Elektronické ověřování
Co je elektronická autentizace?
Elektronická autentizace je proces ověřování elektronickými prostředky, zda je uživatel, organizace, zařízení nebo digitální zpráva spojena s identitou či zdrojem, za který se vydává. V elektronickém obchodování a logistice pomáhá určit, kdo přistupuje k účtu obchodníka, odesílá pokyny k přepravě, připojuje se k podnikovému systému nebo schvaluje elektronickou transakci. Autentizace poskytuje důkazy o identitě nebo původu; sama o sobě však neprokazuje, že je objednávka legitimní, že zboží odpovídá popisu nebo že byla zásilka doručena.
Tento pojem má v oblasti informační bezpečnosti a práva elektronického obchodu související, ale odlišné významy. V systémech digitální identity autentizace obvykle znamená ověření, že osoba uplatňující nárok ovládá autentizační prostředek spojený s účtem. V pracovních postupech s elektronickými dokumenty může v širším smyslu označovat prokázání původu nebo pravosti záznamu, někdy pomocí elektronických podpisů nebo kryptografických metod. Zamýšlený význam proto závisí na tom, co je autentizováno a jaký technický nebo právní rámec se uplatňuje.
Úloha v elektronickém obchodování a logistice
Elektronická autentizace se uplatňuje v okamžicích, kdy si lidé a systémy vyměňují pokyny, přistupují k informacím nebo schvalují akce. Podporuje vztahy založené na důvěře kolem objednávky, nikoli samotný fyzický pohyb zboží. Obchodník, pracovník skladu, dopravce, celní zástupce a zákazník mohou během jedné transakce pracovat s různými autentizačními systémy.
Pracovník skladu se například může autentizovat před přístupem k aplikaci pro správu zásob. Software obchodníka se může autentizovat při žádosti o přepravní štítky prostřednictvím aplikačního programovacího rozhraní neboli API. Zástupce společnosti může při schvalování obchodního dokumentu použít elektronický podpis. Tyto činnosti zahrnují různé důkazy a kontroly, přestože všechny mohou být součástí elektronicky autentizovaného pracovního postupu.
| Obchodní kontext | Co může být autentizováno | Co autentizace neprokazuje |
|---|---|---|
| Přístup k účtu obchodníka | Ovládání autentizačního prostředku propojeného s účtem | Že každá akce provedená prostřednictvím účtu je obchodně legitimní |
| Přístup k aplikaci skladu | Účet zaměstnance nebo zařízení připojující se k systému | Že je inventura nebo výsledek vychystávání přesný |
| Připojení k přepravnímu API | Aplikace nebo organizace předkládající akceptované přihlašovací údaje | Že údaje o zásilce odpovídají fyzickému balíku |
| Elektronický obchodní dokument | Uvedený zdroj nebo identita podepisující osoby podle použitého mechanismu | Že je každé tvrzení v dokumentu pravdivé |
| Interakce se zákazníkem při doručení | Ovládání účtu, zařízení nebo kódu vyžadovaného pracovním postupem | Všechny skutečnosti potřebné k určení doručení, vlastnictví nebo odpovědnosti |
Jedná se o ilustrativní použití, nikoli o univerzální soubor požadavků. Vhodná metoda závisí na důsledcích neoprávněného přístupu, zúčastněných stranách a případných smluvních nebo regulačních požadavcích.
Jak elektronická autentizace funguje
1. Vytvoření účtu nebo vztahu založeného na důvěře
Než může mít autentizační událost význam, musí mít systém základ pro rozpoznání osoby uplatňující nárok. To může zahrnovat vytvoření účtu, kontrolu dokladů totožnosti, registraci organizace nebo vydání přihlašovacích údajů softwarové aplikaci. Ověření identity a autentizace jsou oddělené činnosti: ověření identity posuzuje, kdo žadatel je, zatímco autentizace následně kontroluje ovládání autentizačního prostředku spojeného s touto identitou nebo účtem.
Ne každý komerční účet je propojen s ověřenou právní identitou. Systém může prokázat pouze to, že se vrátil tentýž držitel účtu. Toto rozlišení je důležité, když podnik potřebuje důkaz identity jednotlivce nebo jeho oprávnění zastupovat společnost, nikoli pouze kontinuitu přístupu k účtu.
2. Propojení autentizačního prostředku
Autentizační prostředek je spojen s účtem nebo identitou. Příkladem je heslo, kryptografický klíč nebo zařízení používané ke generování autentizačních odpovědí. Proces registrace a propojení je důležitý, protože silný autentizační mechanismus poskytuje omezenou ochranu, pokud může útočník zaregistrovat vlastní autentizační prostředek k účtu někoho jiného.
3. Předložení a kontrola důkazů
Když je požadován přístup nebo schválení, osoba uplatňující nárok poskytne důkaz prostřednictvím zvoleného autentizačního protokolu. Ověřovatel tento důkaz zkontroluje. V závislosti na metodě může jít o kontrolu hodnoty odvozené od hesla, ověření jednorázové odpovědi nebo ověření kryptografického podpisu výzvy. Dobře navržený protokol výzva–odpověď může prokázat ovládání tajného klíče, aniž by byl samotný klíč přenášen.
4. Uplatnění autorizačních pravidel
Po úspěšné autentizaci následuje samostatné rozhodnutí o oprávněních. Pracovník skladu může mít povoleno zobrazovat úkoly vychystávání, ale nikoli měnit údaje pro výplaty. Přepravní integrace může mít povoleno vytvářet štítky, ale nikoli spravovat uživatele. Autentizace identifikuje příslušný účet nebo subjekt; autorizace určuje akce, které může tento subjekt provádět.
5. Správa relací a změn
Po autentizaci může systém udržovat relaci, místo aby vyžadoval nové přihlášení při každé akci. Ochrana relace, odvolání přihlašovacích údajů, obnovení účtu a nahrazení autentizačního prostředku zůstávají důležitou součástí celého procesu. Citlivá akce, například změna místa pro vrácení peněz, může vyžadovat opětovnou autentizaci, i když je relace již aktivní.
Autentizační faktory a mechanismy
U lidských uživatelů se autentizační faktory běžně popisují jako něco, co člověk zná, vlastní nebo čím je. Tyto kategorie popisují použité důkazy; automaticky však neurčují bezpečnost celé implementace. Připojení mezi stroji používají mechanismy, jako jsou sdílená tajemství, kryptografické klíče a certifikáty, neměla by však být považována za totožná s pracovními postupy přihlašování lidí.
| Faktor nebo mechanismus | Příklady | Důležité omezení |
|---|---|---|
| Faktor znalosti | Heslo nebo PIN | Tajemství lze uhodnout, prozradit nebo zachytit prostřednictvím phishingu. |
| Faktor vlastnictví | Bezpečnostní klíč nebo registrované autentizační zařízení | Ochrana závisí na protokolu, zabezpečení zařízení a procesu obnovení. |
| Biometrická charakteristika | Otisk prstu nebo rozpoznání obličeje použité k aktivaci autentizačního prostředku | Biometrické porovnávání je pravděpodobnostní a vyžaduje vhodná ochranná opatření. |
| Strojové přihlašovací údaje | Tajný klíč API, soukromý klíč nebo klientský certifikát | Ukradené přihlašovací údaje mohou jinému systému umožnit vydávat se za autorizovanou aplikaci. |
Vícefaktorová autentizace kombinuje odlišné autentizační faktory. Dvě hesla nepředstavují dva různé faktory. Stejně tak pracovní postup s několika obrazovkami nemusí být vícefaktorovou autentizací. Rozhodující otázkou je, zda proces vyžaduje nezávislé formy důkazů, nikoli kolik kroků uživatel vidí.
Odolnost vůči phishingu je další samostatnou vlastností. Metoda může zahrnovat více faktorů, a přesto umožnit útočníkovi předávat dál nebo zachytit autentizační důkazy. Pokyny NIST pro digitální identitu rozlišují autentizační metody podle jejich vlastností a požadavků na úroveň záruky, místo aby všechny vícefaktorové metody považovaly za zaměnitelné.
Související pojmy a důležitá rozlišení
| Pojem | Význam | Vztah k elektronické autentizaci |
|---|---|---|
| Identifikace | Předložení identifikátoru, například názvu účtu | Uvádí, která identita je nárokována; tento nárok neprokazuje. |
| Ověření identity | Vyhodnocení důkazů za účelem stanovení identity žadatele | Může stanovit identitu, ke které jsou následně připojeny autentizační prostředky. |
| Autorizace | Určení povolených akcí a přístupů | Využívá autentizovanou identitu nebo jiné vstupy zásad k rozhodování o přístupu. |
| Elektronický podpis | Elektronická data použitá v souvislosti s podpisem záznamu | Může identifikovat podepisující osobu a naznačovat schválení; právní definice a požadavky se liší. |
| Digitální podpis | Kryptografický mechanismus využívající soukromý klíč a odpovídající veřejný klíč | Může podporovat autentizaci původu a odhalení změn podepsaných údajů. |
| Šifrování | Transformace informací za účelem ochrany jejich důvěrnosti | Samo o sobě nestanovuje identitu komunikující strany. |
| Autentizace produktu | Kontrola, zda je fyzický předmět pravý | Týká se samotného zboží, nikoli pouze přístupu k účtu nebo původu zprávy. |
Elektronický podpis a událost elektronické autentizace mohou nastat současně, slouží však odlišným účelům. Podpis může vyjadřovat schválení konkrétního dokumentu nebo transakce. Přihlášení k účtu stanovuje přístup podle autentizačních pravidel daného účtu. Samotné přihlášení nemusí prokazovat, že uživatel schválil konkrétní dokument.
Digitální podpis také vyžaduje výklad v rámci důvěryhodného rámce. Úspěšné kryptografické ověření prokazuje, že podpis odpovídá konkrétnímu klíči a podepsaným údajům. Propojení tohoto klíče s konkrétní osobou, organizací nebo pravomocí vyžaduje další důkazy, například důvěryhodný certifikát a vhodné registrační postupy.
Přeshraniční dokumenty a právní význam
V přeshraničním obchodě může elektronická autentizace podporovat schvalování nákupů, přepravní pokyny, celní podání a další elektronické záznamy. Technické ověření a právní uznání jsou však oddělené otázky. Dokument může projít technickou kontrolou podpisu, aniž by splňoval všechny požadavky vztahující se na konkrétní transakci.
Vzorový zákon UNCITRAL o elektronickém obchodu se zabývá elektronickými záznamy a funkčními ekvivalenty požadavků založených na papírových dokumentech. Vzorový zákon UNCITRAL o elektronických podpisech poskytuje rámec týkající se elektronických podpisů a jejich spolehlivosti. Jedná se o vzorové zákony určené k podpoře legislativního rozvoje; nejde automaticky o závazná pravidla pro každou mezinárodní transakci.
U konkrétního obchodního dokumentu patří mezi relevantní otázky, zda přijímající orgán akceptuje elektronický formát, zda má podepisující osoba oprávnění jednat, které požadavky na podpis se uplatňují a zda lze záznam uchovávat a reprodukovat podle požadavků. Autentizace nenahrazuje celní kontrolu, nestanovuje tarifní zařazení ani nepotvrzuje správnost faktury.
Praktické hodnocení a hranice důkazů
Posouzení autentizačního pracovního postupu vyžaduje více než kontrolu, zda je přítomno heslo nebo ověřovací kód. Následující otázky pomáhají vymezit, jaký důkaz proces skutečně poskytuje:
- Kdo nebo co je autentizováno? Rozlišujte osobu, účet, organizaci, aplikaci, zařízení a zdroj dokumentu.
- Jak byla stanovená identita prokázána? Účet registrovaný pomocí e-mailu a ověřený zástupce společnosti poskytují odlišné důkazy.
- Jaké akce se to týká? Přístup ke stránce se sledováním by neměl být zaměňován se schválením změny doručovací adresy nebo místa platby.
- Čemu mechanismus odolává? Zvažte phishing, opakované použití, krádež přihlašovacích údajů a neoprávněnou registraci, místo abyste se spoléhali pouze na počet přihlašovacích kroků.
- Jak se přihlašovací údaje obnovují nebo nahrazují? Slabý způsob obnovení může oslabit silnější běžnou autentizaci.
- Lze přístup odvolat? Odcházející zaměstnanci a ukončené integrace by neměli mít nadále zbytečný přístup.
- Jaké důkazy se uchovávají? Záznamy by měly rozlišovat autentizaci, autorizaci, schválení dokumentu a následné obchodní akce.
Autentizační protokoly mohou podpořit vyšetřování, automaticky však neprokazují, že konkrétní akci provedl určitý člověk. Připsání akce může komplikovat používání sdílených účtů, napadených zařízení, ukradených relací a delegovaného přístupu. Podobně zákazník, který zadá doručovací kód, poskytuje důkaz vymezený daným pracovním postupem doručení, nikoli neomezenou záruku právní identity příjemce nebo stavu zboží.
Často kladené otázky
Co znamená elektronická autentizace v elektronickém obchodování?
Znamená kontrolu elektronických důkazů spojených s nárokovanou identitou nebo zdrojem, například ověření přihlášení obchodníka nebo přihlašovacích údajů aplikace. Podporuje řízený přístup, ale sama o sobě neověřuje základní nákup nebo zásilku.
Je elektronická autentizace totéž co elektronický podpis?
Ne. Autentizace kontroluje nárokovanou identitu nebo zdroj. Elektronický podpis souvisí s podpisem záznamu a může naznačovat schválení. Transakce může používat obojí, ale jedno automaticky neprokazuje druhé.
Prokazuje autentizace, že byla zásilka doručena?
Ne. Může přispět důkazem o účtu, zařízení nebo osobě zapojené do interakce při doručení. Samotné doručení vyžaduje důkazy relevantní pro zásilku a příslušný proces doručení.
Zajišťuje elektronická autentizace právní platnost obchodního dokumentu všude?
Ne. Právní uznání závisí na příslušném právu, požadavcích na dokument, přijímajícím orgánu a okolnostech transakce. Samotná technická autentizace tyto otázky neřeší.
Zdroje
- NIST SP 800-63B-4: Pokyny pro digitální identitu — autentizace a správa autentizačních prostředků — Koncepce autentizace, faktory, správa autentizačních prostředků, odolnost vůči phishingu a otázky relací.
- NIST SP 800-63A-4: Pokyny pro digitální identitu — ověření identity a registrace — Rozlišení mezi stanovením identity a následnou autentizací účtu.
- Vzorový zákon UNCITRAL o elektronickém obchodu — Elektronické záznamy, funkční ekvivalence a legislativní kontext elektronického obchodu.
- Vzorový zákon UNCITRAL o elektronických podpisech — Koncepce elektronických podpisů, spolehlivost a rozdíl mezi vzorovým legislativním rámcem a použitelným vnitrostátním právem.
