必要的摩擦：用户体验安全的戏剧性

UX 设计师通常会努力使产品更易于使用，但在某些情况下，增加摩擦会提高产品的安全性。 例如，双因素身份验证使登录速度变慢，但可以减少身份盗用。 在某些情况下，实施摩擦只会让用户感到安全：动画进度条不会保护个人数据，但可能会满足用户对安全环境中所需的更高处理能力的期望。

作为与瑞典政府签订合同的数字安全公司 Freja 的产品设计经理，我经常寻找将可用性与用户安全相协调的方法。 有时这意味着整合用户认为安全的功能。 例如，大多数数字产品可以即时计算复杂数据，但研究表明，人为加载时间让用户感觉高级系统正在为他们努力工作。 另一方面，如果设计人员过度依赖似乎只是增强安全性的功能（称为安全剧院），他们可能会导致用户相信他们的信息比实际更安全。

增强用户体验安全性的功能

身份验证是用户体验安全的一个重要方面。 不幸的是，用户名和密码并不是可靠的身份验证措施：2021 年，85% 的网络钓鱼攻击针对的是用户凭据。 为了解决这个问题，设计人员正在实施安全功能，以增加用户创建和登录帐户所需的时间。 例如，多因素身份验证 (MFA) 在创建帐户或登录时需要多种形式的身份验证。 大多数采用 MFA 的产品都要求用户提供三个凭据中的两个：

• 一种身份证明形式，例如护照或驾驶执照，或付款方式，例如信用卡
• 唯一信息，例如密码或 PIN
• 生物特征数据，例如面部、指纹或视网膜扫描

在保证用户安全的同时简化 MFA 的一种方法是要求使用文档自拍照，在该自拍照中，用户在将官方 ID 放在他们的脸旁时拍摄照片或视频。 上传自拍照后，公司要么让员工检查用户的面部和 ID 是否匹配，要么使用计算机算法来确定真实性。

面部识别正迅速成为登录及以后流行的安全功能。 例如，一些银行应用程序在用户想要访问账户详细信息、签署电子文档或转移资金时使用面部识别来验证用户的身份。 尽管许多人单独使用面部识别来快速解锁他们的智能手机，但我建议将该技术作为 MFA 策略的一部分来提高安全性。

验证用户身份的一种简单方法是按预定的时间间隔自动将其注销，从半小时到几天不等。 虽然有些人可能会觉得这种方法很烦人，但它可以保护那些让笔记本电脑无人看管、丢失智能手机或忘记退出公共计算机的用户。

有时用户还需要验证他们是数字文档的合法所有者，例如活动门票和处方。 我帮助 Freja 设计了一个产品，将用户的数字身份（在我们的应用程序中验证）安全地链接到他们的 COVID-19 疫苗护照。 这使得护照比纸质版或许多国家现有的数字版更难伪造。 例如，在瑞典和丹麦，数字疫苗护照不与其他形式的身份证明相关联，通常通过二维码访问。

尽管数字验证方面取得了进步，但包括某些银行在内的一些公司仍然要求用户访问实体场所以证明其身份，尤其是在申请贷款时。 在这种情况下，工作人员会仔细检查用户的外貌，并确保其与身份证件上的照片相符。 有些人考虑这个安全剧院，并认为员工可以在没有用户在场的情况下完成这项任务。 但面对面访问可以增强安全性，因为它们可以防止被称为深度伪造的照片和视频伪造，这些伪造变得越来越难以与真实图像区分开来。 此外，AARP Research 的一项调查发现，50 岁及以上的成年人中有 83% 的人不相信他们的在线活动和信息是私密的。 为这些用户提供亲自审查其文档的选项可以建立持久的产品信任和忠诚度。

许多数字产品还存储用户的地址、联系信息、支付方式，甚至病历。 考虑到风险，您可能会认为实施更多安全措施会带来更安全的产品，但这很容易造成令人沮丧的用户体验。 上下文至关重要。 例如，如果您正在设计一个加密交易应用程序，您可能允许用户在不登录的情况下查看代币价格和趋势，因为这些信息很容易在 Google 上找到。 但是当用户决定购买或出售代币时，你会要求他们使用 MFA 登录。 不同的操作需要不同的安全级别。

让用户感到安全的安全剧院

在某些情况下，设计师依靠安全剧院来增加摩擦，让用户更加安心。 这种做法可能是有益的——有时甚至是必要的——只要它不能替代真正保护用户的 UX 功能。

一些公司在程序上增加了不必要的时间，以使他们感到安全。 当用户报税时，TurboTax 会减慢个人和财务信息的处理速度。 动画进度条与屏幕文本相结合，向用户保证该程序正在查看每个细节，以确保应用所有可能的税收减免。 但 TurboTax 已经在每一步都在验证这些数据。

研究 TurboTax 网站源代码的研究人员发现进度指示器是预设的。 一旦动画开始播放，它们就会停止与站点服务器的通信。 此外，所有用户的进度指示器都是相同的，并且始终持续相同的时间。 延迟、图形和消息是戏剧性的方法，旨在提高用户对他们获得最大纳税申报表的信心——这是可以接受的，因为 TurboTax 还采用了数据加密和多因素身份验证。

其他公司在一系列互动中添加了类似的延迟。 富国银行在其应用程序上放慢了视网膜扫描仪的速度，因为用户在全速运行时不确定他们是否在工作。 Facebook 的帐户安全检查实际上需要几毫秒的时间来处理，但它们会强制用户等待长达 10 秒。 贷款人支持的抵押贷款应用程序，包括由 Google Ventures 设计的应用程序，减慢了他们的贷款审批流程，并为信用检查添加了虚假进度条，因为用户不相信即时批准。

借助 Freja eID 应用程序，我们要求用户将手机靠近支持芯片的护照三秒钟，以通过近场通信 (NFC) 上传信息。 事实上，上传时间不到一秒钟，但要求用户长时间保持手机稳定会让他们觉得这个过程是安全的。 我们还在文档自拍中引入了摩擦：我们只需要一张静态图片，但用户不相信这是安全的，所以我们添加了让他们左右转动头部的步骤。

包括 Freja 在内的所有这些公司都发现，以实际安全为后盾的安全剧院提高了用户的信任度。 当您为客户处理 UX 安全项目时，请记住，许多用户的心智模型还没有跟上现代技术的快节奏。 放慢速度可以帮助用户确信产品是安全的。

用户体验和摩擦：一种共生关系

UX 安全是一个范围，用户对安全应该是什么样子有特定的期望：发送社交媒体消息应该快速而简单。 不应将 10,000 美元转入他人的银行账户。

在交互设计中，流程通常被优先考虑，目的是帮助用户尽快完成他们的目标——但不要忽视深思熟虑的摩擦的重要性，它可以增加信任并保护用户的有价值信息。

Toptal 博客的进一步阅读：

• 设计安全：用户体验安全概述
• 如何设计以获得最大的产品信任
• 卡片分类：通过与用户的心理模型保持一致，更好的信息架构