Elektronisk autentisering
Hva er elektronisk autentisering?
Elektronisk autentisering er prosessen med å kontrollere, ved hjelp av elektroniske midler, at en bruker, organisasjon, enhet eller digital melding er knyttet til identiteten eller kilden den oppgir. Innen netthandel og logistikk bidrar det til å fastslå hvem som får tilgang til en selgerkonto, sender inn forsendelsesinstruksjoner, kobler seg til et forretningssystem eller godkjenner en elektronisk transaksjon. Autentisering gir bevis på identitet eller opprinnelse; den fastslår ikke i seg selv at en bestilling er legitim, at varene samsvarer med en beskrivelse eller at en forsendelse er levert.
Begrepet har beslektede, men ulike betydninger innen informasjonssikkerhet og lovgivning om elektronisk handel. I digitale identitetssystemer betyr autentisering vanligvis å kontrollere at en påstått identitet har kontroll over en autentikator som er knyttet til en konto. I arbeidsflyter for elektroniske dokumenter kan det i bredere forstand vise til å fastslå opprinnelsen eller ektheten til en oppføring, noen ganger ved hjelp av elektroniske signaturer eller kryptografiske metoder. Den tiltenkte betydningen avhenger derfor av hva som autentiseres, og hvilket teknisk eller juridisk rammeverk som gjelder.
Rollen innen netthandel og logistikk
Elektronisk autentisering brukes på punktene der mennesker og systemer utveksler instruksjoner, får tilgang til informasjon eller godkjenner handlinger. Den støtter tillitsforholdene rundt en bestilling, snarere enn den fysiske bevegelsen av selve varene. En selger, lageroperatør, transportør, tollmegler og kunde kan hver samhandle med ulike autentiseringssystemer under samme transaksjon.
En lageransatt kan for eksempel autentisere seg før vedkommende får tilgang til en lagerbeholdningsapplikasjon. Selgerens programvare kan autentisere seg når den ber om fraktetiketter gjennom et applikasjonsprogrammeringsgrensesnitt, eller API. En representant for en virksomhet kan bruke en elektronisk signatur når et handelsdokument godkjennes. Disse aktivitetene innebærer ulike typer bevis og kontroller, selv om alle kan inngå i en elektronisk autentisert arbeidsflyt.
| Forretningskontekst | Hva som kan autentiseres | Hva autentisering ikke fastslår |
|---|---|---|
| Tilgang til selgerkonto | Kontroll over en autentikator som er knyttet til kontoen | At alle handlinger som utføres gjennom kontoen, er kommersielt legitime |
| Tilgang til lagerapplikasjon | Ansattkontoen eller enheten som kobler seg til systemet | At en lageropptelling eller plukkeresultat er korrekt |
| Tilkobling til frakt-API | Applikasjonen eller organisasjonen som presenterer godkjent påloggingsinformasjon | At forsendelsesdetaljene samsvarer med den fysiske pakken |
| Elektronisk handelsdokument | Den oppgitte kilden eller signeringsidentiteten, avhengig av mekanismen | At alle opplysninger i dokumentet er sanne |
| Kundens leveringsinteraksjon | Kontroll over en konto, enhet eller kode som kreves av arbeidsflyten | Alle fakta som trengs for å fastslå levering, eierskap eller ansvar |
Dette er eksempler på bruksområder, ikke et universelt sett med krav. Den riktige metoden avhenger av konsekvensene av uautorisert tilgang, hvilke parter som er involvert, og eventuelle gjeldende kontraktsmessige eller regulatoriske krav.
Slik fungerer elektronisk autentisering
1. Etablere kontoen eller tillitsforholdet
Før en autentiseringshendelse kan ha betydning, trenger et system et grunnlag for å gjenkjenne den som fremsetter identitetskravet. Dette kan innebære å opprette en konto, kontrollere identitetsbevis, registrere en organisasjon eller utstede påloggingsinformasjon til en programvareapplikasjon. Identitetskontroll og autentisering er separate aktiviteter: Identitetskontroll vurderer hvem en søker er, mens autentisering deretter kontrollerer kontrollen over en autentikator som er knyttet til denne identiteten eller kontoen.
Ikke alle kommersielle kontoer er knyttet til en bekreftet juridisk identitet. Et system kan bare fastslå at den samme kontoinnehaveren har kommet tilbake. Dette skillet er viktig når en virksomhet trenger bevis på en persons identitet eller myndighet til å representere et selskap, i stedet for bare kontinuitet i kontotilgangen.
2. Knytte en autentikator
En autentikator knyttes til kontoen eller identiteten. Eksempler omfatter et passord, en kryptografisk nøkkel eller en enhet som brukes til å generere autentiseringssvar. Registrerings- og tilknyttingsprosessen er viktig fordi en sterk autentiseringsmekanisme gir begrenset beskyttelse hvis en angriper kan registrere sin egen autentikator på en annens konto.
3. Presentere og kontrollere bevis
Når det bes om tilgang eller godkjenning, leverer den som fremsetter identitetskravet bevis gjennom den valgte autentiseringsprotokollen. Kontrolløren undersøker dette beviset. Avhengig av metoden kan dette innebære å kontrollere en passordavledet verdi, validere et engangssvar eller bekrefte en kryptografisk signatur over en utfordring. En godt utformet utfordring-svar-protokoll kan påvise kontroll over en hemmelig nøkkel uten å overføre selve nøkkelen.
4. Anvende autorisasjonsregler
Etter vellykket autentisering følger en separat beslutning om tillatelser. En lagerarbeider kan få lov til å se plukkoppgaver, men ikke endre utbetalingsdetaljer. En fraktintegrasjon kan få lov til å opprette etiketter, men ikke administrere brukere. Autentisering identifiserer kontoen eller aktøren det gjelder; autorisasjon avgjør hvilke handlinger denne aktøren kan utføre.
5. Administrere økter og endringer
Etter autentisering kan et system opprettholde en økt i stedet for å kreve en ny pålogging for hver handling. Øktbeskyttelse, tilbakekalling av påloggingsinformasjon, kontogjenoppretting og utskifting av autentikatorer er fortsatt viktige deler av den samlede prosessen. En sensitiv handling, som å endre mottaker for en refusjon, kan kreve ny autentisering selv om en økt allerede er aktiv.
Autentiseringsfaktorer og mekanismer
For menneskelige brukere beskrives autentiseringsfaktorer vanligvis som noe en person vet, har eller er. Disse kategoriene beskriver bevisene som brukes; de avgjør ikke automatisk sikkerheten til en fullstendig implementering. Maskin-til-maskin-forbindelser bruker mekanismer som delte hemmeligheter, kryptografiske nøkler og sertifikater, men bør ikke behandles som identiske med arbeidsflyter for menneskelig pålogging.
| Faktor eller mekanisme | Eksempler | Viktig begrensning |
|---|---|---|
| Kunnskapsfaktor | Passord eller PIN-kode | Hemmeligheter kan gjettes, avsløres eller fanges opp gjennom phishing. |
| Besittelsesfaktor | Sikkerhetsnøkkel eller registrert autentikatorenhet | Beskyttelsen avhenger av protokollen, enhetssikkerheten og gjenopprettingsprosessen. |
| Biometrisk kjennetegn | Fingeravtrykk eller ansiktsgjenkjenning brukt til å aktivere en autentikator | Biometrisk matching er sannsynlighetsbasert og krever egnede sikkerhetstiltak. |
| Maskinlegitimasjon | API-hemmelighet, privat nøkkel eller klientsertifikat | En stjålet legitimasjon kan gjøre det mulig for et annet system å utgi seg for den autoriserte applikasjonen. |
Flerfaktorautentisering kombinerer ulike autentiseringsfaktorer. To passord utgjør ikke to forskjellige faktorer. På samme måte er en arbeidsflyt med flere skjermbilder ikke nødvendigvis flerfaktorautentisering. Det relevante spørsmålet er om prosessen krever uavhengige former for bevis, ikke hvor mange trinn brukeren ser.
Motstand mot phishing er en annen separat egenskap. En metode kan omfatte flere faktorer, men likevel gjøre det mulig for en angriper å videresende eller fange opp autentiseringsbevis. NISTs veiledning for digitale identiteter skiller mellom autentiseringsmetoder basert på egenskapene og sikkerhetskravene deres, i stedet for å behandle alle flerfaktormetoder som utbyttbare.
Relaterte begreper og viktige forskjeller
| Begrep | Betydning | Forholdet til elektronisk autentisering |
|---|---|---|
| Identifikasjon | Presentasjon av en identifikator, for eksempel et kontonavn | Angir hvilken identitet som hevdes; beviser ikke påstanden. |
| Identitetskontroll | Evaluering av bevis for å fastslå søkerens identitet | Kan fastslå identiteten som autentikatorer senere knyttes til. |
| Autorisasjon | Fastsettelse av tillatte handlinger og tilgang | Bruker en autentisert identitet eller andre policyinndata til å fatte tilgangsbeslutninger. |
| Elektronisk signatur | Elektroniske data som brukes i forbindelse med signering av en oppføring | Kan identifisere en signatar og angi godkjenning; juridiske definisjoner og krav varierer. |
| Digital signatur | En kryptografisk mekanisme som bruker en privat nøkkel og en tilsvarende offentlig nøkkel | Kan støtte autentisering av opprinnelse og oppdage endringer i signerte data. |
| Kryptering | Transformering av informasjon for å beskytte konfidensialiteten | Fastslår ikke alene identiteten til kommunikasjonsmotparten. |
| Produktautentisering | Kontroll av om en fysisk gjenstand er ekte | Gjelder selve varene, ikke bare tilgang til en konto eller opprinnelsen til en melding. |
En elektronisk signatur og en elektronisk autentiseringshendelse kan forekomme samtidig, men de tjener ulike formål. Signering kan uttrykke godkjenning av et bestemt dokument eller en bestemt transaksjon. Pålogging på en konto etablerer tilgang i henhold til kontoens autentiseringsregler. En pålogging alene viser ikke nødvendigvis at brukeren godkjente et bestemt dokument.
En digital signatur må også tolkes innenfor et tillitsrammeverk. Vellykket kryptografisk bekreftelse viser at signaturen samsvarer med en bestemt nøkkel og signerte data. Å knytte denne nøkkelen til en navngitt person, organisasjon eller myndighet krever ytterligere bevis, for eksempel et klarert sertifikat og egnede registreringsprosedyrer.
Grensekryssende dokumenter og juridisk betydning
Innen grensekryssende handel kan elektronisk autentisering støtte kjøpsgodkjenninger, forsendelsesinstruksjoner, tollinnleveringer og andre elektroniske oppføringer. Teknisk bekreftelse og juridisk anerkjennelse er imidlertid separate spørsmål. Et dokument kan bestå en teknisk signaturkontroll uten å oppfylle alle kravene som gjelder for den aktuelle transaksjonen.
UNCITRALs modellov om elektronisk handel omhandler elektroniske oppføringer og funksjonelle ekvivalenter til papirbaserte krav. UNCITRALs modellov om elektroniske signaturer gir et rammeverk for elektroniske signaturer og deres pålitelighet. Dette er modellover som skal bistå i lovgivningsarbeid; de er ikke automatisk bindende regler for alle internasjonale transaksjoner.
For et bestemt handelsdokument omfatter relevante spørsmål blant annet om mottakermyndigheten godtar det elektroniske formatet, om signataren har myndighet til å handle, hvilke signaturkrav som gjelder, og om oppføringen kan oppbevares og gjengis slik det kreves. Autentisering erstatter ikke tollkontroll, fastslår ikke tolltariffklassifisering og sertifiserer ikke riktigheten av en faktura.
Praktisk vurdering og bevisgrenser
Vurdering av en autentiseringsarbeidsflyt krever mer enn å kontrollere om et passord eller en bekreftelseskode finnes. Følgende spørsmål bidrar til å definere hvilket bevis prosessen faktisk gir:
- Hvem eller hva autentiseres? Skill mellom en person, konto, organisasjon, applikasjon, enhet og dokumentkilde.
- Hvordan ble den påståtte identiteten etablert? En e-postregistrert konto og en identitetskontrollert representant for en virksomhet gir ulike typer bevis.
- Hvilken handling omfattes? Tilgang til en sporingsside bør ikke forveksles med godkjenning av å endre en leveringsadresse eller betalingsmottaker.
- Hva motstår mekanismen? Ta hensyn til phishing, gjenavspilling, tyveri av påloggingsinformasjon og uautorisert registrering, i stedet for bare å se på antallet påloggingstrinn.
- Hvordan gjenopprettes eller erstattes legitimasjon? En svak gjenopprettingsvei kan undergrave sterkere rutinemessig autentisering.
- Kan tilgangen tilbakekalles? Ansatte som slutter, og integrasjoner som avsluttes, bør ikke beholde unødvendig tilgang.
- Hvilke bevis oppbevares? Oppføringer bør skille mellom autentisering, autorisasjon, dokumentgodkjenning og etterfølgende forretningshandlinger.
Autentiseringslogger kan støtte en undersøkelse, men de beviser ikke automatisk at et bestemt menneske utførte en handling. Delte kontoer, kompromitterte enheter, stjålne økter og delegert tilgang kan gjøre attribusjon vanskelig. På samme måte gir en kunde som oppgir en leveringskode bevis definert av den aktuelle leveringsarbeidsflyten, ikke en ubegrenset garanti for mottakerens juridiske identitet eller varenes tilstand.
Vanlige spørsmål
Hva betyr elektronisk autentisering innen netthandel?
Det betyr å kontrollere elektroniske bevis knyttet til en påstått identitet eller kilde, for eksempel ved å bekrefte en selgerpålogging eller en applikasjons legitimasjon. Det støtter kontrollert tilgang, men validerer ikke uavhengig det underliggende kjøpet eller forsendelsen.
Er elektronisk autentisering det samme som en elektronisk signatur?
Nei. Autentisering kontrollerer en påstått identitet eller kilde. En elektronisk signatur gjelder signering av en oppføring og kan angi godkjenning. En transaksjon kan bruke begge deler, men den ene fastslår ikke automatisk den andre.
Beviser autentisering at en forsendelse ble levert?
Nei. Den kan bidra med bevis om en konto, enhet eller person som var involvert i en leveringsinteraksjon. Selve leveringen krever bevis som er relevante for forsendelsen og den gjeldende leveringsprosessen.
Gjør elektronisk autentisering et handelsdokument juridisk gyldig overalt?
Nei. Juridisk anerkjennelse avhenger av gjeldende lov, dokumentkrav, mottakermyndighet og omstendighetene rundt transaksjonen. Teknisk autentisering alene løser ikke disse spørsmålene.
Kilder
- NIST SP 800-63B-4: Digital Identity Guidelines — Authentication and Authenticator Management — Autentiseringsbegreper, faktorer, administrasjon av autentikatorer, motstand mot phishing og hensyn ved økter.
- NIST SP 800-63A-4: Digital Identity Guidelines — Identity Proofing and Enrollment — Forskjellen mellom å etablere en identitet og senere autentisere en konto.
- UNCITRAL Model Law on Electronic Commerce — Elektroniske oppføringer, funksjonell ekvivalens og lovgivningskonteksten for elektronisk handel.
- UNCITRAL Model Law on Electronic Signatures — Begreper knyttet til elektroniske signaturer, pålitelighet og forskjellen mellom et modellovgivningsrammeverk og gjeldende nasjonal lov.
