Entry № 242
持续认证
持续认证 是什么?
持续认证一种在整个会话期间持续利用行为与设备信号验证用户身份的认证方式,而非仅在登录时进行一次性认证。
持续认证将身份保证视为持续过程。初次登录后,系统不断评估击键节奏、鼠标轨迹、触控压力、步态、设备状态、网络变化、地理漂移等信号,并更新信任分数。一旦下降,会话会被降级(只读、要求 step-up)或终止。该模型是 NIST SP 800-207 等零信任参考架构的核心,也支撑 Gartner 提出的 CARTA(持续自适应风险与信任评估)。BehavioSec、IBM Trusteer、BioCatch、Microsoft 条件访问等供应商提供持续评估能力,其中包括 OpenID 持续访问评估配置文件(CAEP),可在身份状态变化时近实时撤销 OIDC 会话。
● 示例
- 01
银行 App 在击键节奏偏离学习到的基线时锁定会话。
- 02
Microsoft Entra 持续访问评估在管理员禁用账户后数秒内撤销访问令牌。
● 常见问题
持续认证 是什么?
一种在整个会话期间持续利用行为与设备信号验证用户身份的认证方式,而非仅在登录时进行一次性认证。 它属于网络安全的 身份与访问 分类。
持续认证 是什么意思?
一种在整个会话期间持续利用行为与设备信号验证用户身份的认证方式,而非仅在登录时进行一次性认证。
如何防御 持续认证?
针对 持续认证 的防御通常结合技术控制与运营实践,详见上方完整定义。
持续认证 还有哪些其他名称?
常见的别称包括: 持续身份验证, 会话期内认证。