Електронна автентикация
Какво представлява електронното удостоверяване?
Електронното удостоверяване е процесът на проверка чрез електронни средства дали потребител, организация, устройство или цифрово съобщение е свързано с идентичността или източника, които заявява. В електронната търговия и логистиката то помага да се установи кой получава достъп до търговски акаунт, изпраща инструкции за доставка, свързва се с бизнес система или одобрява електронна транзакция. Удостоверяването предоставя доказателства за идентичност или произход; само по себе си то не установява, че дадена поръчка е легитимна, че стоките отговарят на описанието или че пратката е доставена.
Терминът има свързани, но различни значения в областта на информационната сигурност и правото на електронната търговия. В системите за цифрова идентичност удостоверяването обикновено означава проверка дали заявителят контролира средство за удостоверяване, свързано с даден акаунт. При работни процеси с електронни документи то може да се отнася по-широко до установяване на произхода или автентичността на запис, понякога чрез използване на електронни подписи или криптографски методи. Следователно значението зависи от това какво се удостоверява и коя техническа или правна рамка се прилага.
Роля в електронната търговия и логистиката
Електронното удостоверяване се извършва в точките, в които хора и системи обменят инструкции, получават достъп до информация или одобряват действия. То подпомага отношенията на доверие около поръчката, а не физическото движение на самите стоки. Търговец, оператор на склад, превозвач, митнически посредник и клиент могат да взаимодействат с различни системи за удостоверяване по време на една и съща транзакция.
Например служител в склад може да се удостовери, преди да получи достъп до приложение за управление на инвентара. Софтуерът на търговец може да се удостовери при заявяване на товарителници чрез интерфейс за програмиране на приложения или API. Представител на компания може да използва електронен подпис при одобряване на търговски документ. Тези дейности включват различни доказателства и средства за контрол, въпреки че всички могат да бъдат част от работен процес с електронно удостоверяване.
| Бизнес контекст | Какво може да бъде удостоверено | Какво не установява удостоверяването |
|---|---|---|
| Достъп до търговски акаунт | Контрол върху средство за удостоверяване, свързано с акаунта | Че всяко действие, извършено чрез акаунта, е търговски легитимно |
| Достъп до складово приложение | Акаунтът на служителя или устройството, свързващо се със системата | Че преброяването на наличностите или резултатът от комплектоването е точен |
| Връзка с API за доставка | Приложението или организацията, представящи приети идентификационни данни | Че данните за пратката съответстват на физическия пакет |
| Електронен търговски документ | Заявеният източник или самоличността на подписващия в зависимост от механизма | Че всяко твърдение в документа е вярно |
| Взаимодействие с клиента при доставка | Контрол върху акаунт, устройство или код, изискван от работния процес | Всички факти, необходими за определяне на доставката, собствеността или отговорността |
Това са илюстративни приложения, а не универсален набор от изисквания. Подходящият метод зависи от последиците от неразрешения достъп, участващите страни и всички приложими договорни или регулаторни изисквания.
Как работи електронното удостоверяване
1. Създаване на акаунта или отношенията на доверие
Преди едно събитие на удостоверяване да има смисъл, системата трябва да разполага с основа за разпознаване на заявителя. Това може да включва създаване на акаунт, проверка на доказателства за самоличност, регистриране на организация или издаване на идентификационни данни на софтуерно приложение. Установяването на самоличност и удостоверяването са отделни дейности: установяването на самоличност оценява кой е кандидатът, докато удостоверяването впоследствие проверява контрола върху средство за удостоверяване, свързано с тази самоличност или акаунт.
Не всеки търговски акаунт е свързан с проверена юридическа самоличност. Системата може да установи само, че същият притежател на акаунта се е върнал. Това разграничение е важно, когато бизнесът се нуждае от доказателства за самоличността или правомощията на дадено лице да представлява компания, а не просто от непрекъснатост на достъпа до акаунта.
2. Свързване на средство за удостоверяване
Средството за удостоверяване се свързва с акаунта или самоличността. Примери включват парола, криптографски ключ или устройство, използвано за генериране на отговори за удостоверяване. Процесът на регистриране и свързване е важен, тъй като силният механизъм за удостоверяване предлага ограничена защита, ако нападателят може да регистрира собствено средство за удостоверяване към чужд акаунт.
3. Представяне и проверка на доказателства
Когато се поиска достъп или одобрение, заявителят предоставя доказателства чрез избрания протокол за удостоверяване. Проверяващият проверява тези доказателства. В зависимост от метода това може да включва проверка на стойност, получена от парола, валидиране на еднократен отговор или проверка на криптографски подпис върху предизвикателство. Добре проектираният протокол „предизвикателство–отговор“ може да докаже контрола върху секретен ключ, без самият ключ да бъде предаван.
4. Прилагане на правила за оторизация
Успешното удостоверяване е последвано от отделно решение относно разрешенията. На складов работник може да бъде разрешено да преглежда задачи за комплектоване, но не и да променя данни за изплащания. На интеграция за доставки може да бъде разрешено да създава товарителници, но не и да управлява потребители. Удостоверяването идентифицира съответния акаунт или субект; оторизацията определя действията, които този субект може да извършва.
5. Управление на сесии и промени
След удостоверяването системата може да поддържа сесия, вместо да изисква ново влизане при всяко действие. Защитата на сесията, отмяната на идентификационни данни, възстановяването на акаунта и замяната на средството за удостоверяване остават важни части от цялостния процес. Чувствително действие, като промяна на получателя на възстановяване на сума, може да изисква повторно удостоверяване дори когато сесията вече е активна.
Фактори и механизми за удостоверяване
При човешките потребители факторите за удостоверяване обикновено се описват като нещо, което човек знае, притежава или представлява. Тези категории описват използваните доказателства; те не определят автоматично сигурността на цялостната реализация. Връзките между машини използват механизми като споделени тайни, криптографски ключове и сертификати, но не трябва да се разглеждат като идентични с работните процеси за човешко влизане.
| Фактор или механизъм | Примери | Важно ограничение |
|---|---|---|
| Фактор на знанието | Парола или PIN | Тайните могат да бъдат отгатнати, разкрити или прихванати чрез фишинг. |
| Фактор на притежанието | Ключ за сигурност или регистрирано устройство за удостоверяване | Защитата зависи от протокола, сигурността на устройството и процеса за възстановяване. |
| Биометрична характеристика | Пръстов отпечатък или лицево разпознаване, използвани за активиране на средство за удостоверяване | Биометричното съпоставяне е вероятностно и изисква подходящи мерки за защита. |
| Машинна идентификационна информация | API тайна, частен ключ или клиентски сертификат | Открадната идентификационна информация може да позволи на друга система да се представи за оторизираното приложение. |
Многофакторното удостоверяване комбинира различни фактори за удостоверяване. Две пароли не представляват два различни фактора. По същия начин работен процес с няколко екрана не е непременно многофакторно удостоверяване. Важният въпрос е дали процесът изисква независими форми на доказателства, а не колко стъпки вижда потребителят.
Устойчивостта срещу фишинг е друго отделно свойство. Един метод може да включва няколко фактора и въпреки това да позволява на нападател да препрати или прихване доказателства за удостоверяване. Насоките за цифрова идентичност на NIST разграничават методите за удостоверяване според техните свойства и изисквания за ниво на сигурност, вместо да третират всички многофакторни методи като взаимозаменяеми.
Свързани термини и важни разграничения
| Термин | Значение | Връзка с електронното удостоверяване |
|---|---|---|
| Идентификация | Представяне на идентификатор, например име на акаунт | Посочва коя самоличност се заявява; не доказва заявката. |
| Установяване на самоличност | Оценяване на доказателства за установяване на самоличността на кандидата | Може да установи самоличността, към която впоследствие се свързват средствата за удостоверяване. |
| Оторизация | Определяне на разрешените действия и достъп | Използва удостоверена самоличност или други входни данни от политиката за вземане на решения за достъп. |
| Електронен подпис | Електронни данни, използвани във връзка с подписването на запис | Може да идентифицира подписващия и да указва одобрение; правните определения и изисквания са различни. |
| Цифров подпис | Криптографски механизъм, използващ частен ключ и съответстващ публичен ключ | Може да подпомогне удостоверяването на произхода и откриването на промени в подписани данни. |
| Шифроване | Преобразуване на информация с цел защита на нейната поверителност | Само по себе си не установява самоличността на комуникиращата страна. |
| Удостоверяване на продукт | Проверка дали даден физически артикул е оригинален | Отнася се до самите стоки, а не само до достъпа до акаунт или произхода на съобщение. |
Електронен подпис и събитие на електронно удостоверяване могат да се случат едновременно, но служат за различни цели. Подписването може да изразява одобрение на конкретен документ или транзакция. Влизането в акаунт установява достъп съгласно правилата за удостоверяване на този акаунт. Самото влизане не доказва непременно, че потребителят е одобрил конкретен документ.
Цифровият подпис също изисква тълкуване в рамките на система за доверие. Успешната криптографска проверка показва, че подписът съответства на определен ключ и подписани данни. Свързването на този ключ с назовано лице, организация или орган изисква допълнителни доказателства, като доверен сертификат и подходящи процедури за регистрация.
Трансгранични документи и правно значение
В трансграничната търговия електронното удостоверяване може да подпомага одобрения на покупки, инструкции за доставка, митнически декларации и други електронни записи. Техническата проверка и правното признаване обаче са отделни въпроси. Един документ може да премине техническа проверка на подписа, без да отговаря на всяко изискване, приложимо към конкретната транзакция.
Моделният закон на UNCITRAL за електронната търговия разглежда електронните записи и функционалните еквиваленти на изискванията за документи на хартиен носител. Моделният закон на UNCITRAL за електронните подписи предоставя рамка относно електронните подписи и тяхната надеждност. Това са моделни закони, предназначени да подпомагат законодателното развитие; те не представляват автоматично обвързващи правила за всяка международна транзакция.
За конкретен търговски документ релевантните въпроси включват дали приемащият орган приема електронния формат, дали подписващият има правомощия да действа, кои изисквания за подпис се прилагат и дали записът може да бъде съхранен и възпроизведен според изискванията. Удостоверяването не заменя митническата проверка, не установява тарифното класиране и не удостоверява точността на фактурата.
Практическа оценка и граници на доказателствата
Оценяването на работен процес за удостоверяване изисква повече от проверка дали е налице парола или код за потвърждение. Следните въпроси помагат да се определи какви доказателства всъщност предоставя процесът:
- Кой или какво се удостоверява? Разграничете лице, акаунт, организация, приложение, устройство и източник на документ.
- Как е установена заявената самоличност? Акаунт, регистриран с имейл, и представител на бизнес с установена самоличност предоставят различни доказателства.
- Какво действие е обхванато? Достъпът до страница за проследяване не трябва да се бърка с одобрение за промяна на адрес за доставка или получател на плащане.
- На какво се противопоставя механизмът? Вземете предвид фишинг, повторно използване, кражба на идентификационни данни и неразрешено регистриране, вместо да разчитате само на броя стъпки за влизане.
- Как се възстановяват или заменят идентификационните данни? Слабият маршрут за възстановяване може да подкопае по-силното стандартно удостоверяване.
- Може ли достъпът да бъде отнет? Напускащите служители и прекратените интеграции не трябва да запазват ненужен достъп.
- Какви доказателства се съхраняват? Записите трябва да разграничават удостоверяването, оторизацията, одобрението на документа и последващите бизнес действия.
Дневниците за удостоверяване могат да подпомогнат разследване, но не доказват автоматично, че конкретно лице е извършило дадено действие. Споделени акаунти, компрометирани устройства, откраднати сесии и делегиран достъп могат да усложнят приписването. По същия начин въвеждането на код за доставка от клиент предоставя доказателства, определени от работния процес за тази доставка, а не неограничена гаранция за правната самоличност на получателя или състоянието на стоките.
Често задавани въпроси
Какво означава електронно удостоверяване в електронната търговия?
Това означава проверка на електронни доказателства, свързани със заявена самоличност или източник, например проверка на влизане на търговец или на идентификационните данни на приложение. То подпомага контролирания достъп, но не валидира независимо самата покупка или пратка.
Електронното удостоверяване същото ли е като електронен подпис?
Не. Удостоверяването проверява заявена самоличност или източник. Електронният подпис се отнася до подписването на запис и може да указва одобрение. Една транзакция може да използва и двете, но едното не установява автоматично другото.
Доказва ли удостоверяването, че пратката е доставена?
Не. То може да допринесе с доказателства за акаунт, устройство или лице, участващи във взаимодействие при доставка. Самата доставка изисква доказателства, свързани с пратката и приложимия процес на доставка.
Прави ли електронното удостоверяване търговския документ юридически валиден навсякъде?
Не. Правното признаване зависи от приложимото право, изискванията към документа, приемащия орган и обстоятелствата на транзакцията. Самото техническо удостоверяване не разрешава тези въпроси.
Източници
- NIST SP 800-63B-4: Насоки за цифрова идентичност — удостоверяване и управление на средствата за удостоверяване — Концепции за удостоверяване, фактори, управление на средствата за удостоверяване, устойчивост срещу фишинг и съображения относно сесиите.
- NIST SP 800-63A-4: Насоки за цифрова идентичност — установяване на самоличност и регистриране — Разграничението между установяване на самоличност и последващо удостоверяване на акаунт.
- Моделен закон на UNCITRAL за електронната търговия — Електронни записи, функционална еквивалентност и законодателният контекст на електронната търговия.
- Моделен закон на UNCITRAL за електронните подписи — Концепции за електронните подписи, надеждност и разграничението между моделна законодателна рамка и приложимото национално право.
