Elektron autentifikasiya
Elektron autentifikasiya nədir?
Elektron autentifikasiya istifadəçinin, təşkilatın, cihazın və ya rəqəmsal mesajın iddia etdiyi şəxsiyyət və ya mənbə ilə əlaqəli olduğunu elektron vasitələrlə yoxlama prosesidir. Elektron ticarət və logistika sahəsində bu proses tacir hesabına kimin daxil olduğunu, kimin göndəriş təlimatlarını təqdim etdiyini, biznes sisteminə kimin qoşulduğunu və ya elektron əməliyyatı kimin təsdiqlədiyini müəyyənləşdirməyə kömək edir. Autentifikasiya şəxsiyyət və ya mənşə barədə sübut təqdim edir; lakin özü-özlüyündə sifarişin qanuni olduğunu, malların təsvirə uyğun gəldiyini və ya göndərişin çatdırıldığını təsdiq etmir.
Bu termin informasiya təhlükəsizliyi və elektron ticarət hüququ sahələrində bir-biri ilə əlaqəli, lakin fərqli mənalara malikdir. Rəqəmsal identifikasiya sistemlərində autentifikasiya adətən iddiaçının hesabla əlaqələndirilmiş autentifikator üzərində nəzarətə malik olduğunu yoxlamaq deməkdir. Elektron sənəd iş axınlarında isə bu termin daha geniş mənada qeydin mənbəyinin və ya həqiqiliyinin müəyyən edilməsinə, bəzən elektron imzalardan və ya kriptoqrafik üsullardan istifadə edilməsinə aid ola bilər. Buna görə də nəzərdə tutulan məna nəyin autentifikasiya edilməsindən və hansı texniki və ya hüquqi çərçivənin tətbiq olunmasından asılıdır.
Elektron ticarət və logistikada rolu
Elektron autentifikasiya insanların və sistemlərin təlimat mübadiləsi apardığı, məlumatlara çıxış əldə etdiyi və ya hərəkətləri təsdiqlədiyi məqamlarda fəaliyyət göstərir. O, malların fiziki hərəkətindən çox, sifarişi əhatə edən etibar münasibətlərini dəstəkləyir. Eyni əməliyyat zamanı tacir, anbar operatoru, daşıyıcı, gömrük brokeri və müştəri müxtəlif autentifikasiya sistemləri ilə qarşılıqlı əlaqədə ola bilər.
Məsələn, anbar əməkdaşı inventar tətbiqinə daxil olmazdan əvvəl autentifikasiya oluna bilər. Tacirin proqram təminatı tətbiq proqramlaşdırma interfeysi və ya API vasitəsilə göndəriş etiketləri tələb edərkən autentifikasiya oluna bilər. Biznes nümayəndəsi ticarət sənədini təsdiqləyərkən elektron imzadan istifadə edə bilər. Bu fəaliyyətlər müxtəlif sübut və nəzarət vasitələrini əhatə edir, baxmayaraq ki, onların hamısı elektron autentifikasiya olunmuş iş axınının bir hissəsi ola bilər.
| Biznes konteksti | Nə autentifikasiya oluna bilər | Autentifikasiyanın müəyyən etmədiyi məqam |
|---|---|---|
| Tacir hesabına giriş | Hesabla əlaqələndirilmiş autentifikator üzərində nəzarət | Hesab vasitəsilə həyata keçirilən hər bir hərəkətin kommersiya baxımından qanuni olması |
| Anbar tətbiqinə giriş | Sistemə qoşulan əməkdaş hesabı və ya cihaz | Stok sayımının və ya yığım nəticəsinin dəqiq olması |
| Göndəriş API bağlantısı | Qəbul edilmiş məlumatları təqdim edən tətbiq və ya təşkilat | Göndəriş məlumatlarının fiziki bağlamaya uyğun olması |
| Elektron ticarət sənədi | Mexanizmdən asılı olaraq iddia edilən mənbə və ya imza sahibi | Sənəddəki hər bir ifadənin doğru olması |
| Müştərinin çatdırılma ilə bağlı qarşılıqlı əlaqəsi | İş axınının tələb etdiyi hesab, cihaz və ya kod üzərində nəzarət | Çatdırılmanı, mülkiyyəti və ya məsuliyyəti müəyyən etmək üçün lazım olan bütün faktlar |
Bunlar nümunəvi tətbiqlərdir və tələblərin universal toplusu deyil. Müvafiq metod icazəsiz girişin nəticələrindən, iştirak edən tərəflərdən və tətbiq olunan müqavilə və ya tənzimləyici tələblərdən asılıdır.
Elektron autentifikasiya necə işləyir?
1. Hesabın və ya etibar münasibətinin yaradılması
Autentifikasiya hadisəsinin mənalı olması üçün sistem iddiaçını tanımağa əsas verən məlumatlara malik olmalıdır. Bu, hesab yaratmağı, şəxsiyyət sübutlarını yoxlamağı, təşkilatı qeydiyyatdan keçirməyi və ya proqram tətbiqinə giriş məlumatları verməyi əhatə edə bilər. Şəxsiyyətin təsdiqlənməsi və autentifikasiya ayrı fəaliyyətlərdir: şəxsiyyətin təsdiqlənməsi müraciət edənin kim olduğunu qiymətləndirir, autentifikasiya isə sonradan həmin şəxsiyyət və ya hesabla əlaqəli autentifikator üzərində nəzarəti yoxlayır.
Hər kommersiya hesabı təsdiqlənmiş hüquqi şəxsiyyətlə əlaqələndirilmir. Sistem yalnız eyni hesab sahibinin yenidən qayıtdığını müəyyən edə bilər. Bu fərq biznesə sadəcə hesaba girişin davamlılığından deyil, şəxsin şəxsiyyətinə və ya şirkəti təmsil etmək səlahiyyətinə dair sübut lazım olduqda əhəmiyyətlidir.
2. Autentifikatorun əlaqələndirilməsi
Autentifikator hesab və ya şəxsiyyətlə əlaqələndirilir. Buna parol, kriptoqrafik açar və ya autentifikasiya cavabları yaratmaq üçün istifadə olunan cihaz nümunə ola bilər. Qeydiyyat və əlaqələndirmə prosesi vacibdir, çünki hücumçu başqasının hesabına öz autentifikatorunu qeydiyyatdan keçirə bilirsə, güclü autentifikasiya mexanizmi məhdud müdafiə təmin edir.
3. Sübutun təqdim edilməsi və yoxlanılması
Giriş və ya təsdiq tələb edildikdə, iddiaçı seçilmiş autentifikasiya protokolu vasitəsilə sübut təqdim edir. Yoxlayıcı həmin sübutu yoxlayır. Metoddan asılı olaraq bu, paroldan törədilmiş dəyərin yoxlanılmasını, birdəfəlik cavabın təsdiqlənməsini və ya çağırış üzərində kriptoqrafik imzanın yoxlanılmasını əhatə edə bilər. Düzgün hazırlanmış çağırış-cavab protokolu məxfi açarın özünü ötürmədən həmin açara nəzarəti nümayiş etdirə bilər.
4. Səlahiyyət qaydalarının tətbiqi
Uğurlu autentifikasiyadan sonra icazələr barədə ayrıca qərar qəbul edilir. Anbar işçisinə yığım tapşırıqlarına baxmağa icazə verilə bilər, lakin ödəniş məlumatlarını dəyişməyə icazə verilməyə bilər. Göndəriş inteqrasiyasına etiket yaratmağa icazə verilə bilər, lakin istifadəçiləri idarə etməyə icazə verilməyə bilər. Autentifikasiya iştirak edən hesabı və ya subyekti müəyyən edir; avtorizasiya həmin subyektin hansı hərəkətləri edə biləcəyini müəyyənləşdirir.
5. Sessiyaların və dəyişikliklərin idarə edilməsi
Autentifikasiyadan sonra sistem hər bir hərəkət üçün yenidən giriş tələb etmək əvəzinə sessiyanı davam etdirə bilər. Sessiyanın qorunması, giriş məlumatlarının ləğvi, hesabın bərpası və autentifikatorun dəyişdirilməsi ümumi prosesin vacib hissələri olaraq qalır. Geri ödənişin təyinat yerinin dəyişdirilməsi kimi həssas əməliyyat sessiya artıq aktiv olsa belə, yenidən autentifikasiya tələb edə bilər.
Autentifikasiya amilləri və mexanizmləri
İnsan istifadəçilər üçün autentifikasiya amilləri adətən şəxsin bildiyi, sahib olduğu və ya özü olduğu bir şey kimi təsvir edilir. Bu kateqoriyalar istifadə olunan sübutu izah edir; onlar tam tətbiqin təhlükəsizliyini avtomatik müəyyən etmir. Maşınlararası bağlantılarda ortaq məxfi məlumatlar, kriptoqrafik açarlar və sertifikatlar kimi mexanizmlərdən istifadə olunur, lakin bunlar insan giriş iş axınları ilə eyniləşdirilməməlidir.
| Amil və ya mexanizm | Nümunələr | Vacib məhdudiyyət |
|---|---|---|
| Bilik amili | Parol və ya PIN | Məxfi məlumatlar təxmin edilə, açıqlana və ya fişinq yolu ilə ələ keçirilə bilər. |
| Sahiblik amili | Təhlükəsizlik açarı və ya qeydiyyatdan keçirilmiş autentifikator cihazı | Müdafiə protokoldan, cihazın təhlükəsizliyindən və bərpa prosesindən asılıdır. |
| Biometrik xüsusiyyət | Autentifikatoru aktivləşdirmək üçün istifadə olunan barmaq izi və ya üz tanıma | Biometrik uyğunlaşdırma ehtimala əsaslanır və müvafiq qorunma tədbirləri tələb edir. |
| Maşın giriş məlumatı | API məxfi açarı, şəxsi açar və ya müştəri sertifikatı | Oğurlanmış giriş məlumatı başqa sistemə səlahiyyətli tətbiqi təqlid etməyə imkan verə bilər. |
Çoxamilli autentifikasiya fərqli autentifikasiya amillərini birləşdirir. İki parol iki fərqli amil hesab edilmir. Eyni şəkildə, bir neçə ekrandan ibarət iş axını da mütləq çoxamilli autentifikasiya deyil. Əsas sual istifadəçinin neçə addım görməsi deyil, prosesin müstəqil sübut formalarını tələb edib-etməməsidir.
Fişinqə davamlılıq ayrıca xüsusiyyətdir. Metod bir neçə amili əhatə edə bilər, lakin yenə də hücumçuya autentifikasiya sübutunu ötürməyə və ya ələ keçirməyə imkan verə bilər. NIST-in rəqəmsal şəxsiyyət üzrə təlimatı bütün çoxamilli metodları eyni hesab etmək əvəzinə, autentifikasiya metodlarını xüsusiyyətlərinə və təminat tələblərinə görə fərqləndirir.
Əlaqəli terminlər və mühüm fərqlər
| Termin | Məna | Elektron autentifikasiya ilə əlaqəsi |
|---|---|---|
| İdentifikasiya | Hesab adı kimi identifikatorun təqdim edilməsi | Hansı şəxsiyyətin iddia edildiyini bildirir; iddianı sübut etmir. |
| Şəxsiyyətin təsdiqlənməsi | Müraciət edənin şəxsiyyətini müəyyən etmək üçün sübutların qiymətləndirilməsi | Autentifikatorların sonradan əlaqələndiriləcəyi şəxsiyyəti müəyyən edə bilər. |
| Avtorizasiya | İcazə verilən hərəkətlərin və girişin müəyyən edilməsi | Giriş qərarları vermək üçün autentifikasiya olunmuş şəxsiyyətdən və ya digər siyasət məlumatlarından istifadə edir. |
| Elektron imza | Qeydin imzalanması ilə əlaqədar istifadə olunan elektron məlumat | İmza sahibini müəyyən edə və təsdiqi göstərə bilər; hüquqi təriflər və tələblər fərqlənir. |
| Rəqəmsal imza | Şəxsi açardan və müvafiq açıq açardan istifadə edən kriptoqrafik mexanizm | Mənşənin autentifikasiyasını və imzalanmış məlumatlarda dəyişikliklərin aşkarlanmasını dəstəkləyə bilər. |
| Şifrələmə | Məxfiliyi qorumaq üçün məlumatın çevrilməsi | Özü-özlüyündə əlaqə saxlayan tərəfin şəxsiyyətini müəyyən etmir. |
| Məhsul autentifikasiyası | Fiziki əşyanın orijinal olub-olmadığının yoxlanılması | Sadəcə hesaba girişə və ya mesajın mənşəyinə deyil, malların özünə aiddir. |
Elektron imza və elektron autentifikasiya hadisəsi eyni vaxtda baş verə bilər, lakin onların məqsədləri fərqlidir. İmzalama konkret sənəd və ya əməliyyatın təsdiqini ifadə edə bilər. Hesaba giriş həmin hesabın autentifikasiya qaydaları çərçivəsində giriş imkanı yaradır. Təkcə giriş istifadəçinin konkret sənədi təsdiqlədiyini mütləq göstərmir.
Rəqəmsal imza da etibar çərçivəsi daxilində şərh edilməlidir. Uğurlu kriptoqrafik yoxlama imzanın müəyyən açara və imzalanmış məlumatlara uyğun olduğunu göstərir. Həmin açarı adı məlum olan şəxs, təşkilat və ya səlahiyyətlə əlaqələndirmək üçün etibarlı sertifikat və müvafiq qeydiyyat prosedurları kimi əlavə sübutlar tələb olunur.
Sərhədlərarası sənədlər və hüquqi əhəmiyyət
Sərhədlərarası ticarətdə elektron autentifikasiya alışların təsdiqlənməsini, göndəriş təlimatlarını, gömrük təqdimatlarını və digər elektron qeydləri dəstəkləyə bilər. Lakin texniki yoxlama və hüquqi tanınma ayrı məsələlərdir. Sənəd texniki imza yoxlamasından keçə bilər, amma konkret əməliyyata tətbiq olunan bütün tələblərə cavab verməyə bilər.
UNCITRAL-ın Elektron Ticarət haqqında Model Qanunu elektron qeydləri və kağız əsaslı tələblərin funksional ekvivalentlərini nəzərdən keçirir. UNCITRAL-ın Elektron İmzalar haqqında Model Qanunu elektron imzalar və onların etibarlılığı ilə bağlı çərçivə təqdim edir. Bunlar qanunvericiliyin hazırlanmasına kömək etmək üçün nəzərdə tutulmuş model qanunlardır; hər bir beynəlxalq əməliyyat üçün avtomatik olaraq məcburi qaydalar deyil.
Konkret ticarət sənədi üçün müvafiq suallara elektron formatın qəbul edən orqan tərəfindən qəbul edilib-edilməməsi, imza sahibinin hərəkət etmək səlahiyyətinin olub-olmaması, hansı imza tələblərinin tətbiq edilməsi və qeydin tələb olunduğu kimi saxlanılıb yenidən təqdim edilə bilməsi daxildir. Autentifikasiya gömrük yoxlamasını əvəz etmir, tarif təsnifatını müəyyən etmir və hesab-fakturanın düzgünlüyünü təsdiqləmir.
Praktiki qiymətləndirmə və sübut sərhədləri
Autentifikasiya iş axınının qiymətləndirilməsi sadəcə parolun və ya doğrulama kodunun mövcud olub-olmadığını yoxlamaqdan daha çox şey tələb edir. Aşağıdakı suallar prosesin əslində hansı sübutu təqdim etdiyini müəyyənləşdirməyə kömək edir:
- Kim və ya nə autentifikasiya olunur? Şəxs, hesab, təşkilat, tətbiq, cihaz və sənəd mənbəyini fərqləndirin.
- İddia edilən şəxsiyyət necə müəyyən edilmişdir? Elektron poçtla qeydiyyatdan keçirilmiş hesab və şəxsiyyəti təsdiqlənmiş biznes nümayəndəsi fərqli sübutlar təqdim edir.
- Hansı hərəkət əhatə olunur? İzləmə səhifəsinə giriş çatdırılma ünvanını və ya ödəniş təyinatını dəyişmək icazəsi ilə qarışdırılmamalıdır.
- Mexanizm nəyə qarşı davamlıdır? Yalnız giriş addımlarının sayına əsaslanmaq əvəzinə fişinqi, təkrar istifadə hücumlarını, giriş məlumatlarının oğurlanmasını və icazəsiz qeydiyyatı nəzərə alın.
- Giriş məlumatları necə bərpa edilir və ya dəyişdirilir? Zəif bərpa yolu daha güclü gündəlik autentifikasiyanı zəiflədə bilər.
- Giriş ləğv edilə bilərmi? İşdən ayrılan əməkdaşlar və dayandırılmış inteqrasiyalar lazımsız giriş imkanlarını saxlamamalıdır.
- Hansı sübutlar saxlanılır? Qeydlər autentifikasiyanı, avtorizasiyanı, sənədin təsdiqini və sonrakı biznes hərəkətlərini fərqləndirməlidir.
Autentifikasiya jurnalları araşdırmanı dəstəkləyə bilər, lakin konkret hərəkəti müəyyən insanın etdiyini avtomatik sübut etmir. Ortaq hesablar, təhlükəsi pozulmuş cihazlar, oğurlanmış sessiyalar və həvalə edilmiş giriş aidiyyəti müəyyənləşdirməyi çətinləşdirə bilər. Eynilə, müştərinin çatdırılma kodunu daxil etməsi həmin çatdırılma iş axını ilə müəyyən edilən sübutu təqdim edir; bu, alıcının hüquqi şəxsiyyəti və ya malların vəziyyəti barədə məhdudiyyətsiz təminat deyil.
Suallar və cavablar
Elektron ticarətdə elektron autentifikasiya nə deməkdir?
Bu, tacir girişinin və ya tətbiqin giriş məlumatlarının yoxlanılması kimi, iddia edilən şəxsiyyət və ya mənbə ilə əlaqəli elektron sübutun yoxlanılması deməkdir. O, nəzarətli girişi dəstəkləyir, lakin əsas alışın və ya göndərişin düzgünlüyünü müstəqil şəkildə təsdiqləmir.
Elektron autentifikasiya elektron imza ilə eynidirmi?
Xeyr. Autentifikasiya iddia edilən şəxsiyyəti və ya mənbəni yoxlayır. Elektron imza qeydin imzalanması ilə əlaqədardır və təsdiqi göstərə bilər. Əməliyyatda hər ikisindən istifadə oluna bilər, lakin biri avtomatik olaraq digərini müəyyən etmir.
Autentifikasiya göndərişin çatdırıldığını sübut edirmi?
Xeyr. O, çatdırılma ilə bağlı qarşılıqlı əlaqədə iştirak edən hesab, cihaz və ya şəxs barədə sübuta töhfə verə bilər. Çatdırılmanın özü göndərişə və tətbiq olunan çatdırılma prosesinə uyğun sübut tələb edir.
Elektron autentifikasiya ticarət sənədini hər yerdə hüquqi cəhətdən etibarlı edirmi?
Xeyr. Hüquqi tanınma tətbiq olunan qanundan, sənəd tələblərindən, qəbul edən orqandan və əməliyyatın hallarından asılıdır. Təkcə texniki autentifikasiya bu sualları həll etmir.
Mənbələr
- NIST SP 800-63B-4: Rəqəmsal Şəxsiyyət Təlimatları — Autentifikasiya və autentifikatorların idarə edilməsi — Autentifikasiya anlayışları, amillər, autentifikatorların idarə edilməsi, fişinqə davamlılıq və sessiya məsələləri.
- NIST SP 800-63A-4: Rəqəmsal Şəxsiyyət Təlimatları — Şəxsiyyətin təsdiqlənməsi və qeydiyyat — Şəxsiyyətin müəyyən edilməsi ilə hesabın sonradan autentifikasiya olunması arasındakı fərq.
- UNCITRAL-ın Elektron Ticarət haqqında Model Qanunu — Elektron qeydlər, funksional ekvivalentlik və elektron ticarət üçün qanunvericilik konteksti.
- UNCITRAL-ın Elektron İmzalar haqqında Model Qanunu — Elektron imza anlayışları, etibarlılıq və model qanunvericilik çərçivəsi ilə tətbiq olunan milli hüquq arasındakı fərq.
