Uwierzytelnianie elektroniczne
Czym jest uwierzytelnianie elektroniczne?
Uwierzytelnianie elektroniczne to proces sprawdzania za pomocą środków elektronicznych, czy użytkownik, organizacja, urządzenie lub wiadomość cyfrowa są powiązane z tożsamością lub źródłem, za które się podają. W handlu elektronicznym i logistyce pomaga ustalić, kto uzyskuje dostęp do konta sprzedawcy, przesyła instrukcje dotyczące wysyłki, łączy się z systemem firmowym lub zatwierdza transakcję elektroniczną. Uwierzytelnianie dostarcza dowodów dotyczących tożsamości lub pochodzenia; samo w sobie nie potwierdza, że zamówienie jest zgodne z prawem, że towary odpowiadają opisowi ani że przesyłka została dostarczona.
Termin ten ma powiązane, lecz odrębne znaczenia w dziedzinie bezpieczeństwa informacji i prawa handlu elektronicznego. W systemach tożsamości cyfrowej uwierzytelnianie zwykle oznacza sprawdzenie, czy osoba zgłaszająca roszczenie kontroluje uwierzytelniacz powiązany z kontem. W elektronicznych obiegach dokumentów może szerzej oznaczać ustalenie pochodzenia lub autentyczności dokumentu, czasami z użyciem podpisów elektronicznych lub metod kryptograficznych. Zamierzone znaczenie zależy zatem od tego, co jest uwierzytelniane i jakie ramy techniczne lub prawne mają zastosowanie.
Rola w handlu elektronicznym i logistyce
Uwierzytelnianie elektroniczne działa w punktach, w których ludzie i systemy wymieniają instrukcje, uzyskują dostęp do informacji lub zatwierdzają działania. Wspiera relacje zaufania związane z zamówieniem, a nie fizyczny przepływ samych towarów. Sprzedawca, operator magazynu, przewoźnik, agent celny i klient mogą korzystać z różnych systemów uwierzytelniania w ramach tej samej transakcji.
Na przykład pracownik magazynu może przeprowadzić uwierzytelnianie przed uzyskaniem dostępu do aplikacji magazynowej. Oprogramowanie sprzedawcy może przeprowadzić uwierzytelnianie podczas żądania etykiet wysyłkowych za pośrednictwem interfejsu programowania aplikacji lub API. Przedstawiciel firmy może użyć podpisu elektronicznego podczas zatwierdzania dokumentu handlowego. Działania te wiążą się z różnymi dowodami i mechanizmami kontroli, mimo że wszystkie mogą stanowić część elektronicznie uwierzytelnionego procesu.
| Kontekst biznesowy | Co może zostać uwierzytelnione | Czego uwierzytelnianie nie potwierdza |
|---|---|---|
| Dostęp do konta sprzedawcy | Kontrolę nad uwierzytelniaczem powiązanym z kontem | Że każde działanie wykonane za pośrednictwem konta jest zgodne z prawem handlowym |
| Dostęp do aplikacji magazynowej | Konto pracownika lub urządzenie łączące się z systemem | Że spis zapasów lub wynik kompletacji jest prawidłowy |
| Połączenie z API wysyłkowym | Aplikację lub organizację przedstawiającą zaakceptowane dane uwierzytelniające | Że dane przesyłki odpowiadają fizycznej paczce |
| Elektroniczny dokument handlowy | Deklarowane źródło lub tożsamość podpisującego, zależnie od mechanizmu | Że każde stwierdzenie w dokumencie jest prawdziwe |
| Interakcja z klientem dotycząca dostawy | Kontrolę nad kontem, urządzeniem lub kodem wymaganym w procesie | Wszystkie fakty niezbędne do ustalenia dostawy, własności lub odpowiedzialności |
Są to przykładowe zastosowania, a nie uniwersalny zestaw wymagań. Odpowiednia metoda zależy od skutków nieuprawnionego dostępu, zaangażowanych stron oraz wszelkich mających zastosowanie wymagań umownych lub regulacyjnych.
Jak działa uwierzytelnianie elektroniczne
1. Ustanowienie konta lub relacji zaufania
Zanim zdarzenie uwierzytelnienia będzie miało znaczenie, system potrzebuje podstawy do rozpoznania osoby zgłaszającej roszczenie. Może to obejmować utworzenie konta, sprawdzenie dowodów tożsamości, rejestrację organizacji lub wydanie danych uwierzytelniających aplikacji. Ustalanie tożsamości i uwierzytelnianie to odrębne działania: ustalanie tożsamości ocenia, kim jest wnioskodawca, natomiast uwierzytelnianie sprawdza następnie kontrolę nad uwierzytelniaczem powiązanym z tą tożsamością lub kontem.
Nie każde konto handlowe jest powiązane ze zweryfikowaną tożsamością prawną. System może ustalić jedynie, że powrócił ten sam posiadacz konta. To rozróżnienie ma znaczenie, gdy firma potrzebuje dowodu tożsamości danej osoby lub jej upoważnienia do reprezentowania przedsiębiorstwa, a nie tylko ciągłości dostępu do konta.
2. Powiązanie uwierzytelniacza
Uwierzytelniacz zostaje powiązany z kontem lub tożsamością. Przykłady obejmują hasło, klucz kryptograficzny lub urządzenie używane do generowania odpowiedzi uwierzytelniających. Proces rejestracji i powiązania ma znaczenie, ponieważ silny mechanizm uwierzytelniania zapewnia ograniczoną ochronę, jeśli atakujący może zarejestrować własny uwierzytelniacz dla cudzego konta.
3. Przedstawienie i sprawdzenie dowodów
Gdy żądany jest dostęp lub zatwierdzenie, osoba zgłaszająca roszczenie dostarcza dowód za pośrednictwem wybranego protokołu uwierzytelniania. Weryfikator sprawdza ten dowód. W zależności od metody może to obejmować sprawdzenie wartości uzyskanej z hasła, zweryfikowanie jednorazowej odpowiedzi lub weryfikację podpisu kryptograficznego dotyczącego wyzwania. Dobrze zaprojektowany protokół wyzwanie–odpowiedź może wykazać kontrolę nad tajnym kluczem bez przesyłania samego klucza.
4. Stosowanie zasad autoryzacji
Po pomyślnym uwierzytelnieniu następuje odrębna decyzja dotycząca uprawnień. Pracownik magazynu może mieć możliwość przeglądania zadań kompletacji, ale nie zmiany danych dotyczących wypłat. Integracja wysyłkowa może mieć możliwość tworzenia etykiet, ale nie zarządzania użytkownikami. Uwierzytelnianie identyfikuje dane konto lub podmiot; autoryzacja określa działania, które ten podmiot może wykonywać.
5. Zarządzanie sesjami i zmianami
Po uwierzytelnieniu system może utrzymywać sesję zamiast wymagać nowego logowania przy każdym działaniu. Ochrona sesji, unieważnianie danych uwierzytelniających, odzyskiwanie konta i wymiana uwierzytelniacza pozostają ważnymi elementami całego procesu. Wrażliwe działanie, takie jak zmiana miejsca docelowego zwrotu środków, może wymagać ponownego uwierzytelnienia nawet wtedy, gdy sesja jest już aktywna.
Czynniki i mechanizmy uwierzytelniania
W przypadku użytkowników będących ludźmi czynniki uwierzytelniania są zwykle opisywane jako coś, co osoba zna, posiada lub czym jest. Kategorie te opisują używane dowody; nie określają automatycznie bezpieczeństwa pełnej implementacji. Połączenia między maszynami wykorzystują mechanizmy takie jak wspólne sekrety, klucze kryptograficzne i certyfikaty, ale nie należy ich traktować jako identycznych z procesami logowania ludzi.
| Czynnik lub mechanizm | Przykłady | Istotne ograniczenie |
|---|---|---|
| Czynnik wiedzy | Hasło lub PIN | Sekrety mogą zostać odgadnięte, ujawnione lub przechwycone w wyniku phishingu. |
| Czynnik posiadania | Klucz bezpieczeństwa lub zarejestrowane urządzenie uwierzytelniające | Ochrona zależy od protokołu, bezpieczeństwa urządzenia i procesu odzyskiwania. |
| Cecha biometryczna | Odcisk palca lub rozpoznawanie twarzy używane do aktywacji uwierzytelniacza | Dopasowanie biometryczne ma charakter probabilistyczny i wymaga odpowiednich zabezpieczeń. |
| Poświadczenie maszynowe | Sekret API, klucz prywatny lub certyfikat klienta | Skradzione poświadczenie może umożliwić innemu systemowi podszywanie się pod autoryzowaną aplikację. |
Uwierzytelnianie wieloskładnikowe łączy odrębne czynniki uwierzytelniania. Dwa hasła nie stanowią dwóch różnych czynników. Podobnie proces z kilkoma ekranami niekoniecznie jest uwierzytelnianiem wieloskładnikowym. Istotne jest to, czy proces wymaga niezależnych form dowodu, a nie liczba kroków widocznych dla użytkownika.
Odporność na phishing jest kolejną odrębną cechą. Metoda może obejmować wiele czynników, a mimo to umożliwiać atakującemu przekazanie dalej lub przechwycenie dowodów uwierzytelniania. Wytyczne NIST dotyczące tożsamości cyfrowej rozróżniają metody uwierzytelniania według ich właściwości i wymagań dotyczących poziomu zapewnienia, zamiast traktować wszystkie metody wieloskładnikowe jako wzajemnie wymienne.
Terminy powiązane i ważne rozróżnienia
| Termin | Znaczenie | Relacja z uwierzytelnianiem elektronicznym |
|---|---|---|
| Identyfikacja | Przedstawienie identyfikatora, takiego jak nazwa konta | Wskazuje, za którą tożsamość podmiot się podaje; nie potwierdza tego twierdzenia. |
| Ustalanie tożsamości | Ocena dowodów w celu ustalenia tożsamości wnioskodawcy | Może ustalić tożsamość, z którą następnie zostaną powiązane uwierzytelniacze. |
| Autoryzacja | Określanie dozwolonych działań i dostępu | Wykorzystuje uwierzytelnioną tożsamość lub inne dane wynikające z zasad do podejmowania decyzji dotyczących dostępu. |
| Podpis elektroniczny | Dane elektroniczne używane w związku z podpisywaniem dokumentu | Może identyfikować podpisującego i wskazywać zatwierdzenie; definicje i wymagania prawne są różne. |
| Podpis cyfrowy | Mechanizm kryptograficzny wykorzystujący klucz prywatny i odpowiadający mu klucz publiczny | Może wspierać uwierzytelnianie pochodzenia i wykrywanie zmian w podpisanych danych. |
| Szyfrowanie | Przekształcanie informacji w celu ochrony jej poufności | Samo w sobie nie ustala tożsamości strony komunikującej się. |
| Uwierzytelnianie produktu | Sprawdzanie, czy fizyczny przedmiot jest oryginalny | Dotyczy samych towarów, a nie wyłącznie dostępu do konta lub pochodzenia wiadomości. |
Podpis elektroniczny i zdarzenie uwierzytelniania elektronicznego mogą wystąpić jednocześnie, ale służą różnym celom. Podpisanie może wyrażać zatwierdzenie konkretnego dokumentu lub transakcji. Zalogowanie się do konta ustanawia dostęp zgodnie z zasadami uwierzytelniania tego konta. Samo logowanie nie musi oznaczać, że użytkownik zatwierdził konkretny dokument.
Podpis cyfrowy również wymaga interpretacji w ramach zaufania. Pomyślna weryfikacja kryptograficzna pokazuje, że podpis odpowiada konkretnemu kluczowi i podpisanym danym. Powiązanie tego klucza z imiennie wskazaną osobą, organizacją lub organem wymaga dodatkowych dowodów, takich jak zaufany certyfikat i odpowiednie procedury rejestracyjne.
Dokumenty transgraniczne i znaczenie prawne
W handlu transgranicznym uwierzytelnianie elektroniczne może wspierać zatwierdzanie zakupów, instrukcje wysyłkowe, zgłoszenia celne i inne dokumenty elektroniczne. Weryfikacja techniczna i uznanie prawne to jednak odrębne kwestie. Dokument może pomyślnie przejść techniczne sprawdzenie podpisu, nie spełniając jednocześnie wszystkich wymagań mających zastosowanie do danej transakcji.
Modelowa ustawa UNCITRAL o handlu elektronicznym odnosi się do dokumentów elektronicznych i funkcjonalnych odpowiedników wymogów dotyczących dokumentów papierowych. Modelowa ustawa UNCITRAL o podpisach elektronicznych ustanawia ramy dotyczące podpisów elektronicznych i ich wiarygodności. Są to ustawy modelowe mające wspierać rozwój legislacji; nie stanowią automatycznie wiążących zasad dla każdej transakcji międzynarodowej.
W odniesieniu do konkretnego dokumentu handlowego istotne pytania obejmują to, czy organ otrzymujący akceptuje format elektroniczny, czy podpisujący ma uprawnienia do działania, jakie wymagania dotyczące podpisu mają zastosowanie oraz czy dokument można przechowywać i odtwarzać w wymagany sposób. Uwierzytelnianie nie zastępuje kontroli celnej, nie ustala klasyfikacji taryfowej ani nie poświadcza prawidłowości faktury.
Praktyczna ocena i granice dowodowe
Ocena procesu uwierzytelniania wymaga czegoś więcej niż sprawdzenia, czy występuje hasło lub kod weryfikacyjny. Poniższe pytania pomagają określić, jakie dowody proces faktycznie dostarcza:
- Kto lub co jest uwierzytelniane? Należy rozróżnić osobę, konto, organizację, aplikację, urządzenie i źródło dokumentu.
- W jaki sposób ustalono deklarowaną tożsamość? Konto zarejestrowane za pomocą adresu e-mail i zweryfikowany przedstawiciel firmy dostarczają różnego rodzaju dowodów.
- Jakiego działania dotyczy proces? Dostępu do strony śledzenia nie należy mylić z uprawnieniem do zmiany adresu dostawy lub miejsca docelowego płatności.
- Przed czym chroni mechanizm? Należy uwzględnić phishing, ponowne użycie danych, kradzież poświadczeń i nieuprawnioną rejestrację, a nie polegać wyłącznie na liczbie kroków logowania.
- W jaki sposób odzyskuje się lub zastępuje dane uwierzytelniające? Słaba ścieżka odzyskiwania może osłabić silniejsze rutynowe uwierzytelnianie.
- Czy dostęp można cofnąć? Odchodzący pracownicy i wycofane integracje nie powinny zachowywać zbędnego dostępu.
- Jakie dowody są przechowywane? Dokumentacja powinna rozróżniać uwierzytelnianie, autoryzację, zatwierdzenie dokumentu i późniejsze działania biznesowe.
Rejestry uwierzytelniania mogą wspierać dochodzenie, ale nie dowodzą automatycznie, że konkretna osoba wykonała dane działanie. Współdzielone konta, przejęte urządzenia, skradzione sesje i dostęp delegowany mogą komplikować przypisanie działania. Podobnie wprowadzenie przez klienta kodu dostawy dostarcza dowodu określonego przez dany proces dostawy, a nie nieograniczonej gwarancji dotyczącej tożsamości prawnej odbiorcy lub stanu towarów.
Najczęściej zadawane pytania
Co oznacza uwierzytelnianie elektroniczne w handlu elektronicznym?
Oznacza sprawdzanie elektronicznych dowodów powiązanych z deklarowaną tożsamością lub źródłem, takich jak weryfikacja logowania sprzedawcy lub danych uwierzytelniających aplikacji. Wspiera kontrolowany dostęp, ale niezależnie nie potwierdza zasadności zakupu ani przesyłki.
Czy uwierzytelnianie elektroniczne jest tym samym co podpis elektroniczny?
Nie. Uwierzytelnianie sprawdza deklarowaną tożsamość lub źródło. Podpis elektroniczny dotyczy podpisywania dokumentu i może wskazywać zatwierdzenie. Transakcja może wykorzystywać oba rozwiązania, ale jedno nie ustanawia automatycznie drugiego.
Czy uwierzytelnianie potwierdza dostarczenie przesyłki?
Nie. Może dostarczać dowodów dotyczących konta, urządzenia lub osoby uczestniczącej w interakcji związanej z dostawą. Sama dostawa wymaga dowodów odnoszących się do przesyłki i właściwego procesu dostawy.
Czy uwierzytelnianie elektroniczne sprawia, że dokument handlowy jest prawnie ważny wszędzie?
Nie. Uznanie prawne zależy od właściwego prawa, wymagań dotyczących dokumentu, organu otrzymującego i okoliczności transakcji. Samo uwierzytelnianie techniczne nie rozstrzyga tych kwestii.
Źródła
- NIST SP 800-63B-4: Wytyczne dotyczące tożsamości cyfrowej — uwierzytelnianie i zarządzanie uwierzytelniaczami — Koncepcje uwierzytelniania, czynniki, zarządzanie uwierzytelniaczami, odporność na phishing i kwestie dotyczące sesji.
- NIST SP 800-63A-4: Wytyczne dotyczące tożsamości cyfrowej — ustalanie tożsamości i rejestracja — Rozróżnienie między ustanowieniem tożsamości a późniejszym uwierzytelnieniem konta.
- Modelowa ustawa UNCITRAL o handlu elektronicznym — Dokumenty elektroniczne, równoważność funkcjonalna i kontekst legislacyjny handlu elektronicznego.
- Modelowa ustawa UNCITRAL o podpisach elektronicznych — Koncepcje podpisu elektronicznego, wiarygodność oraz rozróżnienie między modelowymi ramami legislacyjnymi a właściwym prawem krajowym.
