[!info] related notes

• 所属 MOC: 安全 MOC
• Online Attacks: Brute Force、Password Spraying 与 Credential Stuffing
• Throttling: Authentication Throttling & Account Lockout
• Trusted Device: Trusted Device & Remember MFA
• Reauthentication: Authentication Assurance & Reauthentication Freshness
• Security Events: Authentication Security Events & Login History

Suspicious Login & Risk-Based Authentication

一句话关系

Risk-Based Authentication（RBA）不是另一种 authenticator。

它是：

authentication attempt

• contextual signals → risk decision → choose required control

典型输出：

• allow；
• allow but monitor；
• require MFA / WebAuthn；
• require reauthentication；
• delay / CAPTCHA；
• deny；
• trigger account protection。

Signal ≠ Proof

常见 risk signal：

• new device/browser；
• IP reputation；
• ASN / proxy / Tor；
• coarse geolocation；
• impossible travel；
• unusual time；
• many accounts touched；
• many sources touching one account；
• credential-stuffing pattern；
• known breached password；
• device fingerprint；
• prior trusted-device history。

这些都不是单独的身份凭证。

例如：

same IP ≠ same user

same fingerprint ≠ same physical device

new IP ≠ attacker

New Device

“New Device” 本身通常是：

no matching prior client/session/trust context

而不是：

cryptographically proven new hardware

浏览器升级、清 Cookie、换 Profile、隐私模式都可能产生“新设备”。

所以新设备更适合：

risk score increase → maybe step-up

而不是：

new device → hard deny

Impossible Travel

如果用户：

09:00 Tokyo 09:20 London

可能是：

• VPN；
• proxy；
• mobile carrier；
• IP geolocation error；
• shared corporate egress；
• actual account compromise。

因此 impossible travel 是 investigation/step-up signal，不应机械等同攻击事实。

Velocity / Graph Signals

真正有效的风控往往是关系特征：

one source → many accounts

one account → many sources

one device → multiple unrelated accounts

valid password → repeated MFA failure

new device → immediately changes email/MFA

这些通常比单个 IP 黑名单更有解释力。

Decision Policy

一个简化状态机：

low risk → normal authentication

medium risk → additional MFA / WebAuthn → reduced trust → notification

high risk → deny or restricted recovery → revoke suspicious session → alert user/security team

具体阈值必须可配置、可审计。

Step-Up 而不是直接封禁

风险信号有误报。

因此很多场景更适合：

risk elevated → ask for stronger proof

而不是：

risk elevated → permanent lock

这能降低：

• false positive；
• travel/VPN friction；
• attacker-triggered DoS。

Known Device / Trusted Device

历史设备可以降低风险分数，但：

trusted device ≠ authentication factor by itself

如果 trusted-device token 被复制，攻击者也可能继承低风险路径。

所以仍需要：

• revocable trust credential；
• expiry；
• anomaly detection；
• high-risk operation reauth。

详见 Trusted Device & Remember MFA。

Risk 与 Reauthentication

风险事件可以让当前 Session：

assurance downgraded

然后：

ordinary read → continue

sensitive action → require recent strong reauthentication

详见 Authentication Assurance & Reauthentication Freshness。

Notification

高价值 suspicious-login event 可以通知用户：

• new login；
• rough time/device/location；
• action if not recognized；
• revoke sessions / secure account link。

不要在通知里暴露：

• internal risk score；
• detection rule；
• secret/token。

Privacy

RBA 很容易扩张成过度追踪。

Device fingerprint、location、behavioral biometrics 都可能带来隐私和合规成本。

需要：

• data minimization；
• purpose limitation；
• retention；
• access control；
• transparency where appropriate。

Adversarial Adaptation

攻击者会适应规则：

IP block → residential proxy

UA check → real browser

fixed threshold → low-and-slow

所以风控系统应：

• 多维信号；
• 可更新规则；
• monitoring；
• feedback loop；
• 不把单一 heuristic 当安全边界。

学习检查

1. Risk-Based Authentication 为什么不是新的认证因素？
2. same IP / same fingerprint 为什么不能证明 same user/device？
3. new device 为什么更适合 step-up，而不是默认 hard deny？
4. impossible travel 有哪些常见 false positive 来源？
5. velocity / graph signal 为什么比单一 IP 更有价值？
6. suspicious event 怎样让 Session assurance 降级？
7. Trusted Device 与 risk scoring 应怎样配合？
8. 设计一个 medium-risk login 的 allow/step-up/notification 流程。