Elektroninis autentifikavimas
Kas yra elektroninis autentifikavimas?
Elektroninis autentifikavimas – tai procesas, kurio metu elektroninėmis priemonėmis tikrinama, ar naudotojas, organizacija, įrenginys arba skaitmeninis pranešimas yra susijęs su tapatybe ar šaltiniu, kurį jis nurodo. Elektroninėje prekyboje ir logistikoje tai padeda nustatyti, kas jungiasi prie prekybininko paskyros, pateikia siuntimo instrukcijas, jungiasi prie verslo sistemos arba tvirtina elektroninę operaciją. Autentifikavimas pateikia tapatybės arba kilmės įrodymus; tačiau vienas pats jis nenustato, kad užsakymas yra teisėtas, prekės atitinka aprašymą arba siunta buvo pristatyta.
Šis terminas informacijos saugumo ir elektroninės prekybos teisėje turi susijusias, tačiau skirtingas reikšmes. Skaitmeninės tapatybės sistemose autentifikavimas paprastai reiškia patikrinimą, ar tapatybę pareiškiantis asmuo kontroliuoja su paskyra susietą autentifikavimo priemonę. Elektroninių dokumentų darbo procesuose jis gali reikšti platesnį įrašo kilmės arba autentiškumo nustatymą, kartais naudojant elektroninius parašus ar kriptografinius metodus. Todėl numatoma reikšmė priklauso nuo to, kas autentifikuojama ir kokia techninė ar teisinė sistema taikoma.
Vaidmuo elektroninėje prekyboje ir logistikoje
Elektroninis autentifikavimas vyksta tose vietose, kur žmonės ir sistemos keičiasi instrukcijomis, gauna prieigą prie informacijos arba tvirtina veiksmus. Jis palaiko su užsakymu susijusius pasitikėjimo santykius, o ne patį fizinį prekių judėjimą. Tas pats sandoris gali apimti prekybininko, sandėlio operatoriaus, vežėjo, muitinės tarpininko ir kliento sąveiką su skirtingomis autentifikavimo sistemomis.
Pavyzdžiui, sandėlio darbuotojas prieš prisijungdamas prie atsargų programos gali būti autentifikuojamas. Prekybininko programinė įranga gali būti autentifikuojama, kai per taikomųjų programų programavimo sąsają arba API prašo siuntimo etikečių. Verslo atstovas, tvirtindamas prekybos dokumentą, gali naudoti elektroninį parašą. Šie veiksmai apima skirtingus įrodymus ir kontrolės priemones, nors visi jie gali būti elektroniniu būdu autentifikuoto darbo proceso dalis.
| Verslo kontekstas | Kas gali būti autentifikuojama | Ko autentifikavimas nenustato |
|---|---|---|
| Prieiga prie prekybininko paskyros | Su paskyra susietos autentifikavimo priemonės kontrolė | Kad kiekvienas per paskyrą atliktas veiksmas yra komerciškai teisėtas |
| Prieiga prie sandėlio programos | Prie sistemos jungiančio darbuotojo paskyra arba įrenginys | Kad atsargų skaičius arba surinkimo rezultatas yra tikslus |
| Siuntimo API ryšys | Priimtais prisijungimo duomenimis prisistatanti programa arba organizacija | Kad siuntos duomenys atitinka fizinį paketą |
| Elektroninis prekybos dokumentas | Nurodytas šaltinis arba pasirašančio asmens tapatybė, atsižvelgiant į mechanizmą | Kad kiekvienas dokumente pateiktas teiginys yra teisingas |
| Kliento sąveika pristatymo metu | Paskyros, įrenginio arba darbo procese reikalingo kodo kontrolė | Visi faktai, reikalingi pristatymui, nuosavybei ar atsakomybei nustatyti |
Šie pavyzdžiai yra iliustraciniai, o ne universalus reikalavimų rinkinys. Tinkamas metodas priklauso nuo neteisėtos prieigos pasekmių, susijusių šalių ir taikomų sutartinių arba reguliavimo reikalavimų.
Kaip veikia elektroninis autentifikavimas
1. Paskyros arba pasitikėjimo santykių nustatymas
Kad autentifikavimo įvykis būtų prasmingas, sistema turi turėti pagrindą, pagal kurį atpažintų tapatybę pareiškiantį asmenį. Tai gali apimti paskyros sukūrimą, tapatybės įrodymų patikrinimą, organizacijos registravimą arba prisijungimo duomenų išdavimą programinei įrangai. Tapatybės patvirtinimas ir autentifikavimas yra atskiri veiksmai: tapatybės patvirtinimo metu vertinama, kas yra pareiškėjas, o vėliau autentifikavimo metu tikrinama su ta tapatybe arba paskyra susietos autentifikavimo priemonės kontrolė.
Ne kiekviena komercinė paskyra yra susieta su patvirtinta juridine tapatybe. Sistema gali nustatyti tik tai, kad sugrįžo tas pats paskyros turėtojas. Šis skirtumas svarbus, kai verslui reikia asmens tapatybės arba jo įgaliojimų atstovauti įmonei įrodymų, o ne vien paskyros prieigos tęstinumo.
2. Autentifikavimo priemonės susiejimas
Autentifikavimo priemonė susiejama su paskyra arba tapatybe. Pavyzdžiui, tai gali būti slaptažodis, kriptografinis raktas arba įrenginys, naudojamas autentifikavimo atsakams generuoti. Registravimo ir susiejimo procesas yra svarbus, nes stiprus autentifikavimo mechanizmas suteikia ribotą apsaugą, jei užpuolikas gali susieti savo autentifikavimo priemonę su kito asmens paskyra.
3. Įrodymų pateikimas ir tikrinimas
Kai prašoma prieigos arba patvirtinimo, tapatybę pareiškiantis asmuo pateikia įrodymus naudodamas pasirinktą autentifikavimo protokolą. Tikrintojas šiuos įrodymus patikrina. Priklausomai nuo metodo, gali būti tikrinama iš slaptažodžio gauta reikšmė, vienkartinis atsakas arba kriptografinis parašas, sukurtas pagal iššūkį. Tinkamai suprojektuotas iššūkio ir atsako protokolas gali įrodyti slaptojo rakto kontrolę, neperduodant paties rakto.
4. Prieigos teisių taisyklių taikymas
Po sėkmingo autentifikavimo atskirai priimamas sprendimas dėl leidimų. Sandėlio darbuotojui gali būti leidžiama peržiūrėti surinkimo užduotis, bet ne keisti išmokėjimo duomenis. Siuntimo integracijai gali būti leidžiama kurti etiketes, bet ne valdyti naudotojus. Autentifikavimas nustato susijusią paskyrą arba subjektą, o autorizavimas nustato veiksmus, kuriuos tas subjektas gali atlikti.
5. Seansų ir pakeitimų valdymas
Po autentifikavimo sistema gali palaikyti seansą, užuot reikalavusi naujo prisijungimo atliekant kiekvieną veiksmą. Seanso apsauga, prisijungimo duomenų atšaukimas, paskyros atkūrimas ir autentifikavimo priemonės pakeitimas išlieka svarbiomis viso proceso dalimis. Atliekant slaptą veiksmą, pavyzdžiui, keičiant lėšų grąžinimo paskirties vietą, gali būti reikalaujama pakartotinio autentifikavimo, net jei seansas jau aktyvus.
Autentifikavimo veiksniai ir mechanizmai
Žmonių naudotojams autentifikavimo veiksniai paprastai apibūdinami kaip tai, ką asmuo žino, turi arba kuo yra. Šios kategorijos apibūdina naudojamus įrodymus; jos automatiškai nenustato viso įgyvendinimo saugumo. Mašinų tarpusavio ryšiai naudoja tokius mechanizmus kaip bendros paslaptys, kriptografiniai raktai ir sertifikatai, tačiau jų nereikėtų laikyti tapačiais žmogaus prisijungimo procesams.
| Veiksnys arba mechanizmas | Pavyzdžiai | Svarbus apribojimas |
|---|---|---|
| Žinojimo veiksnys | Slaptažodis arba PIN kodas | Paslaptys gali būti atspėtos, atskleistos arba perimtos per fišingą. |
| Turėjimo veiksnys | Saugos raktas arba užregistruotas autentifikavimo įrenginys | Apsauga priklauso nuo protokolo, įrenginio saugumo ir atkūrimo proceso. |
| Biometrinė charakteristika | Pirštų atspaudai arba veido atpažinimas, naudojami autentifikavimo priemonei aktyvinti | Biometrinis sutapatinimas yra tikimybinis ir reikalauja tinkamų apsaugos priemonių. |
| Mašininiai prisijungimo duomenys | API paslaptis, privatusis raktas arba kliento sertifikatas | Pavogti prisijungimo duomenys gali leisti kitai sistemai apsimesti autorizuota programa. |
Daugiafaktorinis autentifikavimas sujungia skirtingus autentifikavimo veiksnius. Du slaptažodžiai nesudaro dviejų skirtingų veiksnių. Taip pat darbo procesas su keliais ekranais nebūtinai yra daugiafaktorinis autentifikavimas. Svarbu, ar procesas reikalauja nepriklausomų įrodymų formų, o ne kiek veiksmų mato naudotojas.
Atsparumas fišingui yra dar viena atskira savybė. Metodas gali apimti kelis veiksnius, tačiau vis tiek leisti užpuolikui perduoti kitur arba perimti autentifikavimo įrodymus. NIST skaitmeninės tapatybės gairėse autentifikavimo metodai skirstomi pagal jų savybes ir patikimumo reikalavimus, o ne laikomi tarpusavyje pakeičiamais vien todėl, kad yra daugiafaktoriniai.
Susiję terminai ir svarbūs skirtumai
| Terminas | Reikšmė | Santykis su elektroniniu autentifikavimu |
|---|---|---|
| Identifikavimas | Identifikatoriaus, pavyzdžiui, paskyros pavadinimo, pateikimas | Nurodo, kuri tapatybė teigiama, tačiau teiginio neįrodo. |
| Tapatybės patvirtinimas | Įrodymų vertinimas siekiant nustatyti pareiškėjo tapatybę | Gali nustatyti tapatybę, su kuria vėliau susiejamos autentifikavimo priemonės. |
| Autorizavimas | Leistinų veiksmų ir prieigos nustatymas | Prieigos sprendimams priimti naudoja autentifikuotą tapatybę arba kitus politikos duomenis. |
| Elektroninis parašas | Elektroniniai duomenys, naudojami pasirašant įrašą | Gali nustatyti pasirašantį asmenį ir parodyti pritarimą; teisiniai apibrėžimai ir reikalavimai skiriasi. |
| Skaitmeninis parašas | Kriptografinis mechanizmas, naudojantis privatųjį raktą ir atitinkamą viešąjį raktą | Gali padėti autentifikuoti kilmę ir aptikti pasirašytų duomenų pakeitimus. |
| Šifravimas | Informacijos pakeitimas siekiant apsaugoti jos konfidencialumą | Vienas pats nenustato komunikuojančios šalies tapatybės. |
| Produkto autentifikavimas | Patikrinimas, ar fizinis daiktas yra tikras | Susijęs su pačiomis prekėmis, o ne vien prieiga prie paskyros ar pranešimo kilme. |
Elektroninis parašas ir elektroninio autentifikavimo įvykis gali įvykti kartu, tačiau jų paskirtis skiriasi. Pasirašymas gali išreikšti pritarimą konkrečiam dokumentui ar sandoriui. Prisijungimas prie paskyros nustato prieigą pagal tos paskyros autentifikavimo taisykles. Vien prisijungimas nebūtinai įrodo, kad naudotojas patvirtino konkretų dokumentą.
Skaitmeninis parašas taip pat turi būti aiškinamas pasitikėjimo sistemos kontekste. Sėkmingas kriptografinis patikrinimas parodo, kad parašas atitinka konkretų raktą ir pasirašytus duomenis. Norint susieti šį raktą su konkrečiu asmeniu, organizacija ar institucija, reikia papildomų įrodymų, pavyzdžiui, patikimo sertifikato ir tinkamų registracijos procedūrų.
Tarpvalstybiniai dokumentai ir teisinė reikšmė
Vykdant tarpvalstybinę prekybą, elektroninis autentifikavimas gali padėti tvirtinti pirkimus, siuntimo instrukcijas, muitinės deklaracijas ir kitus elektroninius įrašus. Tačiau techninis patikrinimas ir teisinis pripažinimas yra atskiri klausimai. Dokumentas gali sėkmingai praeiti techninį parašo patikrinimą, tačiau neatitikti visų konkrečiam sandoriui taikomų reikalavimų.
UNCITRAL pavyzdinis elektroninės prekybos įstatymas apima elektroninius įrašus ir popieriniams dokumentams taikomų reikalavimų funkcinius atitikmenis. UNCITRAL pavyzdinis elektroninių parašų įstatymas nustato elektroninių parašų ir jų patikimumo sistemą. Tai pavyzdiniai įstatymai, skirti padėti rengti teisės aktus; jie nėra automatiškai privalomos taisyklės kiekvienam tarptautiniam sandoriui.
Vertinant konkretų prekybos dokumentą, svarbu nustatyti, ar priimanti institucija priima elektroninį formatą, ar pasirašantis asmuo turi teisę veikti, kokie parašui keliami reikalavimai taikomi ir ar įrašą galima saugoti bei atkurti taip, kaip reikalaujama. Autentifikavimas nepakeičia muitinės patikros, nenustato tarifinės klasifikacijos ir nepatvirtina sąskaitos faktūros tikslumo.
Praktinis vertinimas ir įrodymų ribos
Vertinant autentifikavimo darbo procesą reikia ne tik patikrinti, ar naudojamas slaptažodis arba patvirtinimo kodas. Šie klausimai padeda nustatyti, kokius įrodymus procesas iš tikrųjų suteikia:
- Kas arba kas yra autentifikuojamas? Atskirti asmenį, paskyrą, organizaciją, programą, įrenginį ir dokumento šaltinį.
- Kaip nustatyta nurodyta tapatybė? El. paštu užregistruota paskyra ir tapatybę patvirtintas verslo atstovas suteikia skirtingus įrodymus.
- Koks veiksmas apimamas? Prieigos prie siuntos sekimo puslapio nereikėtų painioti su leidimu pakeisti pristatymo adresą arba mokėjimo paskirties vietą.
- Nuo ko apsaugo mechanizmas? Reikia atsižvelgti į fišingą, pakartotinį panaudojimą, prisijungimo duomenų vagystę ir neteisėtą registravimą, o ne remtis vien prisijungimo veiksmų skaičiumi.
- Kaip atkuriami arba pakeičiami prisijungimo duomenys? Silpnas atkūrimo kelias gali susilpninti stipresnį įprastą autentifikavimą.
- Ar prieigą galima atšaukti? Išėję darbuotojai ir nutrauktos integracijos neturėtų išlaikyti nereikalingos prieigos.
- Kokie įrodymai išsaugomi? Įrašuose turėtų būti atskirti autentifikavimas, autorizavimas, dokumento patvirtinimas ir vėlesni verslo veiksmai.
Autentifikavimo žurnalai gali padėti atlikti tyrimą, tačiau jie automatiškai neįrodo, kad konkretų veiksmą atliko konkretus žmogus. Bendros paskyros, pažeisti įrenginiai, pavogti seansai ir deleguota prieiga gali apsunkinti priskyrimą. Panašiai klientas, įvedęs pristatymo kodą, suteikia įrodymus, apibrėžtus konkrečiu pristatymo procesu, o ne neribotą garantiją dėl gavėjo teisinės tapatybės ar prekių būklės.
DUK
Ką elektroninis autentifikavimas reiškia elektroninėje prekyboje?
Tai reiškia elektroninių įrodymų, susijusių su nurodyta tapatybe arba šaltiniu, tikrinimą, pavyzdžiui, prekybininko prisijungimo arba programos prisijungimo duomenų patikrinimą. Jis palaiko kontroliuojamą prieigą, tačiau savarankiškai nepatvirtina pagrindinio pirkimo ar siuntos.
Ar elektroninis autentifikavimas yra tas pats, kas elektroninis parašas?
Ne. Autentifikavimo metu tikrinama nurodyta tapatybė arba šaltinis. Elektroninis parašas susijęs su įrašo pasirašymu ir gali parodyti pritarimą. Sandoriui gali būti naudojami abu, tačiau vienas automatiškai nenustato kito.
Ar autentifikavimas įrodo, kad siunta buvo pristatyta?
Ne. Jis gali suteikti įrodymų apie paskyrą, įrenginį arba asmenį, susijusį su pristatymo sąveika. Pačiam pristatymui reikia su siunta ir taikomu pristatymo procesu susijusių įrodymų.
Ar elektroninis autentifikavimas padaro prekybos dokumentą teisiškai galiojantį visur?
Ne. Teisinis pripažinimas priklauso nuo taikytinos teisės, dokumento reikalavimų, priimančios institucijos ir sandorio aplinkybių. Vien techninis autentifikavimas šių klausimų neišsprendžia.
Šaltiniai
- NIST SP 800-63B-4: Skaitmeninės tapatybės gairės — autentifikavimas ir autentifikavimo priemonių valdymas — Autentifikavimo sąvokos, veiksniai, autentifikavimo priemonių valdymas, atsparumas fišingui ir su seansais susiję aspektai.
- NIST SP 800-63A-4: Skaitmeninės tapatybės gairės — tapatybės patvirtinimas ir registracija — Skirtumas tarp tapatybės nustatymo ir vėlesnio paskyros autentifikavimo.
- UNCITRAL pavyzdinis elektroninės prekybos įstatymas — Elektroniniai įrašai, funkcinis lygiavertiškumas ir elektroninės prekybos teisėkūros kontekstas.
- UNCITRAL pavyzdinis elektroninių parašų įstatymas — Elektroninių parašų sąvokos, patikimumas ir skirtumas tarp pavyzdinės teisėkūros sistemos bei taikytinos nacionalinės teisės.
