¿Cómo puede el Bank of America saber que estoy iniciando sesión en una computadora que no he usado antes?

Estoy dispuesto a apostar a que en realidad no identifican la computadora, solo te envían una cookie persistente una vez que has iniciado sesión correctamente, y siempre que tu navegador devuelva esa cookie, sabrán que se ha utilizado anteriormente. máquina.

Debería poder probar esto con bastante facilidad utilizando algo como la barra de herramientas para desarrolladores web de Firefox, que le permitirá a ambos examinar todas las cookies que está enviando a un dominio específico y le permitirá eliminar las cookies de un dominio específico. . Si elimina las cookies para el sitio web de Bank of America y luego intenta iniciar sesión nuevamente, debe volver a obtener el flujo de trabajo "Está utilizando una nueva computadora" si, de hecho, están utilizando una cookie para determinar qué flujo de trabajo debe presentarle.

Además de las cookies, existen varios métodos que podrían utilizar para reconocer su máquina.

• Objetos compartidos localmente (cookies de Flash)
• Almacenamiento web (también conocido como almacenamiento local)
• Otros mecanismos de almacenamiento
• Huellas digitales del navegador (mucho menos probable)

Además, los mecanismos de almacenamiento se pueden combinar (como aparece en Bank of America hace, o al menos lo hizo en un punto .) El ejemplo final de esto, hasta ahora, es un proyecto conocido como evercookie cuyo objetivo es hacer que el seguimiento del navegador sea lo más difícil de derrotar posible.

Los bancos como BoA usan un motor de decisión basado en el riesgo que examina varias variables, entre las que se incluyen:

• Su dirección IP visible
• La "firma" de su brower, que incluye el encabezado de agente de usuario y las propiedades de visualización detectables, como la resolución de pantalla
• La presencia de una cookie persistente
• La presencia de datos en otro almacén persistente, como un token de billetera de Flash

El motor de riesgo usa los datos anteriores y se compara con varias reglas de riesgo que están configuradas por el banco. Las reglas incluyen geolocalización de IP y listas negras, problemas conocidos de seguridad del navegador y exposición a riesgos específicos de su perfil (por ejemplo, si usted es un cliente de gran riqueza). El motor de riesgo calcula una puntuación y decide si le solicita un segundo factor de autenticación, que a veces puede ser una contraseña única o una pregunta de KBA (autenticación basada en el conocimiento) (por ejemplo, el nombre de su primera mascota).

Algunos bancos realizarán esta comprobación solo cuando inicie sesión. Otros bancos realizan una verificación de riesgo sensible al contetexto con cada transacción, por ejemplo. Si transfiere un millón de dólares a una cuenta externa, tiene un riesgo mayor que transferir $ 10 a su cuenta de préstamo.