欺を阻止するために、セキュリティ チームとアナリストは、アカウント乗っ取り (ATO) や新規アカウント詐欺を示す既知の悪意のあるデバイスや異常を検出するための強力なリスクおよび信頼のシグナルであるデバイス フィンガープリンティングなど、あらゆるツールを使用する必要があります。しかし、デバイス フィンガープリントはターゲット広告、パーソナライゼーション、マーケティング、ユーザー追跡にも一般的に使用されているため、デバイス フィンガープリントに対する懸念を表明するエンド ユーザーが増えており、その結果、新しい規制、フィンガープリントを禁止するように設計されたブラウザーの変更、ユーザーのプライバシーを強化するためのシークレット ブラウジング オプションが導入されています。では、企業はどのようにしてデバイス フィンガープリンティングを活用してユーザーを保護しながら、ユーザーのプライバシーを保護し、規制を遵守できるのでしょうか?このブログでは、デバイス フィンガープリンティングとは何か、どのように機能するか、デバイス フィンガープリンティングのサイバーセキュリティにおける使用例、ユーザーのプライバシーに関する懸念がデバイス フィンガープリンティングにどのような影響を与えるか、そして Transmit Security Platform でデバイス フィンガープリンティングがどのように機能するかについて説明します。
デバイスフィンガープリンティングとは何ですか? また、どのように機能しますか?
デバイス フィンガープリントまたはマシン フィンガープリントは、ソフトウェアとハードウェアに関する収集された情報に基づいてリモート コンピューティング デバイスを識別するために使用される計算された識別子です。堅牢な指紋は、次のようなデータ ポイントを含む幅広いテレメトリに基づいています。
- ハードウェア、 画面のプロパティ、グラフィックカード、RAMなど
- グラフィック、 サポートされているビデオコーデックとキャンバスのプロパティを含む
- オーディオ プロパティとコーデック
- 環境要因 OS、接続性、ストレージなど
デバイスフィンガープリンティングによる不正検出のユースケース
不正検出に関して、デバイス フィンガープリントの主な使用例は次のとおりです。
- 信頼できるデバイス: デバイス フィンガープリントは、ユーザーの履歴プロファイル内の関連付けられた信頼できるデバイスと照合することにより、以前に認識された信頼できるデバイス (固有性) を識別します。信頼できるデバイスを使用すると、セッションを延長したり、追加の認証要素を提供してユーザーをサイレントに認証したりすることで、多要素認証でのコンテキスト切り替えの必要性を減らし、摩擦を減らして UX を向上させることができます。
- セッションと Cookie のハイジャック: 指紋不一致検出はリスク エンジンに送られる信号であり、リスク エンジンはセッションおよび Cookie ハイジャック攻撃を検出し、それに応じてリスク レベルを調整することができます。デバイスのフィンガープリントがユーザーのセッションに関連付けられたフィンガープリントと一致するかどうかを確認することで、セキュリティ チームと詐欺対策チームはセッション全体を通じてデバイスの信頼性を確認できます。
- デバイスの評判: 世界的な脅威インテリジェンスと、Transmit Security の Research Labs などの社内チームは、以前に確認された不正行為に関連付けられたデバイス フィンガープリントのリストを保持しており、既知の悪意のあるデバイスや侵害されたデバイスを検出できます。トランスミットセキュリティの 検出および対応サービス リスク管理者は、デバイス フィンガープリントの許可、チャレンジ、拒否リストを管理できるため、この点に関して制御力が強化されます。
- デバイスの動作率と速度: 複数の時間ウィンドウにわたって単一の指紋からアクティビティ率を測定することにより、単一の指紋からの高速または高速度のアクションやアクション率の異常を貴重なリスク指標として使用できます。Transmit セキュリティ プラットフォームでは、検出および対応サービスがユーザーのアクションを監視し、それらをデバイスのフィンガープリントとリアルタイムで関連付けます。
これらのユースケースでは、デバイス フィンガープリントは、エンド ユーザーの ID データやアカウントを危険にさらす可能性のある悪意のあるアクティビティからエンド ユーザーを保護するだけでなく、やり取りする企業に対する信頼を損なうのではなく構築する、よりスムーズなユーザー エクスペリエンスを実現します。しかし、この信頼を獲得し維持するために、企業はユーザーのプライバシーとそれを保護するための規制を尊重しながら、フィンガープリンティングを責任を持って実装する必要があります。
デバイスのフィンガープリンティングとプライバシーの懸念
デバイス フィンガープリンティングにより、エンド ユーザーにとってセキュリティとユーザー エクスペリエンスの大きなメリットがもたらされますが、デバイス フィンガープリンティングが規制要件とユーザーのプライバシーの両方にどのような影響を与えるかを企業が考慮することが重要です。2018 年に EU の GDPR が可決されて以来、世界中の政府は、エンドユーザーが自分のデータの使用方法をより細かく制御できるように、企業がユーザーデータを収集および処理する方法に対する規制を強化してきました。GDPR は EU 企業だけでなく、EU 市民のデータを処理する世界中の企業に適用されます。米国にはユーザーのプライバシーを保護する同等の全国的な法律はないが、カリフォルニア州の CCPA などの州全体の規則はカリフォルニア州民のデータ処理を保護しており、多くの企業に対して、データを収集する前にユーザーから明示的な同意を得ることや、サイバーセキュリティや詐欺検出などの特定のユースケースにデータ収集を制限することを義務付けている。GDPR と CCPA の両方における「個人データの処理」の広範な定義に基づき、企業はデバイス フィンガープリンティングの使用に影響を与える可能性のある手順を実行することが求められる場合があります。
- 収集した情報はユーザーの個人データを保護するためにのみ使用します
- マーケティングやプロモーションの目的で情報を収集する前に、ユーザーから明確な同意を得て、情報がどのように使用されるかを説明します。
- 収集された個人データが、GDPRおよびその他の関連法で規定されている現地のデータ居住要件に準拠していることを確認する
デバイスフィンガープリンティングとクッキー
GDPR と CCPA は、デバイス フィンガープリンティングの使用について法律で明示的に言及していませんが、ユーザーがアプリケーションや Web サイトとどのようにやり取りしているかに関するデータを収集するためにユーザー セッションに添付される Cookie の使用に関する明確なガイドラインを提供しています。セッション クッキーはユーザーのブラウザに関する情報も収集するため、デバイス フィンガープリンティングと一部重複しますが、いくつかの点で異なります。
- フィンガープリントはクッキーよりも強力です。ユーザーはブラウザの履歴を消去することでクッキーを削除したり、シークレットブラウザや DuckDuckGo などの検索エンジンを使用してクッキーを回避したりできます。
- クッキーはユーザーのブラウザ上のデータのみを使用しますが、フィンガープリントはデバイスのハードウェア、OS、接続に関する情報など、追加のデバイス識別子を活用します。
- クッキーはブラウザデータをユーザーのマシンにローカルに保存しますが、デバイス フィンガープリントはサーバー側のデータベースに保存されます。
さらに、ユーザーのプライバシー制限の強化と消費者データのプライバシーに対する需要の高まりにより、一部のブラウザプロバイダーやデバイスメーカーは、サードパーティの Cookie の使用や、デバイスのフィンガープリンティングを実行する主なインターフェイスである JavaScript エンジンによって返される情報の制限を始めています。これらの変更により、多くのデバイス フィンガープリント プロバイダーが堅牢なフィンガープリントを作成するのが難しくなります。これについては、シリーズの次のブログでさらに詳しく説明します。
Transmit Securityがデバイスの指紋を使用する方法
Transmit Securityの検出および対応サービスは、強力なデバイスフィンガープリントと 真の合格率は 97%、真の不合格率は 99.7% です。この能力は、 以下に示すように、行動バイオメトリクス、ユーザーアクティビティ、脅威インテリジェンス、ボット検出などの追加の検出方法があります。
さらに、当社のプラットフォームはGDPRに完全に準拠しており、世界中の企業が現地のデータ居住制限を遵守できるようにしています。 ノーコードとローコードのオーケストレーション 機能により、企業は特定のビジネスニーズに応じてルールを迅速に実装または変更できるようになり、ユーザーの個人データの保存方法と処理方法をより細かく制御できるようになります。その結果、企業は規制上のニーズやエンドユーザーのプライバシーの懸念を損なうことなく、不正行為の検出にデバイスのフィンガープリントを活用できるようになります。このシリーズの次のブログでは、詐欺検出プロバイダーが堅牢なフィンガープリントを開発する際に直面するいくつかの課題、詐欺師がデバイス フィンガープリントを回避するために使用する手法、デバイス フィンガープリントを他の検出方法と組み合わせてこれらの新たな脅威に対する保護を強化する方法について説明します。デバイスフィンガープリンティングの詳細については、引き続きご注目ください。また、ソリューション概要もご覧ください。 デバイスフィンガープリンティングの仕組み Transmit Security Platform で。
