Elektronische authenticatie

Wat is elektronische authenticatie?

Elektronische authenticatie is het proces waarbij elektronisch wordt gecontroleerd of een gebruiker, organisatie, apparaat of digitaal bericht verbonden is met de identiteit of bron die het beweert te hebben. In e-commerce en logistiek helpt het vaststellen wie toegang heeft tot een verkopersaccount, verzendinstructies indient, verbinding maakt met een bedrijfssysteem of een elektronische transactie goedkeurt. Authenticatie levert bewijs over identiteit of herkomst; op zichzelf stelt het niet vast dat een bestelling legitiem is, dat goederen aan een beschrijving voldoen of dat een zending is afgeleverd.

De term heeft verwante maar verschillende betekenissen binnen informatiebeveiliging en het recht inzake elektronische handel. In digitale-identiteitssystemen betekent authenticatie doorgaans dat wordt gecontroleerd of een claimant controle heeft over een authenticator die aan een account is gekoppeld. In workflows voor elektronische documenten kan het breder verwijzen naar het vaststellen van de herkomst of authenticiteit van een document, soms met behulp van elektronische handtekeningen of cryptografische methoden. De bedoelde betekenis hangt daarom af van wat wordt geauthenticeerd en welk technisch of juridisch kader van toepassing is.

Rol in e-commerce en logistiek

Elektronische authenticatie vindt plaats op de punten waar mensen en systemen instructies uitwisselen, toegang krijgen tot informatie of acties goedkeuren. Het ondersteunt de vertrouwensrelaties rond een bestelling, en niet de fysieke verplaatsing van de goederen zelf. Een verkoper, magazijnbeheerder, vervoerder, douane-expediteur en klant kunnen tijdens dezelfde transactie elk met verschillende authenticatiesystemen werken.

Een magazijnmedewerker kan zich bijvoorbeeld authenticeren voordat die toegang krijgt tot een voorraadapplicatie. De software van een verkoper kan zich authenticeren bij het aanvragen van verzendlabels via een application programming interface, of API. Een vertegenwoordiger van een bedrijf kan een elektronische handtekening gebruiken bij het goedkeuren van een handelsdocument. Deze activiteiten omvatten verschillende soorten bewijs en controles, hoewel ze allemaal onderdeel kunnen zijn van een elektronisch geauthenticeerde workflow.

Dit zijn illustratieve toepassingen en geen universele reeks vereisten. De geschikte methode hangt af van de gevolgen van onbevoegde toegang, de betrokken partijen en eventuele toepasselijke contractuele of wettelijke vereisten.

Hoe elektronische authenticatie werkt

1. Het account of de vertrouwensrelatie tot stand brengen

Voordat een authenticatiegebeurtenis betekenisvol kan zijn, heeft een systeem een basis nodig om de claimant te herkennen. Dit kan bestaan uit het aanmaken van een account, het controleren van identiteitsbewijs, het registreren van een organisatie of het verstrekken van inloggegevens aan een softwareapplicatie. Identiteitsverificatie en authenticatie zijn afzonderlijke activiteiten: bij identiteitsverificatie wordt vastgesteld wie een aanvrager is, terwijl bij authenticatie vervolgens wordt gecontroleerd of deze controle heeft over een authenticator die aan die identiteit of dat account is gekoppeld.

Niet elk commercieel account is gekoppeld aan een geverifieerde juridische identiteit. Een systeem kan alleen vaststellen dat dezelfde accounthouder is teruggekeerd. Dit onderscheid is belangrijk wanneer een bedrijf bewijs nodig heeft van de identiteit of bevoegdheid van een persoon om een onderneming te vertegenwoordigen, en niet alleen van continuïteit van accounttoegang.

2. Een authenticator koppelen

Een authenticator wordt aan het account of de identiteit gekoppeld. Voorbeelden zijn een wachtwoord, een cryptografische sleutel of een apparaat dat wordt gebruikt om authenticatiereacties te genereren. Het inschrijvings- en koppelingsproces is belangrijk, omdat een sterk authenticatiemechanisme beperkte bescherming biedt als een aanvaller zijn eigen authenticator aan het account van iemand anders kan registreren.

3. Bewijs presenteren en controleren

Wanneer toegang of goedkeuring wordt gevraagd, levert de claimant bewijs via het geselecteerde authenticatieprotocol. De verificateur controleert dat bewijs. Afhankelijk van de methode kan dit bestaan uit het controleren van een van een wachtwoord afgeleide waarde, het valideren van een eenmalige reactie of het verifiëren van een cryptografische handtekening over een challenge. Een goed ontworpen challenge-responseprotocol kan aantonen dat iemand controle heeft over een geheime sleutel zonder de sleutel zelf te verzenden.

4. Autorisatieregels toepassen

Na succesvolle authenticatie volgt een afzonderlijke beslissing over machtigingen. Een magazijnmedewerker mag bijvoorbeeld orderverzameltaken bekijken, maar geen uitbetalingsgegevens wijzigen. Een verzendintegratie mag labels aanmaken, maar geen gebruikers beheren. Authenticatie identificeert het betrokken account of de principal; autorisatie bepaalt welke acties die principal mag uitvoeren.

5. Sessies en wijzigingen beheren

Na authenticatie kan een systeem een sessie handhaven in plaats van voor elke actie een nieuwe login te vereisen. Sessiebeveiliging, het intrekken van inloggegevens, accountherstel en het vervangen van authenticators blijven belangrijke onderdelen van het totale proces. Voor een gevoelige actie, zoals het wijzigen van een terugbetalingsbestemming, kan opnieuw authenticeren nodig zijn, zelfs wanneer er al een actieve sessie is.

Authenticatiefactoren en mechanismen

Voor menselijke gebruikers worden authenticatiefactoren doorgaans omschreven als iets wat iemand weet, bezit of is. Deze categorieën beschrijven het gebruikte bewijs; ze bepalen niet automatisch de beveiliging van een volledige implementatie. Machine-to-machineverbindingen gebruiken mechanismen zoals gedeelde geheimen, cryptografische sleutels en certificaten, maar mogen niet als identiek aan menselijke loginworkflows worden beschouwd.

Multi-factor-authenticatie combineert verschillende authenticatiefactoren. Twee wachtwoorden vormen niet twee verschillende factoren. Evenmin is een workflow met meerdere schermen noodzakelijkerwijs multi-factor-authenticatie. De relevante vraag is of het proces onafhankelijke vormen van bewijs vereist, niet hoeveel stappen de gebruiker ziet.

Weerstand tegen phishing is een andere afzonderlijke eigenschap. Een methode kan meerdere factoren omvatten en toch een aanvaller toestaan authenticatiebewijs door te sturen of vast te leggen. De digitale-identiteitsrichtlijnen van NIST onderscheiden authenticatiemethoden op basis van hun eigenschappen en assurancevereisten, in plaats van alle multi-factormethoden als uitwisselbaar te behandelen.

Verwante termen en belangrijke onderscheidingen

Een elektronische handtekening en een elektronische authenticatiegebeurtenis kunnen tegelijkertijd plaatsvinden, maar ze dienen verschillende doelen. Ondertekening kan goedkeuring van een bepaald document of een bepaalde transactie uitdrukken. Inloggen op een account stelt toegang vast volgens de authenticatieregels van dat account. Alleen inloggen toont niet noodzakelijk aan dat de gebruiker een specifiek document heeft goedgekeurd.

Ook een digitale handtekening moet binnen een vertrouwenskader worden geïnterpreteerd. Succesvolle cryptografische verificatie toont aan dat de handtekening overeenkomt met een bepaalde sleutel en ondertekende gegevens. Om die sleutel te koppelen aan een genoemde persoon, organisatie of autoriteit is aanvullend bewijs nodig, zoals een vertrouwd certificaat en passende registratieprocedures.

Grensoverschrijdende documenten en juridische betekenis

In grensoverschrijdende handel kan elektronische authenticatie aankoopgoedkeuringen, verzendinstructies, douaneaangiften en andere elektronische documenten ondersteunen. Technische verificatie en juridische erkenning zijn echter afzonderlijke kwesties. Een document kan technisch gezien een handtekeningcontrole doorstaan zonder aan elke vereiste voor de specifieke transactie te voldoen.

De UNCITRAL Model Law on Electronic Commerce behandelt elektronische documenten en functionele equivalenten van vereisten op papier. De UNCITRAL Model Law on Electronic Signatures biedt een kader voor elektronische handtekeningen en hun betrouwbaarheid. Dit zijn modelwetten die bedoeld zijn om wetgevingsontwikkeling te ondersteunen; het zijn niet automatisch bindende regels voor elke internationale transactie.

Voor een specifiek handelsdocument zijn relevante vragen onder meer of de ontvangende autoriteit het elektronische formaat accepteert, of de ondertekenaar bevoegd is om te handelen, welke handtekeningvereisten van toepassing zijn en of het document kan worden bewaard en gereproduceerd zoals vereist. Authenticatie vervangt geen douanecontrole, stelt geen tariefindeling vast en certificeert niet de juistheid van een factuur.

Praktische beoordeling en grenzen van bewijs

Het beoordelen van een authenticatieworkflow vereist meer dan controleren of er een wachtwoord of verificatiecode aanwezig is. De volgende vragen helpen bepalen welk bewijs het proces daadwerkelijk levert:

• Wie of wat wordt geauthenticeerd? Maak onderscheid tussen een persoon, account, organisatie, applicatie, apparaat en documentbron.
• Hoe is de geclaimde identiteit vastgesteld? Een account dat met een e-mailadres is geregistreerd en een geverifieerde vertegenwoordiger van een bedrijf leveren verschillend bewijs.
• Welke actie valt eronder? Toegang tot een trackingpagina mag niet worden verward met goedkeuring om een afleveradres of betalingsbestemming te wijzigen.
• Waartegen biedt het mechanisme weerstand? Houd rekening met phishing, herhaling, diefstal van inloggegevens en onbevoegde registratie, in plaats van alleen te vertrouwen op het aantal inlogstappen.
• Hoe worden inloggegevens hersteld of vervangen? Een zwakke herstelroute kan sterkere routinematige authenticatie ondermijnen.
• Kan toegang worden ingetrokken? Vertrokken werknemers en beëindigde integraties mogen geen onnodige toegang behouden.
• Welk bewijs wordt bewaard? Documentatie moet onderscheid maken tussen authenticatie, autorisatie, documentgoedkeuring en daaropvolgende zakelijke handelingen.

Authenticatielogs kunnen een onderzoek ondersteunen, maar bewijzen niet automatisch dat een bepaalde persoon een actie heeft uitgevoerd. Gedeelde accounts, gecompromitteerde apparaten, gestolen sessies en gedelegeerde toegang kunnen toeschrijving bemoeilijken. Evenzo levert een klant die een aflevercode invoert bewijs zoals bepaald door die leveringsworkflow, en geen onbeperkte garantie over de juridische identiteit van de ontvanger of de staat van de goederen.

Veelgestelde vragen

Wat betekent elektronische authenticatie in e-commerce?

Het betekent dat elektronisch bewijs dat aan een geclaimde identiteit of bron is gekoppeld, wordt gecontroleerd, bijvoorbeeld door een verkoperslogin of de inloggegevens van een applicatie te verifiëren. Het ondersteunt gecontroleerde toegang, maar valideert de onderliggende aankoop of zending niet zelfstandig.

Is elektronische authenticatie hetzelfde als een elektronische handtekening?

Nee. Authenticatie controleert een geclaimde identiteit of bron. Een elektronische handtekening heeft betrekking op het ondertekenen van een document en kan goedkeuring aangeven. Een transactie kan beide gebruiken, maar het ene stelt het andere niet automatisch vast.

Bewijst authenticatie dat een zending is afgeleverd?

Nee. Het kan bewijs leveren over een account, apparaat of persoon die bij een leveringsinteractie betrokken is. Voor de levering zelf is bewijs nodig dat relevant is voor de zending en het toepasselijke leveringsproces.

Maakt elektronische authenticatie een handelsdocument overal juridisch geldig?

Nee. Juridische erkenning hangt af van het toepasselijke recht, de documentvereisten, de ontvangende autoriteit en de omstandigheden van de transactie. Technische authenticatie alleen lost deze vragen niet op.

Bronnen

• NIST SP 800-63B-4: Digital Identity Guidelines — Authentication and Authenticator Management — Authenticatieconcepten, factoren, beheer van authenticators, phishingweerstand en overwegingen rond sessies.
• NIST SP 800-63A-4: Digital Identity Guidelines — Identity Proofing and Enrollment — Het onderscheid tussen het vaststellen van een identiteit en het vervolgens authenticeren van een account.
• UNCITRAL Model Law on Electronic Commerce — Elektronische documenten, functionele gelijkwaardigheid en de wetgevingscontext voor elektronische handel.
• UNCITRAL Model Law on Electronic Signatures — Concepten rond elektronische handtekeningen, betrouwbaarheid en het onderscheid tussen een modelwetgevingskader en toepasselijk nationaal recht.