Электрондық аутентификация
Электрондық аутентификация дегеніміз не?
Электрондық аутентификация — пайдаланушының, ұйымның, құрылғының немесе цифрлық хабарламаның өзі мәлімдеген тұлғамен не дереккөзбен байланысты екенін электрондық құралдар арқылы тексеру процесі. Электрондық коммерция мен логистикада ол саудагер тіркелгісіне кімнің кіріп жатқанын, жөнелту нұсқауларын кім жіберіп жатқанын, бизнес жүйесіне кім қосылғанын немесе электрондық транзакцияны кім мақұлдап жатқанын анықтауға көмектеседі. Аутентификация тұлға немесе шығу тегі туралы дәлел береді; алайда оның өзі тапсырыстың заңды екенін, тауарлардың сипаттамаға сәйкес келетінін немесе жөнелтілімнің жеткізілгенін анықтамайды.
Бұл термин ақпараттық қауіпсіздік пен электрондық коммерция құқығында өзара байланысты, бірақ ерекшеленетін мағыналарға ие. Цифрлық сәйкестендіру жүйелерінде аутентификация әдетте талап қоюшының тіркелгімен байланысты аутентификаторды басқаратынын тексеруді білдіреді. Электрондық құжат айналымында ол жазбаның шығу тегін немесе түпнұсқалығын анықтауды кеңірек білдіруі мүмкін, кейде электрондық қолтаңбалар немесе криптографиялық әдістер пайдаланылады. Сондықтан нақты мағынасы ненің аутентификацияланып жатқанына және қандай техникалық немесе құқықтық негіз қолданылатынына байланысты.
Электрондық коммерция мен логистикадағы рөлі
Электрондық аутентификация адамдар мен жүйелер нұсқаулар алмасатын, ақпаратқа қол жеткізетін немесе әрекеттерді мақұлдайтын нүктелерде жүзеге асады. Ол тауарлардың физикалық қозғалысының өзіне емес, тапсырысты қоршаған сенім қатынастарына қолдау көрсетеді. Бір транзакция барысында саудагер, қойма операторы, тасымалдаушы, кеден брокері және клиент әртүрлі аутентификация жүйелерімен өзара әрекеттесуі мүмкін.
Мысалы, қойма қызметкері қорларды басқару қолданбасына кірмес бұрын аутентификациядан өтуі мүмкін. Саудагердің бағдарламалық жасақтамасы API арқылы жөнелту жапсырмаларын сұраған кезде аутентификациядан өтуі мүмкін. Компания өкілі сауда құжатын мақұлдау үшін электрондық қолтаңбаны пайдалануы мүмкін. Бұл әрекеттердің барлығы электрондық аутентификацияланған жұмыс процесінің бөлігі бола алатынына қарамастан, олар әртүрлі дәлелдер мен бақылау құралдарын қамтиды.
| Бизнес контексті | Нені аутентификациялауға болады | Аутентификация нені анықтамайды |
|---|---|---|
| Саудагер тіркелгісіне кіру | Тіркелгімен байланыстырылған аутентификаторды басқару | Тіркелгі арқылы жасалған әрбір әрекеттің коммерциялық тұрғыдан заңды екенін |
| Қойма қолданбасына кіру | Жүйеге қосылған қызметкер тіркелгісін немесе құрылғыны | Қорларды санау немесе жинақтау нәтижесінің дұрыс екенін |
| Жөнелту API қосылымы | Қабылданған тіркелгі деректерін ұсынатын қолданбаны немесе ұйымды | Жөнелтілім мәліметтерінің нақты сәлемдемеге сәйкес келетінін |
| Электрондық сауда құжаты | Мәлімделген дереккөзді немесе қол қоюшы тұлғаны, қолданылатын механизмге байланысты | Құжаттағы әрбір мәлімдеменің шын екенін |
| Клиенттің жеткізуге қатысты әрекеті | Жұмыс процесі талап ететін тіркелгіні, құрылғыны немесе кодты басқаруды | Жеткізуді, меншік құқығын немесе жауапкершілікті анықтауға қажетті барлық фактілерді |
Бұл — әмбебап талаптар жиынтығы емес, тек мысал ретінде келтірілген қолданбалар. Тиісті әдіс рұқсатсыз қол жеткізудің салдарына, қатысушы тараптарға және қолданылатын шарттық немесе нормативтік талаптарға байланысты.
Электрондық аутентификация қалай жұмыс істейді
1. Тіркелгіні немесе сенім қатынасын қалыптастыру
Аутентификация оқиғасы мағыналы болуы үшін жүйеде талап қоюшыны танудың негізі болуы керек. Бұл тіркелгі жасауды, жеке басын растайтын дәлелдерді тексеруді, ұйымды тіркеуді немесе бағдарламалық қолданбаға тіркелгі деректерін беруді қамтуы мүмкін. Жеке басты растау мен аутентификация — бөлек әрекеттер: жеке басты растау өтініш берушінің кім екенін бағалайды, ал аутентификация кейіннен сол тұлғамен немесе тіркелгімен байланысты аутентификаторды басқаруды тексереді.
Әрбір коммерциялық тіркелгі расталған заңды тұлғамен байланыстырылмайды. Жүйе тек сол тіркелгі иесінің қайта оралғанын анықтауы мүмкін. Бұл айырмашылық бизнеске тіркелгіге қол жеткізудің үздіксіздігін ғана емес, адамның жеке басын немесе компания атынан әрекет ету өкілеттігін растайтын дәлел қажет болған кезде маңызды.
2. Аутентификаторды байланыстыру
Аутентификатор тіркелгімен немесе тұлғамен байланыстырылады. Оларға құпиясөз, криптографиялық кілт немесе аутентификация жауаптарын жасау үшін пайдаланылатын құрылғы жатады. Тіркеу және байланыстыру процесі маңызды, себебі шабуылдаушы басқа адамның тіркелгісіне өзінің аутентификаторын тіркей алса, күшті аутентификация механизмі шектеулі қорғаныс береді.
3. Дәлелді ұсыну және тексеру
Қол жеткізу немесе мақұлдау сұралған кезде талап қоюшы таңдалған аутентификация протоколы арқылы дәлел ұсынады. Тексеруші бұл дәлелді тексереді. Әдіске қарай құпиясөзден алынған мәнді тексеру, бір реттік жауапты растау немесе шақыруға қатысты криптографиялық қолтаңбаны тексеру қажет болуы мүмкін. Дұрыс жобаланған шақыру-жауап протоколы құпия кілттің өзін жібермей-ақ, сол кілтті басқаруды дәлелдей алады.
4. Авторизация ережелерін қолдану
Сәтті аутентификациядан кейін рұқсаттар туралы бөлек шешім қабылданады. Қойма қызметкеріне жинақтау тапсырмаларын көруге рұқсат берілуі мүмкін, бірақ төлем деректерін өзгертуге рұқсат берілмейді. Жөнелту интеграциясына жапсырмалар жасауға рұқсат етілуі мүмкін, бірақ пайдаланушыларды басқаруға рұқсат етілмейді. Аутентификация қатысушы тіркелгіні немесе субъектіні анықтайды; авторизация сол субъектінің қандай әрекеттерді орындай алатынын белгілейді.
5. Сеанстар мен өзгерістерді басқару
Аутентификациядан кейін жүйе әрбір әрекет үшін қайта кіруді талап етпей, сеансты сақтауы мүмкін. Сеансты қорғау, тіркелгі деректерін қайтарып алу, тіркелгіні қалпына келтіру және аутентификаторды ауыстыру жалпы процестің маңызды бөліктері болып қала береді. Қайтарымды алушыны өзгерту сияқты сезімтал әрекет сеанс белсенді болса да, қайта аутентификациядан өтуді талап етуі мүмкін.
Аутентификация факторлары мен механизмдері
Адам пайдаланушылары үшін аутентификация факторлары әдетте адамның білетін, иеленетін немесе өзі болып табылатын нәрсесі ретінде сипатталады. Бұл санаттар пайдаланылатын дәлелдерді сипаттайды; олар толық іске асырудың қауіпсіздігін автоматты түрде анықтамайды. Машинадан машинаға қосылымдарда ортақ құпиялар, криптографиялық кілттер және сертификаттар сияқты механизмдер пайдаланылады, бірақ оларды адам логині процестерімен бірдей деп қарастыруға болмайды.
| Фактор немесе механизм | Мысалдар | Маңызды шектеу |
|---|---|---|
| Білім факторы | Құпиясөз немесе PIN-код | Құпияларды болжауға, жария етуге немесе фишинг арқылы ұрлауға болады. |
| Иелену факторы | Қауіпсіздік кілті немесе тіркелген аутентификатор құрылғысы | Қорғаныс протоколға, құрылғы қауіпсіздігіне және қалпына келтіру процесіне байланысты. |
| Биометриялық сипаттама | Аутентификаторды іске қосу үшін пайдаланылатын саусақ ізі немесе бет-әлпетті тану | Биометриялық сәйкестендіру ықтималдыққа негізделеді және тиісті қорғаныс шараларын қажет етеді. |
| Машиналық тіркелгі деректері | API құпиясы, жабық кілт немесе клиент сертификаты | Ұрланған тіркелгі деректері басқа жүйеге авторизацияланған қолданбаның атын жамылуға мүмкіндік беруі мүмкін. |
Көп факторлы аутентификация әртүрлі аутентификация факторларын біріктіреді. Екі құпиясөз екі түрлі фактор болып саналмайды. Сол сияқты бірнеше экраны бар жұмыс процесі де міндетті түрде көп факторлы аутентификация емес. Маңыздысы — пайдаланушы қанша қадам көретіні емес, процестің тәуелсіз дәлел түрлерін талап ететіні.
Фишингке төзімділік — тағы бір бөлек қасиет. Әдіс бірнеше факторды қамтығанымен, шабуылдаушыға аутентификация дәлелдерін қайта жіберуге немесе ұстап алуға мүмкіндік беруі мүмкін. NIST цифрлық сәйкестендіру жөніндегі нұсқаулығы барлық көп факторлы әдістерді өзара алмастырылатын деп қарастырмай, аутентификация әдістерін олардың қасиеттері мен сенімділік талаптарына қарай ажыратады.
Қатысты терминдер мен маңызды айырмашылықтар
| Термин | Мағынасы | Электрондық аутентификациямен байланысы |
|---|---|---|
| Сәйкестендіру | Тіркелгі атауы сияқты идентификаторды ұсыну | Қай тұлға мәлімделіп тұрғанын көрсетеді, бірақ мәлімдемені дәлелдемейді. |
| Жеке басты растау | Өтініш берушінің жеке басын анықтау үшін дәлелдерді бағалау | Кейін аутентификаторлар байланыстырылатын тұлғаны анықтай алады. |
| Авторизация | Рұқсат етілген әрекеттер мен қол жеткізуді анықтау | Қол жеткізу туралы шешім қабылдау үшін аутентификацияланған тұлғаны немесе басқа саясат деректерін пайдаланады. |
| Электрондық қолтаңба | Жазбаға қол қоюға байланысты пайдаланылатын электрондық деректер | Қол қоюшыны анықтап, мақұлдауды білдіруі мүмкін; құқықтық анықтамалар мен талаптар әртүрлі болады. |
| Цифрлық қолтаңба | Жабық кілт пен оған сәйкес ашық кілтті пайдаланатын криптографиялық механизм | Шығу тегін аутентификациялауға және қол қойылған деректердің өзгертілгенін анықтауға қолдау көрсете алады. |
| Шифрлау | Құпиялылықты қорғау үшін ақпаратты түрлендіру | Оның өзі байланысушы тараптың жеке басын анықтамайды. |
| Өнімнің түпнұсқалығын растау | Физикалық заттың түпнұсқа екенін тексеру | Тек тіркелгіге қол жеткізуге немесе хабарламаның шығу тегіне емес, тауарлардың өзіне қатысты. |
Электрондық қолтаңба мен электрондық аутентификация оқиғасы қатар орын алуы мүмкін, бірақ олардың мақсаттары әртүрлі. Қол қою белгілі бір құжатты немесе транзакцияны мақұлдауды білдіреді. Тіркелгіге кіру сол тіркелгінің аутентификация ережелері негізінде қол жеткізуді орнатады. Жалғыз кіру әрекеті пайдаланушының нақты құжатты мақұлдағанын міндетті түрде дәлелдемейді.
Цифрлық қолтаңба да сенім негізінде түсіндірілуі керек. Криптографиялық тексерудің сәтті өтуі қолтаңбаның белгілі бір кілт пен қол қойылған деректерге сәйкес екенін көрсетеді. Бұл кілтті белгілі бір адаммен, ұйыммен немесе уәкілетті тұлғамен байланыстыру үшін сенімді сертификат пен тиісті тіркеу рәсімдері сияқты қосымша дәлелдер қажет.
Трансшекаралық құжаттар және құқықтық маңызы
Трансшекаралық саудада электрондық аутентификация сатып алуды мақұлдауға, жөнелту нұсқауларына, кедендік өтінімдерге және басқа электрондық жазбаларға қолдау көрсетуі мүмкін. Алайда техникалық тексеру мен құқықтық тану — бөлек мәселелер. Құжат техникалық қолтаңба тексеруінен өтіп, сонымен бірге нақты транзакцияға қолданылатын барлық талаптарға сәйкес келмеуі мүмкін.
Электрондық коммерция туралы UNCITRAL үлгілік заңы электрондық жазбалар мен қағазға негізделген талаптардың функционалдық баламаларын қарастырады. Электрондық қолтаңбалар туралы UNCITRAL үлгілік заңы электрондық қолтаңбалар мен олардың сенімділігіне қатысты негіз береді. Бұл үлгілік заңдар заңнаманы дамытуға көмектесуге арналған; олар әрбір халықаралық транзакция үшін автоматты түрде міндетті ережелер болып саналмайды.
Нақты сауда құжатына қатысты маңызды мәселелерге қабылдаушы органның электрондық форматты қабылдайтыны, қол қоюшының әрекет етуге өкілеттігі бар-жоғы, қандай қолтаңба талаптарының қолданылатыны және жазбаны талап етілгендей сақтап, қайта шығару мүмкіндігі жатады. Аутентификация кедендік тексеруді алмастырмайды, тарифтік жіктеуді белгілемейді және шот-фактураның дұрыстығын растамайды.
Практикалық бағалау және дәлел шекаралары
Аутентификация жұмыс процесін бағалау құпиясөздің немесе растау кодының бар-жоғын тексерумен шектелмейді. Келесі сұрақтар процестің нақты қандай дәлел беретінін анықтауға көмектеседі:
- Кім немесе не аутентификацияланып жатыр? Адамды, тіркелгіні, ұйымды, қолданбаны, құрылғыны және құжаттың дереккөзін ажыратыңыз.
- Мәлімделген тұлға қалай анықталды? Электрондық пошта арқылы тіркелген тіркелгі мен жеке басы расталған бизнес өкілі әртүрлі дәлел береді.
- Қандай әрекет қамтылады? Бақылау бетіне кіруді жеткізу мекенжайын немесе төлем алушыны өзгертуге рұқсатпен шатастырмау керек.
- Механизм неге төтеп береді? Тек кіру қадамдарының санына сүйенбей, фишингті, қайта жіберу шабуылдарын, тіркелгі деректерін ұрлауды және рұқсатсыз тіркеуді ескеріңіз.
- Тіркелгі деректері қалай қалпына келтіріледі немесе ауыстырылады? Әлсіз қалпына келтіру жолы күнделікті аутентификацияның күшті қорғанысын әлсіретуі мүмкін.
- Қол жеткізуді қайтарып алуға бола ма? Жұмыстан кеткен қызметкерлер мен тоқтатылған интеграциялар қажетсіз қол жеткізуді сақтамауы керек.
- Қандай дәлел сақталады? Жазбалар аутентификацияны, авторизацияны, құжатты мақұлдауды және кейінгі бизнес әрекеттерін ажыратуы керек.
Аутентификация журналдары тергеуге қолдау көрсете алады, бірақ олардың өзі белгілі бір әрекетті нақты адамның орындағанын автоматты түрде дәлелдемейді. Ортақ тіркелгілер, бұзылған құрылғылар, ұрланған сеанстар және берілген қол жеткізу әрекетті нақты тұлғаға жатқызуды қиындатуы мүмкін. Сол сияқты клиенттің жеткізу кодын енгізуі сол жеткізу процесінде белгіленген дәлелді береді, бірақ алушының заңды тұлғасы немесе тауарлардың жай-күйі туралы шексіз кепілдік бермейді.
Сұрақ-жауап
Электрондық коммерциядағы электрондық аутентификация нені білдіреді?
Бұл мәлімделген тұлғаға немесе дереккөзге байланысты электрондық дәлелдерді, мысалы, саудагердің логинін немесе қолданбаның тіркелгі деректерін тексеруді білдіреді. Ол бақыланатын қол жеткізуді қолдайды, бірақ негізгі сатып алудың немесе жөнелтілімнің дұрыстығын өздігінен растамайды.
Электрондық аутентификация электрондық қолтаңбамен бірдей ме?
Жоқ. Аутентификация мәлімделген тұлғаны немесе дереккөзді тексереді. Электрондық қолтаңба жазбаға қол қоюға қатысты және мақұлдауды білдіруі мүмкін. Транзакция екеуін де пайдалана алады, бірақ біреуі екіншісін автоматты түрде анықтамайды.
Аутентификация жөнелтілімнің жеткізілгенін дәлелдей ме?
Жоқ. Ол жеткізу әрекетіне қатысқан тіркелгі, құрылғы немесе адам туралы дәлелдің бір бөлігі болуы мүмкін. Жеткізудің өзі жөнелтілімге және қолданылатын жеткізу процесіне қатысты дәлелдерді талап етеді.
Электрондық аутентификация сауда құжатын барлық жерде заңды жарамды етеді ме?
Жоқ. Құқықтық тану қолданылатын заңға, құжат талаптарына, қабылдаушы органға және транзакция жағдайларына байланысты. Техникалық аутентификацияның өзі бұл мәселелерді шешпейді.
Дереккөздер
- NIST SP 800-63B-4: Цифрлық сәйкестендіру жөніндегі нұсқаулық — Аутентификация және аутентификаторларды басқару — Аутентификация ұғымдары, факторлар, аутентификаторларды басқару, фишингке төзімділік және сеанстарға қатысты мәселелер.
- NIST SP 800-63A-4: Цифрлық сәйкестендіру жөніндегі нұсқаулық — Жеке басты растау және тіркеу — Тұлғаны анықтау мен кейіннен тіркелгіні аутентификациялау арасындағы айырмашылық.
- Электрондық коммерция туралы UNCITRAL үлгілік заңы — Электрондық жазбалар, функционалдық баламалылық және электрондық коммерцияның заңнамалық негізі.
- Электрондық қолтаңбалар туралы UNCITRAL үлгілік заңы — Электрондық қолтаңба ұғымдары, сенімділік және үлгілік заңнамалық негіз бен қолданылатын ұлттық құқық арасындағы айырмашылық.
