如何验证某人是他们所说的在线人?

信息安全 验证 身份 鉴别
2021-09-04 18:19:25

我正在开发一个在线工作申请网络应用程序,并且出现了一个问题,即我们将如何验证提交申请的人是他们所说的人。

例如,我们不希望 Jon Smith 为 Abe Miessler 提交申请。

我们谈到让人们在我们的网站上创建个人资料以提交申请,但实际上这只需要他们有一个电子邮件地址。

当我过去看到这样做时,验证的组织已经知道你了。例如,要在您的银行创建一个在线账户,您可能需要知道您的 SSN、邮寄地址和帐号。然后,银行可以将您输入的内容与他们记录中的内容进行比较,以查看您是否是您所说的人(在完美的世界中)。

在我的情况下,我对谁在申请一无所知,所以没有什么可以验证的。

是否有任何标准方法可以确定某人是他们所说的人?

4个回答

身份是一个具有延展性的概念,当你仔细观察它时,它会出现令人讨厌的变形趋势。我从您的描述中了解到,您希望能够将随机网络用户的一些操作(即“申请工作”)追溯到实际个人,以这种方式,如果工作申请是假的在某种程度上,你有足够的筹码来适当地惩罚肇事者。或者,更准确地说,您需要先验地说服用户您能够追踪他们,并且至少在比喻上,打破他们的膝盖骨。

无论您采用何种方式解决问题,部分问题都存在于“物理世界”(计算机之外),因此它既困难又昂贵。

完整的理论解决方案是让一些侦探进行跟踪,这对于法律的长臂来说是可行的,但通常不适用于私人企业实体,因为基本的“网络用户”仅通过传入的 IP 地址来识别,并将其链接起来要获得物理身份,您必须查看 ISP 日志文件——这需要授权或不雅同伙。据说这不包括来自国外的连接问题(一旦你知道连接来自中国,那么......你做什么,究竟是什么?)。

因此,由于真正的侦探工作的不切实际和成本,您将不得不依靠现有的基础设施来提供您所需的身份验证。我首先想到的是银行。它是这样的:让求职者用他们的信用卡(或通过 Paypal 或任何其他类似的银行系统)向你支付一分钟的费用(比如 0.01 美元)。这有几个好处:

  • 支付操作在很多地方留下痕迹。
  • 由于交易是隐含的,这可能有助于将虚假工作申请合法地定性为“欺诈”(问问你的律师,他们会告诉你这非常好,他们眼中闪烁着光芒,还有一点泡沫)。
  • 信用卡号码经常被盗,但您可以为此购买保险。

最后但并非最不重要:

  • 人们(一般)已经知道“你不要惹银行”。这使得检测系统具有主动性(您希望对人员进行身份验证,但更重要的是,您真的希望他们一开始就不要试图撒谎)。

概念说明:正如您所说,您“对谁在申请一无所知”。这是根本问题:如果没有什么可识别的,您如何定义正确的身份概念(准确地说,您确实了解申请人的一些信息:他们的 IP 地址;但这并不多)。因此,解决方案的途径是:让申请人提交一些关于他们的信息。这就是上面解释的银行解决方案的意义所在。

您可以搭载其他人的身份验证。

例如,为了背负银行验证程序,您可以要求用户提供包含其姓名和账单地址的信用卡号,然后以当地货币将随机选择的一小笔金额记入该信用卡,并要求他们告诉您有多少被记为他们可以访问该帐户的证据。

对于那种类型的网站,实际上是一个有趣的问题。我正在审查一个类似的申请,其中可以选择在线提交简历 - 包括参考资料。必须创建一个配置文件才能注册该站点 - 但由于所有这些都需要一个电子邮件地址,因此围绕它的控制非常有限。有人指出,恶意的人“A”可以提交人 B 的简历,并附上指向其当前雇主的参考资料。然后,当 B 被联系以寻求参考时,这将使 B 与他们当前的雇主陷入困境。不确定是否有一个好的答案,因为它是关于一般在线身份的更广泛问题的一部分,我怀疑随着时间的推移将变得越来越重要。例如 - 如果其他人试图为我创建地址并将其用于可疑目的,我是否需要向所有可能的提供商注册我的电子邮件地址并更改我的姓名,以保护自己免受名誉损害?如果我实际上是 John.Smith@hotmail.com - 什么会阻止其他人注册 John.Smith@gmail.com 并伪装成我?如果有人以我的名义创建 Facebook 个人资料并开始在上面放置与我无关的内容,那么社交网络又如何呢?com并伪装成我?如果有人以我的名义创建 Facebook 个人资料并开始在上面放置与我无关的内容,那么社交网络又如何呢?com并伪装成我?如果有人以我的名义创建 Facebook 个人资料并开始在上面放置与我无关的内容,那么社交网络又如何呢?

您可以根据用户的电话号码验证用户。电话是最常用的身份验证设备之一。TeleSign 提供一系列基于电话的识别和认证产品。你为什么不浏览他们的网站来熟悉他们的一些产品呢?他们甚至在他们的网站上有演示,您可以查看!