Elektronikus hitelesítés
Mi az elektronikus hitelesítés?
Az elektronikus hitelesítés annak elektronikus eszközökkel történő ellenőrzésének folyamata, hogy egy felhasználó, szervezet, eszköz vagy digitális üzenet kapcsolatban áll-e azzal a személyazonossággal vagy forrással, amelyet állít magáról. Az elektronikus kereskedelemben és a logisztikában segít megállapítani, hogy ki fér hozzá egy kereskedői fiókhoz, ki küld szállítási utasításokat, ki csatlakozik egy vállalati rendszerhez, vagy ki hagy jóvá egy elektronikus tranzakciót. A hitelesítés bizonyítékot szolgáltat a személyazonosságról vagy a származásról; önmagában azonban nem állapítja meg, hogy egy megrendelés jogszerű-e, hogy az áruk megfelelnek-e a leírásnak, vagy hogy a szállítmányt kézbesítették-e.
A kifejezésnek az információbiztonságban és az elektronikus kereskedelem jogában egymáshoz kapcsolódó, de eltérő jelentései vannak. A digitális személyazonossági rendszerekben a hitelesítés általában annak ellenőrzését jelenti, hogy az igénylő irányítja-e a fiókhoz kapcsolódó hitelesítőt. Az elektronikus dokumentum-munkafolyamatokban tágabb értelemben a nyilvántartás eredetének vagy hitelességének megállapítására utalhat, esetenként elektronikus aláírások vagy kriptográfiai módszerek alkalmazásával. A pontos jelentés ezért attól függ, hogy mit hitelesítenek, és mely technikai vagy jogi keret alkalmazandó.
Szerepe az elektronikus kereskedelemben és a logisztikában
Az elektronikus hitelesítés azokon a pontokon működik, ahol az emberek és a rendszerek utasításokat cserélnek, információkhoz férnek hozzá vagy műveleteket hagynak jóvá. A megrendelést övező bizalmi kapcsolatokat támogatja, nem pedig maguknak az áruknak a fizikai mozgását. Egy kereskedő, raktárüzemeltető, fuvarozó, vámügynök és vásárló ugyanazon tranzakció során különböző hitelesítési rendszerekkel léphet kapcsolatba.
Például egy raktári alkalmazott hitelesítheti magát, mielőtt hozzáférne egy készletkezelő alkalmazáshoz. A kereskedő szoftvere hitelesítheti magát, amikor egy alkalmazásprogramozási felületen vagy API-n keresztül szállítási címkéket kér. Egy vállalati képviselő elektronikus aláírást használhat egy kereskedelmi dokumentum jóváhagyásakor. Ezek a tevékenységek eltérő bizonyítékokat és ellenőrzéseket foglalnak magukban, annak ellenére, hogy mindegyik része lehet egy elektronikusan hitelesített munkafolyamatnak.
| Üzleti környezet | Mi hitelesíthető | Mit nem állapít meg a hitelesítés |
|---|---|---|
| Kereskedői fiókhoz való hozzáférés | A fiókhoz kapcsolódó hitelesítő feletti irányítás | Hogy a fiókon keresztül végrehajtott minden művelet üzletileg jogszerű |
| Raktári alkalmazáshoz való hozzáférés | A rendszerhez csatlakozó alkalmazotti fiók vagy eszköz | Hogy a készletszámlálás vagy a komissiózás eredménye pontos |
| Szállítási API-kapcsolat | Az elfogadott hitelesítő adatokat bemutató alkalmazás vagy szervezet | Hogy a szállítmány adatai megfelelnek a fizikai csomagnak |
| Elektronikus kereskedelmi dokumentum | Az állítólagos forrás vagy aláíró személyazonossága, az alkalmazott mechanizmustól függően | Hogy a dokumentumban szereplő minden állítás igaz |
| Ügyféllel kapcsolatos kézbesítési interakció | A munkafolyamat által megkövetelt fiók, eszköz vagy kód feletti irányítás | A kézbesítés, tulajdonjog vagy felelősség megállapításához szükséges összes tényt |
Ezek szemléltető alkalmazások, nem pedig a követelmények egyetemes listája. A megfelelő módszer a jogosulatlan hozzáférés következményeitől, az érintett felektől, valamint az alkalmazandó szerződéses vagy szabályozási követelményektől függ.
Hogyan működik az elektronikus hitelesítés?
1. A fiók vagy a bizalmi kapcsolat létrehozása
Mielőtt egy hitelesítési esemény értelmezhető lenne, a rendszernek rendelkeznie kell az igénylő felismerésének alapjával. Ez magában foglalhatja egy fiók létrehozását, a személyazonosságot igazoló bizonyítékok ellenőrzését, egy szervezet regisztrálását vagy hitelesítő adatok kiadását egy szoftveralkalmazás számára. A személyazonosság ellenőrzése és a hitelesítés különálló tevékenységek: az előbbi azt értékeli, hogy ki a kérelmező, míg a hitelesítés ezt követően a személyazonossághoz vagy fiókhoz kapcsolódó hitelesítő feletti irányítást ellenőrzi.
Nem minden kereskedelmi fiók kapcsolódik ellenőrzött jogi személyazonossághoz. A rendszer csupán azt állapíthatja meg, hogy ugyanaz a fióktulajdonos tért vissza. Ez a különbség akkor fontos, amikor egy vállalkozásnak egy személy személyazonosságáról vagy a vállalat képviseletére vonatkozó jogosultságáról van szüksége bizonyítékra, nem pedig csupán a fiókhoz való hozzáférés folytonosságára.
2. Hitelesítő hozzárendelése
Egy hitelesítőt társítanak a fiókhoz vagy a személyazonossághoz. Ilyen lehet például egy jelszó, egy kriptográfiai kulcs vagy egy hitelesítési válaszok generálására használt eszköz. A regisztrációs és hozzárendelési folyamat azért fontos, mert egy erős hitelesítési mechanizmus csak korlátozott védelmet nyújt, ha egy támadó saját hitelesítőjét regisztrálhatja valaki más fiókjához.
3. Bizonyíték bemutatása és ellenőrzése
Amikor hozzáférést vagy jóváhagyást kérnek, az igénylő a kiválasztott hitelesítési protokollon keresztül bizonyítékot szolgáltat. Az ellenőrző megvizsgálja ezt a bizonyítékot. A módszertől függően ez magában foglalhatja a jelszóból származtatott érték ellenőrzését, egy egyszer használatos válasz érvényesítését vagy egy kihívásra adott kriptográfiai aláírás ellenőrzését. Egy jól kialakított kihívás-válasz protokoll képes bizonyítani a titkos kulcs feletti irányítást anélkül, hogy magát a kulcsot továbbítaná.
4. Engedélyezési szabályok alkalmazása
A sikeres hitelesítést külön döntés követi a jogosultságokról. Egy raktári dolgozó jogosult lehet a komissiózási feladatok megtekintésére, de a kifizetési adatok módosítására nem. Egy szállítási integráció létrehozhat címkéket, de felhasználókat nem kezelhet. A hitelesítés azonosítja az érintett fiókot vagy jogosultat; az engedélyezés határozza meg, hogy az adott jogosult milyen műveleteket hajthat végre.
5. Munkamenetek és változások kezelése
A hitelesítés után a rendszer munkamenetet tarthat fenn, így nem szükséges minden művelethez új bejelentkezés. A munkamenetek védelme, a hitelesítő adatok visszavonása, a fiók helyreállítása és a hitelesítő cseréje továbbra is az átfogó folyamat fontos részei. Egy érzékeny művelet, például a visszatérítés célállomásának módosítása, megújított hitelesítést tehet szükségessé akkor is, ha egy munkamenet már aktív.
Hitelesítési tényezők és mechanizmusok
Az emberi felhasználók esetében a hitelesítési tényezőket általában úgy írják le, mint amit egy személy tud, birtokol vagy ami ő maga. Ezek a kategóriák az alkalmazott bizonyítékot írják le; nem határozzák meg automatikusan egy teljes megvalósítás biztonságát. A gép-gép kapcsolatok olyan mechanizmusokat használnak, mint a megosztott titkok, kriptográfiai kulcsok és tanúsítványok, de ezeket nem szabad az emberi bejelentkezési munkafolyamatokkal azonosnak tekinteni.
| Tényező vagy mechanizmus | Példák | Fontos korlátozás |
|---|---|---|
| Tudásalapú tényező | Jelszó vagy PIN-kód | A titkok kitalálhatók, nyilvánosságra kerülhetnek vagy adathalászattal megszerezhetők. |
| Birtokláson alapuló tényező | Biztonsági kulcs vagy regisztrált hitelesítő eszköz | A védelem a protokolltól, az eszköz biztonságától és a helyreállítási folyamattól függ. |
| Biometrikus jellemző | Ujjlenyomat vagy arcfelismerés a hitelesítő aktiválásához | A biometrikus egyeztetés valószínűségi alapú, és megfelelő védelmi intézkedéseket igényel. |
| Gépi hitelesítő adat | API-titok, privát kulcs vagy ügyféltanúsítvány | Az ellopott hitelesítő adat lehetővé teheti, hogy egy másik rendszer a jogosult alkalmazást megszemélyesítse. |
A többtényezős hitelesítés különálló hitelesítési tényezőket kombinál. Két jelszó nem jelent két különböző tényezőt. Hasonlóképpen, egy több képernyőből álló munkafolyamat sem feltétlenül többtényezős hitelesítés. A lényeges kérdés az, hogy a folyamat független bizonyítéktípusokat követel-e meg, nem pedig az, hogy a felhasználó hány lépést lát.
Az adathalászattal szembeni ellenállás szintén különálló tulajdonság. Egy módszer több tényezőt is alkalmazhat, miközben továbbra is lehetővé teszi a támadó számára a hitelesítési bizonyíték továbbítását vagy rögzítését. A NIST digitális személyazonossági útmutatója a hitelesítési módszereket tulajdonságaik és megbízhatósági követelményeik alapján különbözteti meg, ahelyett hogy minden többtényezős módszert felcserélhetőnek tekintene.
Kapcsolódó fogalmak és fontos különbségek
| Fogalom | Jelentés | Kapcsolata az elektronikus hitelesítéssel |
|---|---|---|
| Azonosítás | Azonosító, például fióknév megadása | Megjelöli, melyik személyazonosságot állítják; nem bizonyítja az állítást. |
| Személyazonosság ellenőrzése | A kérelmező személyazonosságának megállapítására szolgáló bizonyítékok értékelése | Megállapíthatja azt a személyazonosságot, amelyhez később a hitelesítőket hozzárendelik. |
| Engedélyezés | Az engedélyezett műveletek és hozzáférések meghatározása | Hitelesített személyazonosságot vagy egyéb szabályzati bemeneteket használ a hozzáférési döntésekhez. |
| Elektronikus aláírás | Nyilvántartás aláírásával összefüggésben használt elektronikus adatok | Azonosíthatja az aláírót és jelezheti a jóváhagyást; a jogi meghatározások és követelmények eltérőek. |
| Digitális aláírás | Privát kulcsot és a hozzá tartozó nyilvános kulcsot használó kriptográfiai mechanizmus | Támogathatja a származás hitelesítését és az aláírt adatok módosításának észlelését. |
| Titkosítás | Információk átalakítása a bizalmasság védelme érdekében | Önmagában nem állapítja meg a kommunikáló fél személyazonosságát. |
| Termék-hitelesítés | Annak ellenőrzése, hogy egy fizikai termék eredeti-e | Magukra az árukra vonatkozik, nem csupán egy fiókhoz való hozzáférésre vagy egy üzenet eredetére. |
Elektronikus aláírás és elektronikus hitelesítési esemény együtt is történhet, de eltérő célokat szolgálnak. Az aláírás kifejezheti egy adott dokumentum vagy tranzakció jóváhagyását. A fiókba való bejelentkezés hozzáférést biztosít az adott fiók hitelesítési szabályai szerint. A bejelentkezés önmagában nem feltétlenül bizonyítja, hogy a felhasználó jóváhagyott egy konkrét dokumentumot.
A digitális aláírás értelmezéséhez bizalmi keretre is szükség van. A sikeres kriptográfiai ellenőrzés azt mutatja, hogy az aláírás megfelel egy adott kulcsnak és az aláírt adatoknak. E kulcs egy megnevezett személyhez, szervezethez vagy hatósághoz való kapcsolása további bizonyítékokat igényel, például megbízható tanúsítványt és megfelelő regisztrációs eljárásokat.
Határokon átnyúló dokumentumok és jogi jelentőség
A határokon átnyúló kereskedelemben az elektronikus hitelesítés támogathatja a vásárlások jóváhagyását, a szállítási utasításokat, a vámbevallásokat és más elektronikus nyilvántartásokat. A technikai ellenőrzés és a jogi elismerés azonban külön kérdés. Egy dokumentum megfelelhet a technikai aláírás-ellenőrzésnek anélkül, hogy teljesítené az adott tranzakcióra vonatkozó valamennyi követelményt.
Az UNCITRAL elektronikus kereskedelemről szóló mintatörvénye az elektronikus nyilvántartásokkal és a papíralapú követelmények funkcionális egyenértékűségével foglalkozik. Az UNCITRAL elektronikus aláírásokról szóló mintatörvénye az elektronikus aláírásokra és azok megbízhatóságára vonatkozó keretet biztosít. Ezek olyan mintatörvények, amelyek a jogalkotás fejlesztését kívánják segíteni; nem jelentenek automatikusan kötelező szabályokat minden nemzetközi tranzakcióra.
Egy konkrét kereskedelmi dokumentum esetében releváns kérdés többek között, hogy a fogadó hatóság elfogadja-e az elektronikus formátumot, hogy az aláíró jogosult-e eljárni, mely aláírási követelmények alkalmazandók, valamint hogy a nyilvántartás megőrizhető és reprodukálható-e az előírások szerint. A hitelesítés nem helyettesíti a vámellenőrzést, nem állapítja meg a vámtarifális besorolást, és nem tanúsítja a számla pontosságát.
Gyakorlati értékelés és a bizonyítékok határai
A hitelesítési munkafolyamat értékeléséhez többre van szükség annak ellenőrzésénél, hogy jelen van-e jelszó vagy ellenőrző kód. Az alábbi kérdések segítenek meghatározni, hogy a folyamat ténylegesen milyen bizonyítékot szolgáltat:
- Kit vagy mit hitelesítenek? Különítse el a személyt, a fiókot, a szervezetet, az alkalmazást, az eszközt és a dokumentum forrását.
- Hogyan állapították meg az állított személyazonosságot? Egy e-mailben regisztrált fiók és egy személyazonosság-ellenőrzött vállalati képviselő eltérő bizonyítékot szolgáltat.
- Mely műveletre vonatkozik? Egy nyomkövetési oldalhoz való hozzáférést nem szabad összetéveszteni a kézbesítési cím vagy a fizetési célállomás módosításának jóváhagyásával.
- Mivel szemben áll ellen a mechanizmus? Vegye figyelembe az adathalászatot, az újrajátszást, a hitelesítő adatok ellopását és a jogosulatlan regisztrációt, ne csupán a bejelentkezési lépések számát.
- Hogyan állítják helyre vagy cserélik le a hitelesítő adatokat? Egy gyenge helyreállítási útvonal alááshatja a mindennapi hitelesítés erősebb védelmét.
- Visszavonható a hozzáférés? A távozó alkalmazottak és megszüntetett integrációk nem tarthatnak fenn szükségtelen hozzáférést.
- Milyen bizonyítékokat őriznek meg? A nyilvántartásoknak külön kell választaniuk a hitelesítést, az engedélyezést, a dokumentum jóváhagyását és az ezt követő üzleti műveleteket.
A hitelesítési naplók támogathatnak egy vizsgálatot, de nem bizonyítják automatikusan, hogy egy adott műveletet konkrétan egy ember hajtott végre. A megosztott fiókok, a feltört eszközök, az ellopott munkamenetek és a delegált hozzáférés megnehezíthetik a hozzárendelést. Hasonlóképpen, amikor egy ügyfél megad egy kézbesítési kódot, az a kézbesítési munkafolyamat által meghatározott bizonyítékot szolgáltatja, nem pedig korlátlan garanciát a címzett jogi személyazonosságára vagy az áruk állapotára.
GYIK
Mit jelent az elektronikus hitelesítés az elektronikus kereskedelemben?
Az állított személyazonossághoz vagy forráshoz kapcsolódó elektronikus bizonyítékok ellenőrzését jelenti, például egy kereskedői bejelentkezés vagy egy alkalmazás hitelesítő adatainak ellenőrzését. Ellenőrzött hozzáférést támogat, de önállóan nem érvényesíti az alapul szolgáló vásárlást vagy szállítmányt.
Az elektronikus hitelesítés ugyanaz, mint az elektronikus aláírás?
Nem. A hitelesítés egy állított személyazonosságot vagy forrást ellenőriz. Az elektronikus aláírás egy nyilvántartás aláírásához kapcsolódik, és jóváhagyást jelezhet. Egy tranzakció mindkettőt használhatja, de egyik sem állapítja meg automatikusan a másikat.
A hitelesítés bizonyítja, hogy egy szállítmányt kézbesítettek?
Nem. Bizonyítékot szolgáltathat a kézbesítési interakcióban részt vevő fiókról, eszközről vagy személyről. Maga a kézbesítés a szállítmányhoz és az alkalmazandó kézbesítési folyamathoz kapcsolódó bizonyítékokat igényel.
Az elektronikus hitelesítés mindenhol jogilag érvényessé tesz egy kereskedelmi dokumentumot?
Nem. A jogi elismerés az alkalmazandó jogtól, a dokumentumkövetelményektől, a fogadó hatóságtól és a tranzakció körülményeitől függ. A technikai hitelesítés önmagában nem oldja meg ezeket a kérdéseket.
Források
- NIST SP 800-63B-4: Digitális személyazonossági irányelvek — Hitelesítés és hitelesítőkezelés — Hitelesítési fogalmak, tényezők, hitelesítőkezelés, adathalászattal szembeni ellenállás és munkamenet-szempontok.
- NIST SP 800-63A-4: Digitális személyazonossági irányelvek — Személyazonosság ellenőrzése és regisztráció — A személyazonosság megállapítása és a fiók ezt követő hitelesítése közötti különbség.
- UNCITRAL mintatörvény az elektronikus kereskedelemről — Elektronikus nyilvántartások, funkcionális egyenértékűség és az elektronikus kereskedelem jogalkotási háttere.
- UNCITRAL mintatörvény az elektronikus aláírásokról — Elektronikus aláírási fogalmak, megbízhatóság, valamint a mintajogi keret és az alkalmazandó nemzeti jog közötti különbség.
