捡到一个装有3.8万元现金的包，怎样让失主找到自己，又不必把完整手机号公之于众？
10月19日，湖北襄阳一名男子在楼下捡到一个包，里面除了现金，还有身份证、银行卡和车钥匙。他在电梯里贴出失物招领，留下的手机号码却少了最后四位。他提示失主从身份证号码中找到对应数字，补全号码后再联系自己。
这份像一道小题目的启事很快引起关注。网友感叹：“人怎么能聪明到这种程度！”这道题究竟巧妙在哪里？
一道简单的题目，为什么设计得巧妙？
通常的失物招领会直接留下电话号码，但这样一来，任何看见启事的人都能拨打，拾得者可能接到不少无关电话。完全不留号码，又会让真正的失主难以联系。
这名男子利用了手头已有的两组信息。
招领启事照片显示，他将手机号尾号的四个数字，分别对应到失主身份证号码的第1、9、11、12位。手机号码与身份证号码本无联系，经过这样的选取，两组数字便有了对应关系。掌握相应身份证信息的人，可以更方便地补全电话号码。
他不需要安装软件，也不用让失主提前设置密码。号码的大部分数字可以公开，剩下四位由失主按提示补全。别人眼里被遮住的四位数字，对掌握相应身份证号码的人却是一道不难完成的小题。
更有意思的是，筛选发生在拨电话之前。
联系者要先按提示找出数字，拾得者不必接起电话后才逐一询问线索。相比把号码全部写出来，这种做法减少了联系方式的直接暴露，也为来电者增加了一道筛选门槛。
支付产品中也常见类似的信息展示思路。
比如，银行App显示已绑定银行卡时，往往只展示部分卡号，让用户认得是哪张卡，同时减少完整卡号在页面上的暴露。区别在于，银行页面通常只是让人识别一张卡，这份启事还要让特定的人把信息补出来，完成联系。
它把信息展示和取得联系方式的条件放到了一起。
不过，掌握身份证信息的人未必就是失主，拼出号码也不等于已经证明财物归属。这道题最适合解决的是“怎样建立联系”，交还装有现金的包还需要核对身份和物品细节。
在条件有限的情况下，他用几行字把联系失主和初步筛选两件事结合了起来。
支付安全为什么也需要这样的设计思维？
同样使用银行卡在线购物，有时支付过程很顺畅，有时却要输入验证码，或到银行App确认。区别往往在于交易风险以及发卡机构采用的认证要求。
EMVCo制定的EMV 3-D Secure协议支持发卡机构结合交易和设备等信息评估风险。符合条件时，可以通过无感流程完成持卡人认证，相关认证交互在后台进行，用户无须额外操作。
需要进一步核实时，则可能进入挑战流程，让持卡人完成验证码或银行App确认。
无感不意味着没有认证，只是少了一次用户可感知的操作。这里完成的是持卡人认证，交易本身还涉及后续支付处理与授权。
类似的风险分级思路，也体现在我国《条码支付业务规范（试行）》中。规范按风险防范能力设置不同交易限额，并将验证要素分为知识、持有和生物特征等类别，要求不同要素相互独立。
通俗地说，支付密码属于知道什么，符合要求的安全凭证属于持有什么，指纹则属于自身具有什么特征。
例如，连续询问身份证前四位、出生日期和身份证后四位，看起来有三道关卡，答案却都来自个人身份资料。一份信息泄露，就可能让几道问题同时失效。
验证问题多，不等于认证能力强。
那么，怎样更可靠地核实一个人是否控制着与账户绑定的认证凭证？公钥和私钥提供了一种重要的技术办法。
以Passkey（通行密钥）为例，认证器创建一对密码学密钥。服务方保存公钥，私钥由认证器保护。登录时，认证器使用私钥对服务方发来的挑战等数据签名，服务方用公钥验签。
服务方不必拿到私钥，就能验证对应私钥参与了认证。
用户还可以通过指纹、人脸或设备PIN，在本地解锁认证器。至于凭证与谁的账户绑定，则在注册等环节建立关联。
身份证数字属于可能被他人获知的身份资料，受保护的私钥则用于证明认证凭证的控制权。支付机构需按交易风险选择认证措施。确认凭证控制权之后，具体交易仍须获得有效授权。
回到这张失物招领。
拾得者需要让失主联系上自己，于是巧妙地利用了已有信息。金融支付涉及账户与资金，需要更可靠的技术来应对风险。
真正值得借鉴的，是先看清要解决什么问题，再找到既能防范风险、又不会难住正常使用者的办法。
这里是支付学院，关注支付，也关注每一次支付产品微小的进化。
来源丨支付之家·支付学院 (观点仅供参考)
未经允许，严禁转载。发布者：支付学院 转载或引用请注明出处：https://www.zfzj.cn/15985.html
