糟糕的UX設計也是一種安全威脅
責編：gltian ｜2020-05-06 16:03:41作者：Zeon
當我們談論“安全設計”（Security by Design）的時候，我們通常指的是“頂層設計”、“架構設計”和“流程設計”等高大上的問題，當然，這對于從根本上提升企業的安全能力至關重要。但我們今天要談論的一種“安全設計”，僅與“膚淺”的用戶交互界面有關，通俗地講，是UX設計，是的，APP和網頁“醉人”，也是一種罪，或者說，容易讓人“犯錯”。
根據《用戶界面工程》作者Jared Spool的說法；“（用戶界面）如果不可用，那就不安全?！?也就是說，如果您在網站和應用程序上設置了安全保護措施，但對用戶并不直觀（例如用戶需要記憶隨機生成的密碼），就是形同虛設，將極大拉低產品的安全底線。
我們已經看到智能手機從密碼（PIN碼）轉換為觸摸ID和面部識別，改善用戶體驗的同時也顯著提高了安全性。UX與安全性貌似已經走上了琴瑟和諧的健康道路。但是，對于新冠疫情期間的iPhoneX用戶來說，佩戴口罩時解鎖手機成為一件痛苦的事情，你需要反復嘗試才會彈出密碼窗口（蘋果最近更新固件解決了密碼窗口彈出困難的問題），這導致很多用戶焦躁之余選擇設置安全性較差的密碼（萬幸蘋果已經開始通過界面交互提醒用戶避開類似000000這樣的無效密碼）。這個生動的案例告訴我們UX設計完全可以左右用戶的密碼強度，而當環境發生變化時，這種影響力會發生正負轉換。
但，更重要的是，出色的UX設計更加不容易被釣魚攻擊所利用。原理很簡單，如果你日常約會的是迪麗熱巴，那么就比較容易辨認出冒出迪麗熱巴的微整版鳳姐。
舉一個搞笑的例子，筆者曾幫一位腿腳不便的朋友翻墻登錄馬里蘭州政府網站更新簽證信息，驚詫地發現這個網站居然沒有啟用https，處于明文裸奔的狀態，筆者的第一反應是“會不會是個釣魚網站？”。而更加諷刺的是，根據PhishLabs的統計，有六成的惡意網站和釣魚網站已經啟用了https（例如下面這個Paypal釣魚站點）。
下面我們從幾個方面來探討UX與安全性的關系，以及UX如何影響產品的安全性：
UX與安全性“脫臼”
安全性與品牌營銷有緊密關系嗎？目前看來不但有，而且可能會是決定性的。如果你是UX設計師或者產品經理，如果現在還沒有意識到這一點，那就離“前浪”不遠了。舉一個大家耳熟能詳的粒子，視頻會議應用Zoom的UX無疑是出色的，一改過去企業級應用的猙獰面孔，直觀簡潔易用，這為Zoom在血腥的視頻會議市場“木秀于林”加分不少。但是，在安全漏洞被熱炒后，Zoom顯然意識到了UX與安全脫節的問題，UX的交互邏輯隱匿或者“疏忽”了很多可能會影響隱私和安全性的“底層問題”（體驗優先的代價），當這些底層問題被安全專家們扒出來后，反而對品牌和產品造成了巨大的傷害。類似的還有福布斯雜志最近曝光小米瀏覽器的隱私違規問題，都告訴我們，拋開安全設計談“體驗優先”，獲取的用戶忠誠度就好比聚沙成塔，一陣風就能刮倒。
UX設計師和產品經理在追求無摩擦用戶體驗的時候，需要時刻保持清新，一流的UX，未必具備一流的安全性，舉一個最顯著的例子，蘋果Apple ID登錄網頁版更改密碼的時候會要求你輸入安全問題，但是“安全問題”在NIST最新的密碼框架中，被認為是糟糕的安全實踐，甚至還會侵犯用戶隱私。產品設計的標桿企業蘋果都無法避免此類問題，說明UX與安全性“脫臼”已經是業界一個相當普遍的問題。
糟糕的UX設計易于復制
什么樣的網站和APP更容易被釣魚網站的“五毛錢”特效冒充？全屏矢量自適應還是12306？答案是顯而易見的。
一個用戶交互體驗糟糕，樣式平庸和功能殘破的站點與釣魚網站的相似度往往更高。
網上誘騙或通過虛假消息獲取令人垂涎的數據的嘗試通常類似于那些看起來像是敢于拼湊而成的網站。
網絡詐騙、釣魚或者虛假消息站點更加樂于模仿界面粗糙毫無設計感的站點，擺脫怪圈的一個先決條件就是UX的設計應當喚起合法性和安全性。一個大型的2C站點或者產品缺乏足夠的UX識別度是一件非常危險的事情，而高質量的UX站點將同時為消費者和企業帶來更好的安全性。
高質量UX不僅僅是炫酷的設計，還包括很多細節問題，例如釣魚和詐騙網站往往會有很多明顯的拼寫錯誤。正確的語法、合理的按鈕位置（樣式）以及統一的字體字號對于提升信任感至關重要。
花時間檢查您的網站是否有拼寫和內容錯誤（不僅僅是合法性），總是值得的。
帶有品牌內容的響應式站點很難模仿
產品UX中的品牌元素就是你的“數字簽名”。
高質量UX往往能使用戶可以輕松識別廉價的模仿或惡意欺騙，例如響應式站點更難以被釣魚網站復制，山寨版本的手機端樣式往往會破綻百出。
在考慮用戶體驗的同時，除了響應式站點外，網站的品牌也同樣重要。
網站的用戶界面將直接反映該品牌。對于UX來說，情況也是如此，用戶應該能夠通過瀏覽站點來直觀了解你的品牌使命。
那些缺乏品牌印記的網站更容易被模仿，用戶也更容易被欺騙。在整個站點的界面和UX中不斷強化品牌元素，不但能夠提高用戶品牌認知度，還能將UX中的品牌元素變成一種視覺上的“數字簽名”，增強產品的安全性。
將安全前置是糟糕的設計?
很多網站和APP把冷冰冰的注冊和登錄密碼窗口推到最前端，用戶要么立刻上報/驗證密碼信息，要么滾蛋。有人認為這是最安全的策略，但事實是這反而會帶來不必要的風險。
這種安全“懶政”使用戶更容易遭受身份盜用。首先這種登錄窗口“首頁”更容易被仿制，例如本文開頭的paypal釣魚網站以及Facebook等登錄界面。
此外，想象一下，當您在網上商店瀏覽產品時，立即被要求提供憑據，圍觀者或者釣魚者可以更輕松地竊取該信息。
事實上，出色的無摩擦UX設計會在用戶心意已決，準備結賬清空購物車時才會要求驗證或者保存用戶的敏感信息。更好的隱私驅動設計和更少的操作負擔帶來了便利的同時也提高了安全性。
結論
用戶體驗與安全性并非矛盾體，最好的UX設計可以讓二者相輔相成而不是互相打架。安全性植入產品設計其實并沒有太多玄學，例如安全驗證環節清晰明確的選項和導航，剔除不必要的信息和錯誤；除非必要，否則用戶不必強制登錄等等。思路清晰，簡潔，總之，就是一切以用戶為中心的產品思維。才能打造出無摩擦的安全UX設計。