Autenticazione elettronica
Che cos'è l'autenticazione elettronica?
L'autenticazione elettronica è il processo di verifica, tramite mezzi elettronici, che un utente, un'organizzazione, un dispositivo o un messaggio digitale sia associato all'identità o alla fonte che dichiara di essere. Nell'e-commerce e nella logistica, contribuisce a stabilire chi sta accedendo a un account commerciante, inviando istruzioni di spedizione, collegandosi a un sistema aziendale o approvando una transazione elettronica. L'autenticazione fornisce elementi di prova sull'identità o sull'origine; da sola, tuttavia, non stabilisce che un ordine sia legittimo, che le merci corrispondano a una descrizione o che una spedizione sia stata consegnata.
Il termine ha significati correlati ma distinti nell'ambito della sicurezza delle informazioni e del diritto del commercio elettronico. Nei sistemi di identità digitale, autenticazione significa generalmente verificare che un soggetto che dichiara un'identità controlli un autenticatore associato a un account. Nei flussi di lavoro relativi ai documenti elettronici, può riferirsi più ampiamente alla determinazione dell'origine o dell'autenticità di un documento, talvolta utilizzando firme elettroniche o metodi crittografici. Il significato previsto dipende quindi da ciò che viene autenticato e dal quadro tecnico o giuridico applicabile.
Ruolo nell'e-commerce e nella logistica
L'autenticazione elettronica opera nei punti in cui persone e sistemi scambiano istruzioni, accedono a informazioni o approvano azioni. Supporta i rapporti di fiducia che circondano un ordine, piuttosto che il movimento fisico delle merci. Un commerciante, un operatore di magazzino, un vettore, un intermediario doganale e un cliente possono interagire ciascuno con sistemi di autenticazione diversi durante la stessa transazione.
Ad esempio, un dipendente di magazzino può autenticarsi prima di accedere a un'applicazione per la gestione dell'inventario. Il software di un commerciante può autenticarsi quando richiede etichette di spedizione tramite un'interfaccia di programmazione delle applicazioni, o API. Un rappresentante aziendale può utilizzare una firma elettronica per approvare un documento commerciale. Queste attività comportano prove e controlli diversi, anche se tutte possono costituire parte di un flusso di lavoro autenticato elettronicamente.
| Contesto aziendale | Cosa può essere autenticato | Cosa l'autenticazione non stabilisce |
|---|---|---|
| Accesso all'account commerciante | Controllo di un autenticatore collegato all'account | Che ogni azione eseguita tramite l'account sia commercialmente legittima |
| Accesso all'applicazione di magazzino | L'account del dipendente o il dispositivo che si connette al sistema | Che il conteggio delle scorte o il risultato del prelievo siano accurati |
| Connessione all'API di spedizione | L'applicazione o l'organizzazione che presenta credenziali accettate | Che i dettagli della spedizione corrispondano al pacco fisico |
| Documento commerciale elettronico | La fonte dichiarata o l'identità del firmatario, a seconda del meccanismo | Che ogni dichiarazione contenuta nel documento sia vera |
| Interazione del cliente relativa alla consegna | Il controllo di un account, dispositivo o codice richiesto dal flusso di lavoro | Tutti gli elementi necessari per determinare consegna, proprietà o responsabilità |
Queste sono applicazioni esemplificative, non un insieme universale di requisiti. Il metodo appropriato dipende dalle conseguenze dell'accesso non autorizzato, dalle parti coinvolte e da eventuali requisiti contrattuali o normativi applicabili.
Come funziona l'autenticazione elettronica
1. Stabilire l'account o il rapporto di fiducia
Prima che un evento di autenticazione possa avere valore, un sistema deve disporre di una base per riconoscere il soggetto che dichiara un'identità. Ciò può comportare la creazione di un account, il controllo delle prove d'identità, la registrazione di un'organizzazione o l'emissione di credenziali per un'applicazione software. La verifica dell'identità e l'autenticazione sono attività separate: la verifica dell'identità valuta chi sia il richiedente, mentre l'autenticazione controlla successivamente il controllo di un autenticatore associato a tale identità o account.
Non tutti gli account commerciali sono collegati a un'identità legale verificata. Un sistema può stabilire soltanto che lo stesso titolare dell'account è tornato. Questa distinzione è importante quando un'azienda necessita di prove dell'identità di una persona o della sua autorità a rappresentare un'azienda, anziché della semplice continuità dell'accesso all'account.
2. Associare un autenticatore
Un autenticatore viene associato all'account o all'identità. Tra gli esempi figurano una password, una chiave crittografica o un dispositivo utilizzato per generare risposte di autenticazione. Il processo di registrazione e associazione è importante perché un meccanismo di autenticazione forte offre una protezione limitata se un aggressore può registrare il proprio autenticatore sull'account di qualcun altro.
3. Presentare e verificare le prove
Quando viene richiesto l'accesso o l'approvazione, il soggetto che dichiara un'identità fornisce prove tramite il protocollo di autenticazione selezionato. Il verificatore controlla tali prove. A seconda del metodo, ciò può comportare il controllo di un valore derivato dalla password, la convalida di una risposta monouso o la verifica di una firma crittografica su una richiesta. Un protocollo di richiesta-risposta ben progettato può dimostrare il controllo di una chiave segreta senza trasmettere la chiave stessa.
4. Applicare le regole di autorizzazione
Un'autenticazione riuscita è seguita da una decisione separata relativa ai permessi. Un addetto di magazzino può essere autorizzato a visualizzare le attività di prelievo, ma non a modificare i dati di pagamento. Un'integrazione di spedizione può essere autorizzata a creare etichette, ma non a gestire gli utenti. L'autenticazione identifica l'account o il soggetto coinvolto; l'autorizzazione determina le azioni che tale soggetto può eseguire.
5. Gestire sessioni e modifiche
Dopo l'autenticazione, un sistema può mantenere una sessione anziché richiedere un nuovo accesso per ogni azione. La protezione della sessione, la revoca delle credenziali, il recupero dell'account e la sostituzione dell'autenticatore restano parti importanti del processo complessivo. Un'azione sensibile, come la modifica della destinazione di un rimborso, può richiedere una nuova autenticazione anche quando una sessione è già attiva.
Fattori e meccanismi di autenticazione
Per gli utenti umani, i fattori di autenticazione sono comunemente descritti come qualcosa che una persona conosce, possiede o è. Queste categorie descrivono le prove utilizzate; non determinano automaticamente la sicurezza di un'implementazione completa. Le connessioni da macchina a macchina utilizzano meccanismi quali segreti condivisi, chiavi crittografiche e certificati, ma non dovrebbero essere trattate come identiche ai flussi di accesso degli utenti umani.
| Fattore o meccanismo | Esempi | Limitazione importante |
|---|---|---|
| Fattore di conoscenza | Password o PIN | I segreti possono essere indovinati, divulgati o acquisiti tramite phishing. |
| Fattore di possesso | Chiave di sicurezza o dispositivo autenticatore registrato | La protezione dipende dal protocollo, dalla sicurezza del dispositivo e dal processo di recupero. |
| Caratteristica biometrica | Impronta digitale o riconoscimento facciale utilizzati per attivare un autenticatore | La corrispondenza biometrica è probabilistica e richiede garanzie adeguate. |
| Credenziale della macchina | Segreto API, chiave privata o certificato client | Una credenziale rubata può consentire a un altro sistema di impersonare l'applicazione autorizzata. |
L'autenticazione a più fattori combina fattori di autenticazione distinti. Due password non costituiscono due fattori diversi. Allo stesso modo, un flusso di lavoro con diverse schermate non è necessariamente un'autenticazione a più fattori. La domanda rilevante è se il processo richieda forme indipendenti di prova, non quanti passaggi visualizzi l'utente.
La resistenza al phishing è un'altra proprietà distinta. Un metodo può coinvolgere più fattori e consentire comunque a un aggressore di inoltrare o acquisire le prove di autenticazione. Le linee guida sull'identità digitale del NIST distinguono i metodi di autenticazione in base alle loro proprietà e ai requisiti di garanzia, invece di trattare tutti i metodi a più fattori come intercambiabili.
Termini correlati e distinzioni importanti
| Termine | Significato | Rapporto con l'autenticazione elettronica |
|---|---|---|
| Identificazione | Presentazione di un identificatore, come il nome di un account | Dichiara quale identità viene rivendicata; non dimostra la rivendicazione. |
| Verifica dell'identità | Valutazione delle prove per stabilire l'identità del richiedente | Può stabilire l'identità alla quale saranno successivamente associati gli autenticatori. |
| Autorizzazione | Determinazione delle azioni e degli accessi consentiti | Utilizza un'identità autenticata o altri elementi delle policy per prendere decisioni sull'accesso. |
| Firma elettronica | Dati elettronici utilizzati in relazione alla firma di un documento | Può identificare un firmatario e indicare un'approvazione; le definizioni e i requisiti giuridici variano. |
| Firma digitale | Meccanismo crittografico che utilizza una chiave privata e la corrispondente chiave pubblica | Può supportare l'autenticazione dell'origine e il rilevamento di modifiche ai dati firmati. |
| Crittografia | Trasformazione delle informazioni per proteggerne la riservatezza | Da sola, non stabilisce l'identità della parte comunicante. |
| Autenticazione del prodotto | Verifica dell'autenticità di un articolo fisico | Riguarda le merci stesse, non il semplice accesso a un account o l'origine di un messaggio. |
Una firma elettronica e un evento di autenticazione elettronica possono verificarsi insieme, ma hanno scopi diversi. La firma può esprimere l'approvazione di un documento o di una transazione specifica. L'accesso a un account stabilisce l'accesso in base alle regole di autenticazione di quell'account. Un semplice accesso non dimostra necessariamente che l'utente abbia approvato un documento specifico.
Anche una firma digitale richiede un'interpretazione all'interno di un quadro di fiducia. La verifica crittografica riuscita dimostra che la firma corrisponde a una determinata chiave e ai dati firmati. Collegare tale chiave a una persona, organizzazione o autorità nominata richiede ulteriori prove, come un certificato attendibile e procedure di registrazione appropriate.
Documenti transfrontalieri e rilevanza giuridica
Nel commercio transfrontaliero, l'autenticazione elettronica può supportare approvazioni di acquisto, istruzioni di spedizione, dichiarazioni doganali e altri documenti elettronici. Tuttavia, la verifica tecnica e il riconoscimento giuridico sono questioni separate. Un documento può superare un controllo tecnico della firma senza soddisfare ogni requisito applicabile alla sua specifica transazione.
La Legge modello UNCITRAL sul commercio elettronico tratta i documenti elettronici e gli equivalenti funzionali dei requisiti basati su supporto cartaceo. La Legge modello UNCITRAL sulle firme elettroniche fornisce un quadro relativo alle firme elettroniche e alla loro affidabilità. Si tratta di leggi modello destinate ad assistere lo sviluppo legislativo; non sono automaticamente norme vincolanti per ogni transazione internazionale.
Per un determinato documento commerciale, le domande pertinenti includono se l'autorità ricevente accetti il formato elettronico, se il firmatario abbia l'autorità di agire, quali requisiti di firma siano applicabili e se il documento possa essere conservato e riprodotto come richiesto. L'autenticazione non sostituisce il controllo doganale, non stabilisce la classificazione tariffaria e non certifica l'accuratezza di una fattura.
Valutazione pratica e limiti delle prove
La valutazione di un flusso di lavoro di autenticazione richiede più del semplice controllo della presenza di una password o di un codice di verifica. Le domande seguenti aiutano a definire quali prove fornisca effettivamente il processo:
- Chi o cosa viene autenticato? Distinguere tra persona, account, organizzazione, applicazione, dispositivo e fonte del documento.
- Come è stata stabilita l'identità dichiarata? Un account registrato tramite e-mail e un rappresentante aziendale sottoposto a verifica dell'identità forniscono prove diverse.
- Quale azione è coperta? L'accesso a una pagina di tracciamento non deve essere confuso con l'approvazione della modifica di un indirizzo di consegna o di una destinazione di pagamento.
- A cosa resiste il meccanismo? Considerare phishing, replay, furto delle credenziali e registrazione non autorizzata, invece di basarsi solo sul numero di passaggi di accesso.
- Come vengono recuperate o sostituite le credenziali? Un percorso di recupero debole può compromettere un'autenticazione ordinaria più forte.
- È possibile revocare l'accesso? I dipendenti che lasciano l'azienda e le integrazioni dismesse non dovrebbero conservare accessi non necessari.
- Quali prove vengono conservate? I registri dovrebbero distinguere l'autenticazione, l'autorizzazione, l'approvazione del documento e le successive azioni aziendali.
I registri di autenticazione possono supportare un'indagine, ma non dimostrano automaticamente che una determinata persona abbia eseguito un'azione. Account condivisi, dispositivi compromessi, sessioni rubate e accessi delegati possono complicare l'attribuzione. Analogamente, l'inserimento da parte di un cliente di un codice di consegna fornisce le prove definite da quel flusso di consegna, non una garanzia illimitata sull'identità legale del destinatario o sulle condizioni delle merci.
Domande e risposte
Cosa significa autenticazione elettronica nell'e-commerce?
Significa verificare le prove elettroniche associate a un'identità o a una fonte dichiarata, ad esempio verificando l'accesso di un commerciante o le credenziali di un'applicazione. Supporta l'accesso controllato, ma non convalida autonomamente l'acquisto o la spedizione sottostante.
L'autenticazione elettronica è uguale a una firma elettronica?
No. L'autenticazione verifica un'identità o una fonte dichiarata. Una firma elettronica riguarda la firma di un documento e può indicare un'approvazione. Una transazione può utilizzare entrambe, ma una non stabilisce automaticamente l'altra.
L'autenticazione dimostra che una spedizione è stata consegnata?
No. Può fornire elementi di prova relativi a un account, dispositivo o persona coinvolti in un'interazione di consegna. La consegna richiede prove pertinenti alla spedizione e alla procedura di consegna applicabile.
L'autenticazione elettronica rende valido legalmente un documento commerciale ovunque?
No. Il riconoscimento giuridico dipende dalla legge applicabile, dai requisiti del documento, dall'autorità ricevente e dalle circostanze della transazione. La sola autenticazione tecnica non risolve tali questioni.
Fonti
- NIST SP 800-63B-4: Linee guida sull'identità digitale — Autenticazione e gestione degli autenticatori — Concetti di autenticazione, fattori, gestione degli autenticatori, resistenza al phishing e considerazioni sulle sessioni.
- NIST SP 800-63A-4: Linee guida sull'identità digitale — Verifica dell'identità e registrazione — La distinzione tra la definizione di un'identità e la successiva autenticazione di un account.
- Legge modello UNCITRAL sul commercio elettronico — Documenti elettronici, equivalenza funzionale e contesto legislativo del commercio elettronico.
- Legge modello UNCITRAL sulle firme elettroniche — Concetti di firma elettronica, affidabilità e distinzione tra un quadro legislativo modello e la legge nazionale applicabile.
