Behavioral Biometrics: как поведение мыши, клавиатуры и тача связывают в один профиль

Behavioral Biometrics: как поведение мыши, клавиатуры и тача связывают в один профиль

Поведенческий анализ редко работает как одиночный сигнал. Его энтропия возникает не из факта «кликнул/не кликнул», а из микроструктуры: скорость набора, паузы между символами, траектория указателя, дрожание тача, паттерн скролла. Под капотом это не «магия ML», а набор временных рядов, которые сравнивают с эталоном и с текущей сессией.

Детект строится на устойчивых признаках, которые сложно подделать без внесения артефактов:
— inter-key delay и dwell time на клавиатуре;
— curvature и acceleration у мышиных траекторий;
— velocity profile при drag-and-drop;
— micro-pauses перед submit и сменой поля.
Разброс по этим параметрам часто важнее абсолютных значений: система ищет согласованность поведения внутри одной сессии.

Проблема в том, что спуфинг через инъекцию JS-кода помогает только на уровне событий, но не на уровне физики движения. Если скрипт генерирует слишком «ровные» интервалы, то профиль становится синтетическим: пропадает шум, ломается корреляция между скоростью и поворотами, а тайминги начинают выглядеть как дискретный генератор, а не человек.

Практический чек-лист для оценки риска: сравнивайте не один экран, а цепочку действий; проверяйте, есть ли связка input timing + pointer telemetry + focus/blur; смотрите, не противоречат ли данные друг другу. Если поведение идеально гладкое, это не плюс, а аномалия. Разберем энтропию данного параметра на уровне трассировки — и увидим, что именно несостыковка мелких движений чаще всего и выдает сессию.