Електронска автентикација
Што е електронска автентикација?
Електронската автентикација е процес на проверка, преку електронски средства, дали корисник, организација, уред или дигитална порака е поврзан со идентитетот или изворот што го наведува. Во е-трговијата и логистиката, таа помага да се утврди кој пристапува до сметка на трговец, поднесува упатства за испорака, се поврзува со деловен систем или одобрува електронска трансакција. Автентикацијата обезбедува докази за идентитетот или потеклото; сама по себе не утврдува дека нарачката е легитимна, дека стоката одговара на описот или дека пратката е испорачана.
Терминот има сродни, но различни значења во информациската безбедност и правото на електронската трговија. Во системите за дигитален идентитет, автентикацијата обично значи проверка дека лицето што го полага правото контролира автентикатор поврзан со сметка. Во работните текови со електронски документи, таа може пошироко да се однесува на утврдување на потеклото или автентичноста на записот, понекогаш со користење електронски потписи или криптографски методи. Затоа, значењето зависи од тоа што се автентицира и која техничка или правна рамка се применува.
Улога во е-трговијата и логистиката
Електронската автентикација се применува на местата каде што луѓето и системите разменуваат упатства, пристапуваат до информации или одобруваат дејства. Таа ги поддржува односите на доверба околу нарачката, а не физичкото движење на самата стока. Трговец, оператор на магацин, превозник, царински посредник и клиент може да комуницираат со различни системи за автентикација во текот на истата трансакција.
На пример, вработен во магацин може да се автентицира пред да пристапи до апликација за залихи. Софтверот на трговецот може да се автентицира кога бара етикети за испорака преку програмски интерфејс за апликации, или API. Претставник на компанијата може да користи електронски потпис при одобрување трговски документ. Овие активности вклучуваат различни докази и контроли, иако сите можат да бидат дел од електронски автентициран работен тек.
| Деловен контекст | Што може да се автентицира | Што не утврдува автентикацијата |
|---|---|---|
| Пристап до сметка на трговец | Контрола над автентикатор поврзан со сметката | Дека секое дејство преземено преку сметката е комерцијално легитимно |
| Пристап до апликација на магацин | Сметката на вработениот или уредот што се поврзува со системот | Дека броењето на залихите или резултатот од собирањето е точен |
| Поврзување со API за испорака | Апликацијата или организацијата што ги претставува прифатените акредитиви | Дека деталите за пратката се совпаѓаат со физичкиот пакет |
| Електронски трговски документ | Наведениот извор или идентитетот на потписникот, зависно од механизмот | Дека секоја изјава во документот е вистинита |
| Интеракција со клиентот при испорака | Контрола над сметка, уред или код што го бара работниот тек | Сите факти потребни за утврдување на испораката, сопственоста или одговорноста |
Ова се илустративни примени, а не универзален сет барања. Соодветниот метод зависи од последиците на неовластениот пристап, вклучените страни и сите применливи договорни или регулаторни барања.
Како функционира електронската автентикација
1. Воспоставување на сметка или однос на доверба
Пред настанот на автентикација да може да има значење, системот треба да има основа за препознавање на лицето што го полага правото. Ова може да вклучува креирање сметка, проверка на докази за идентитет, регистрирање организација или издавање акредитиви на софтверска апликација. Доказувањето на идентитетот и автентикацијата се одделни активности: доказувањето на идентитетот проценува кој е апликантот, додека автентикацијата последователно проверува контрола над автентикатор поврзан со тој идентитет или сметка.
Не секоја комерцијална сметка е поврзана со потврден правен идентитет. Системот може да утврди само дека истиот сопственик на сметката се вратил. Оваа разлика е важна кога на компанијата ѝ треба доказ за идентитетот или овластувањето на поединецот да ја претставува компанијата, а не само континуитет на пристапот до сметката.
2. Поврзување на автентикатор
Автентикаторот се поврзува со сметката или идентитетот. Примери се лозинка, криптографски клуч или уред што се користи за генерирање одговори за автентикација. Процесот на запишување и поврзување е важен бидејќи силниот механизам за автентикација нуди ограничена заштита ако напаѓачот може да регистрира сопствен автентикатор на туѓа сметка.
3. Доставување и проверка на докази
Кога се бара пристап или одобрување, лицето што го полага правото доставува доказ преку избраниот протокол за автентикација. Проверувачот го проверува тој доказ. Во зависност од методот, ова може да вклучува проверка на вредност изведена од лозинка, потврдување еднократен одговор или проверка на криптографски потпис врз предизвик. Добро дизајниран протокол предизвик-одговор може да покаже контрола над таен клуч без самиот клуч да биде пренесен.
4. Примена на правила за овластување
По успешната автентикација следи одделна одлука за дозволите. На работник во магацин може да му биде дозволено да ги прегледува задачите за собирање, но не и да ги менува податоците за исплата. На интеграција за испорака може да ѝ биде дозволено да креира етикети, но не и да управува со корисници. Автентикацијата ја идентификува вклучената сметка или субјект; овластувањето ги утврдува дејствата што тој субјект смее да ги изврши.
5. Управување со сесии и промени
По автентикацијата, системот може да одржува сесија наместо да бара ново најавување за секое дејство. Заштитата на сесијата, отповикувањето на акредитивите, обновувањето на сметката и замената на автентикаторот остануваат важни делови од целокупниот процес. Чувствително дејство, како промена на дестинацијата за поврат на средства, може да бара повторна автентикација дури и кога сесијата е веќе активна.
Фактори и механизми за автентикација
За човечки корисници, факторите за автентикација најчесто се опишуваат како нешто што лицето го знае, го поседува или е. Овие категории ги опишуваат користените докази; тие автоматски не ја одредуваат безбедноста на целосната имплементација. Поврзувањата машина-со-машина користат механизми како споделени тајни, криптографски клучеви и сертификати, но не треба да се третираат како идентични со работните текови за човечко најавување.
| Фактор или механизам | Примери | Важна ограниченост |
|---|---|---|
| Фактор на знаење | Лозинка или PIN | Тајните може да бидат погодени, откриени или украдени преку фишинг. |
| Фактор на поседување | Безбедносен клуч или запишан уред за автентикација | Заштитата зависи од протоколот, безбедноста на уредот и процесот на обновување. |
| Биометриска карактеристика | Отпечаток од прст или препознавање лице што се користи за активирање автентикатор | Биометриското совпаѓање е веројатносно и бара соодветни заштитни мерки. |
| Машински акредитив | API тајна, приватен клуч или клиентски сертификат | Украдениот акредитив може да му овозможи на друг систем да ја имитира овластената апликација. |
Повеќефакторската автентикација комбинира различни фактори за автентикација. Две лозинки не претставуваат два различни фактори. Исто така, работен тек со неколку екрани не е нужно повеќефакторска автентикација. Релевантното прашање е дали процесот бара независни форми на докази, а не колку чекори гледа корисникот.
Отпорноста на фишинг е друга одделна особина. Методот може да вклучува повеќе фактори, а сепак да му овозможи на напаѓачот да ги проследи или сними доказите за автентикација. Упатствата за дигитален идентитет на NIST ги разликуваат методите за автентикација според нивните својства и барања за сигурност, наместо сите повеќефакторски методи да ги третираат како заменливи.
Сродни термини и важни разлики
| Термин | Значење | Однос со електронската автентикација |
|---|---|---|
| Идентификација | Презентирање идентификатор, како име на сметка | Наведува кој идентитет се тврди; не го докажува тврдењето. |
| Доказување на идентитет | Проценување докази за утврдување на идентитетот на апликантот | Може да го утврди идентитетот со кој последователно се поврзуваат автентикаторите. |
| Овластување | Утврдување дозволени дејства и пристап | Користи автентициран идентитет или други политички влезови за донесување одлуки за пристап. |
| Електронски потпис | Електронски податоци што се користат во врска со потпишување запис | Може да го идентификува потписникот и да укаже на одобрување; правните дефиниции и барања се разликуваат. |
| Дигитален потпис | Криптографски механизам што користи приватен клуч и соодветен јавен клуч | Може да поддржи автентикација на потеклото и откривање промени во потпишаните податоци. |
| Шифрирање | Трансформирање информации за заштита на нивната доверливост | Самото по себе не го утврдува идентитетот на страната што комуницира. |
| Автентикација на производ | Проверка дали физичкиот предмет е оригинален | Се однесува на самата стока, а не само на пристапот до сметка или потеклото на порака. |
Електронски потпис и електронски настан на автентикација може да се случат истовремено, но служат за различни цели. Потпишувањето може да изрази одобрување на конкретен документ или трансакција. Најавувањето во сметка воспоставува пристап според правилата за автентикација на таа сметка. Самото најавување не мора да покажува дека корисникот одобрил конкретен документ.
Дигиталниот потпис исто така бара толкување во рамките на системот на доверба. Успешната криптографска проверка покажува дека потписот одговара на конкретен клуч и потпишани податоци. Поврзувањето на тој клуч со именувано лице, организација или орган бара дополнителни докази, како доверлив сертификат и соодветни постапки за регистрација.
Прекугранични документи и правно значење
Во прекуграничната трговија, електронската автентикација може да поддржи одобрувања на купувања, упатства за испорака, царински поднесоци и други електронски записи. Сепак, техничката проверка и правното признавање се одделни прашања. Документот може да помине техничка проверка на потписот без да ги исполни сите барања применливи за конкретната трансакција.
Модел-законот на UNCITRAL за електронска трговија се однесува на електронските записи и функционалните еквиваленти на барањата засновани на хартија. Модел-законот на UNCITRAL за електронски потписи обезбедува рамка за електронските потписи и нивната сигурност. Ова се модел-закони наменети да помогнат во развојот на законодавството; тие автоматски не се обврзувачки правила за секоја меѓународна трансакција.
За конкретен трговски документ, релевантните прашања вклучуваат дали органот што го прима го прифаќа електронскиот формат, дали потписникот има овластување да дејствува, кои барања за потпис се применуваат и дали записот може да се чува и репродуцира како што е потребно. Автентикацијата не го заменува царинскиот преглед, не ја утврдува тарифната класификација и не ја потврдува точноста на фактурата.
Практична процена и граници на доказите
Проценувањето на работен тек за автентикација бара повеќе од проверка дали постои лозинка или код за потврда. Следниве прашања помагаат да се дефинира каков доказ всушност обезбедува процесот:
- Кој или што се автентицира? Разликувајте лице, сметка, организација, апликација, уред и извор на документ.
- Како е утврден наведениот идентитет? Сметка регистрирана со е-пошта и деловен претставник чиј идентитет е докажан обезбедуваат различни докази.
- Кое дејство е опфатено? Пристапот до страница за следење не треба да се меша со одобрување за промена на адреса за испорака или дестинација за плаќање.
- На што му се спротивставува механизмот? Разгледајте фишинг, повторна употреба, кражба на акредитиви и неовластено запишување, наместо да се потпирате само на бројот на чекори за најавување.
- Како се обновуваат или заменуваат акредитивите? Слабата постапка за обновување може да ја поткопа посилната редовна автентикација.
- Може ли пристапот да се отповика? Вработените што заминале и прекинатите интеграции не треба да задржат непотребен пристап.
- Кои докази се задржуваат? Записите треба да ги разликуваат автентикацијата, овластувањето, одобрувањето на документот и последователните деловни дејства.
Дневниците за автентикација можат да поддржат истрага, но автоматски не докажуваат дека конкретно лице извршило одредено дејство. Споделените сметки, компромитираните уреди, украдените сесии и делегираниот пристап може да го отежнат припишувањето. Слично, кога клиентот внесува код за испорака, тоа обезбедува доказ дефиниран од конкретниот работен тек на испораката, а не неограничена гаранција за правниот идентитет на примачот или состојбата на стоката.
ЧПП
Што значи електронската автентикација во е-трговијата?
Тоа значи проверка на електронски докази поврзани со наведен идентитет или извор, како потврдување на најавата на трговец или акредитивите на апликацијата. Таа поддржува контролиран пристап, но независно не ја потврдува основната набавка или пратка.
Дали електронската автентикација е исто што и електронски потпис?
Не. Автентикацијата го проверува наведениот идентитет или извор. Електронскиот потпис се однесува на потпишување запис и може да укажува на одобрување. Трансакцијата може да ги користи и двата, но едниот автоматски не го утврдува другиот.
Дали автентикацијата докажува дека пратката е испорачана?
Не. Таа може да придонесе со докази за сметката, уредот или лицето вклучено во интеракцијата при испораката. Самата испорака бара докази релевантни за пратката и применливиот процес на испорака.
Дали електронската автентикација го прави трговскиот документ правно валиден насекаде?
Не. Правното признавање зависи од применливото право, барањата за документот, органот што го прима и околностите на трансакцијата. Самата техничка автентикација не ги решава овие прашања.
Извори
- NIST SP 800-63B-4: Насоки за дигитален идентитет — автентикација и управување со автентикатори — Концепти за автентикација, фактори, управување со автентикатори, отпорност на фишинг и размислувања за сесиите.
- NIST SP 800-63A-4: Насоки за дигитален идентитет — доказување на идентитетот и запишување — Разликата помеѓу воспоставување идентитет и последователна автентикација на сметка.
- Модел-закон на UNCITRAL за електронска трговија — Електронски записи, функционална еквивалентност и законодавниот контекст за електронската трговија.
- Модел-закон на UNCITRAL за електронски потписи — Концепти за електронски потписи, сигурност и разликата помеѓу модел-законодавна рамка и применливото национално право.
