Autentificare electronică
Ce este autentificarea electronică?
Autentificarea electronică este procesul de verificare, prin mijloace electronice, a faptului că un utilizator, o organizație, un dispozitiv sau un mesaj digital este asociat cu identitatea sau sursa pe care o revendică. În comerțul electronic și logistică, aceasta ajută la stabilirea persoanei care accesează un cont de comerciant, transmite instrucțiuni de expediere, se conectează la un sistem de afaceri sau aprobă o tranzacție electronică. Autentificarea oferă dovezi privind identitatea sau originea; prin ea însăși, nu stabilește că o comandă este legitimă, că mărfurile corespund descrierii sau că o expediere a fost livrată.
Termenul are înțelesuri înrudite, dar distincte, în domeniul securității informațiilor și al dreptului comerțului electronic. În sistemele de identitate digitală, autentificarea înseamnă de obicei verificarea faptului că un solicitant deține controlul asupra unui autentificator asociat unui cont. În fluxurile de lucru cu documente electronice, se poate referi mai larg la stabilirea originii sau autenticității unei înregistrări, uneori folosind semnături electronice sau metode criptografice. Prin urmare, sensul intenționat depinde de ceea ce este autentificat și de cadrul tehnic sau juridic aplicabil.
Rolul în comerțul electronic și logistică
Autentificarea electronică operează în punctele în care oamenii și sistemele schimbă instrucțiuni, accesează informații sau aprobă acțiuni. Ea susține relațiile de încredere din jurul unei comenzi, nu deplasarea fizică a mărfurilor. Un comerciant, un operator de depozit, un transportator, un broker vamal și un client pot interacționa fiecare cu sisteme de autentificare diferite în timpul aceleiași tranzacții.
De exemplu, un angajat al unui depozit se poate autentifica înainte de a accesa o aplicație de gestionare a inventarului. Software-ul unui comerciant se poate autentifica atunci când solicită etichete de expediere printr-o interfață de programare a aplicațiilor sau API. Un reprezentant al unei companii poate utiliza o semnătură electronică atunci când aprobă un document comercial. Aceste activități implică dovezi și controale diferite, chiar dacă toate pot face parte dintr-un flux de lucru autentificat electronic.
| Context comercial | Ce poate fi autentificat | Ce nu stabilește autentificarea |
|---|---|---|
| Acces la contul comerciantului | Controlul unui autentificator asociat contului | Faptul că fiecare acțiune efectuată prin cont este legitimă din punct de vedere comercial |
| Acces la aplicația depozitului | Contul angajatului sau dispozitivul care se conectează la sistem | Faptul că inventarierea sau rezultatul pregătirii comenzii este corect |
| Conexiune API de expediere | Aplicația sau organizația care prezintă acreditările acceptate | Faptul că detaliile expedierii corespund coletului fizic |
| Document comercial electronic | Sursa revendicată sau identitatea semnatarului, în funcție de mecanism | Faptul că fiecare afirmație din document este adevărată |
| Interacțiunea clientului cu livrarea | Controlul unui cont, dispozitiv sau cod necesar fluxului de lucru | Toate faptele necesare pentru determinarea livrării, proprietății sau răspunderii |
Acestea sunt aplicații ilustrative, nu un set universal de cerințe. Metoda adecvată depinde de consecințele accesului neautorizat, de părțile implicate și de orice cerințe contractuale sau de reglementare aplicabile.
Cum funcționează autentificarea electronică
1. Stabilirea contului sau a relației de încredere
Înainte ca un eveniment de autentificare să poată avea semnificație, un sistem are nevoie de o bază pentru recunoașterea solicitantului. Aceasta poate implica crearea unui cont, verificarea dovezilor de identitate, înregistrarea unei organizații sau emiterea de acreditări pentru o aplicație software. Dovedirea identității și autentificarea sunt activități separate: dovedirea identității evaluează cine este solicitantul, în timp ce autentificarea verifică ulterior controlul asupra unui autentificator asociat acelei identități sau acelui cont.
Nu orice cont comercial este asociat unei identități juridice verificate. Un sistem poate stabili doar că același titular al contului s-a întors. Această distincție este importantă atunci când o companie are nevoie de dovezi privind identitatea unei persoane sau autoritatea acesteia de a reprezenta compania, nu doar de continuitatea accesului la cont.
2. Asocierea unui autentificator
Un autentificator este asociat contului sau identității. Exemplele includ o parolă, o cheie criptografică sau un dispozitiv utilizat pentru generarea răspunsurilor de autentificare. Procesul de înrolare și asociere este important deoarece un mecanism puternic de autentificare oferă protecție limitată dacă un atacator își poate înregistra propriul autentificator în contul altei persoane.
3. Prezentarea și verificarea dovezilor
Atunci când se solicită accesul sau aprobarea, solicitantul furnizează dovezi prin protocolul de autentificare selectat. Verificatorul controlează acele dovezi. În funcție de metodă, aceasta poate implica verificarea unei valori derivate din parolă, validarea unui răspuns de unică folosință sau verificarea unei semnături criptografice asupra unei provocări. Un protocol de tip provocare-răspuns bine conceput poate demonstra controlul unei chei secrete fără transmiterea cheii în sine.
4. Aplicarea regulilor de autorizare
Autentificarea reușită este urmată de o decizie separată privind permisiunile. Un lucrător din depozit poate avea voie să vizualizeze sarcinile de pregătire a comenzilor, dar nu să modifice detaliile plăților. O integrare de expediere poate avea voie să creeze etichete, dar nu să gestioneze utilizatori. Autentificarea identifică contul sau entitatea implicată; autorizarea determină acțiunile pe care entitatea le poate efectua.
5. Gestionarea sesiunilor și a modificărilor
După autentificare, un sistem poate menține o sesiune în loc să solicite o autentificare nouă pentru fiecare acțiune. Protecția sesiunii, revocarea acreditărilor, recuperarea contului și înlocuirea autentificatorului rămân componente importante ale procesului general. O acțiune sensibilă, precum modificarea destinației unei rambursări, poate necesita o nouă autentificare chiar și atunci când o sesiune este deja activă.
Factori și mecanisme de autentificare
Pentru utilizatorii umani, factorii de autentificare sunt descriși de obicei ca ceva ce o persoană cunoaște, deține sau este. Aceste categorii descriu dovezile utilizate; ele nu determină automat securitatea unei implementări complete. Conexiunile între mașini utilizează mecanisme precum secrete partajate, chei criptografice și certificate, dar nu ar trebui tratate ca fiind identice cu fluxurile de autentificare umană.
| Factor sau mecanism | Exemple | Limitare importantă |
|---|---|---|
| Factor de cunoaștere | Parolă sau PIN | Secretele pot fi ghicite, divulgate sau capturate prin phishing. |
| Factor de posesie | Cheie de securitate sau dispozitiv autentificator înrolat | Protecția depinde de protocol, securitatea dispozitivului și procesul de recuperare. |
| Caracteristică biometrică | Amprentă sau recunoaștere facială utilizată pentru activarea unui autentificator | Potrivirea biometrică este probabilistică și necesită măsuri de protecție adecvate. |
| Acreditare pentru mașină | Secret API, cheie privată sau certificat de client | O acreditare furată poate permite unui alt sistem să imite aplicația autorizată. |
Autentificarea multifactor combină factori de autentificare distincți. Două parole nu constituie doi factori diferiți. De asemenea, un flux de lucru cu mai multe ecrane nu este neapărat o autentificare multifactor. Întrebarea relevantă este dacă procesul necesită forme independente de dovezi, nu câți pași vede utilizatorul.
Rezistența la phishing este o altă proprietate separată. O metodă poate implica mai mulți factori și totuși să permită unui atacator să retransmită sau să captureze dovezile de autentificare. Orientările NIST privind identitatea digitală diferențiază metodele de autentificare în funcție de proprietățile și cerințele lor de asigurare, nu tratează toate metodele multifactor ca fiind interschimbabile.
Termeni înrudiți și distincții importante
| Termen | Semnificație | Relația cu autentificarea electronică |
|---|---|---|
| Identificare | Prezentarea unui identificator, precum numele unui cont | Indică identitatea revendicată; nu dovedește revendicarea. |
| Dovedirea identității | Evaluarea dovezilor pentru stabilirea identității solicitantului | Poate stabili identitatea de care vor fi asociați ulterior autentificatorii. |
| Autorizare | Determinarea acțiunilor și accesului permise | Utilizează o identitate autentificată sau alte date de politică pentru a lua decizii privind accesul. |
| Semnătură electronică | Date electronice utilizate în legătură cu semnarea unei înregistrări | Poate identifica semnatarul și indica aprobarea; definițiile și cerințele juridice variază. |
| Semnătură digitală | Mecanism criptografic care utilizează o cheie privată și cheia publică corespunzătoare | Poate susține autentificarea originii și detectarea modificărilor datelor semnate. |
| Criptare | Transformarea informațiilor pentru protejarea confidențialității | Prin ea însăși, nu stabilește identitatea părții care comunică. |
| Autentificarea produsului | Verificarea dacă un articol fizic este autentic | Se referă la mărfurile în sine, nu doar la accesul la un cont sau la originea unui mesaj. |
O semnătură electronică și un eveniment de autentificare electronică pot avea loc împreună, dar servesc unor scopuri diferite. Semnarea poate exprima aprobarea unui anumit document sau a unei anumite tranzacții. Conectarea la un cont stabilește accesul conform regulilor de autentificare ale acelui cont. O simplă conectare nu demonstrează neapărat că utilizatorul a aprobat un anumit document.
O semnătură digitală necesită, de asemenea, interpretare în cadrul unui cadru de încredere. Verificarea criptografică reușită arată că semnătura corespunde unei anumite chei și datelor semnate. Asocierea acelei chei cu o persoană, organizație sau autoritate nominalizată necesită dovezi suplimentare, precum un certificat de încredere și proceduri de înregistrare adecvate.
Documente transfrontaliere și semnificație juridică
În comerțul transfrontalier, autentificarea electronică poate susține aprobări de achiziții, instrucțiuni de expediere, declarații vamale și alte înregistrări electronice. Totuși, verificarea tehnică și recunoașterea juridică sunt întrebări separate. Un document poate trece de verificarea tehnică a semnăturii fără a îndeplini toate cerințele aplicabile tranzacției respective.
Legea-model UNCITRAL privind comerțul electronic abordează înregistrările electronice și echivalentele funcționale ale cerințelor bazate pe hârtie. Legea-model UNCITRAL privind semnăturile electronice oferă un cadru referitor la semnăturile electronice și fiabilitatea acestora. Acestea sunt legi-model menite să sprijine dezvoltarea legislativă; nu sunt automat reguli obligatorii pentru fiecare tranzacție internațională.
Pentru un anumit document comercial, întrebările relevante includ dacă autoritatea destinatară acceptă formatul electronic, dacă semnatarul are autoritatea de a acționa, ce cerințe privind semnătura se aplică și dacă înregistrarea poate fi păstrată și reprodusă conform cerințelor. Autentificarea nu înlocuiește controlul vamal, nu stabilește clasificarea tarifară și nu certifică exactitatea unei facturi.
Evaluare practică și limitele dovezilor
Evaluarea unui flux de autentificare necesită mai mult decât verificarea existenței unei parole sau a unui cod de verificare. Următoarele întrebări ajută la definirea dovezilor furnizate efectiv de proces:
- Cine sau ce este autentificat? Faceți distincția între o persoană, un cont, o organizație, o aplicație, un dispozitiv și sursa unui document.
- Cum a fost stabilită identitatea revendicată? Un cont înregistrat prin e-mail și un reprezentant al unei companii a cărui identitate a fost verificată oferă dovezi diferite.
- Ce acțiune este acoperită? Accesul la o pagină de urmărire nu trebuie confundat cu aprobarea modificării unei adrese de livrare sau a destinației unei plăți.
- La ce rezistă mecanismul? Luați în considerare phishingul, redarea repetată, furtul acreditărilor și înrolarea neautorizată, în loc să vă bazați doar pe numărul de pași de conectare.
- Cum sunt recuperate sau înlocuite acreditările? O cale slabă de recuperare poate compromite o autentificare de rutină mai puternică.
- Poate fi revocat accesul? Angajații care pleacă și integrările întrerupte nu ar trebui să păstreze acces inutil.
- Ce dovezi sunt păstrate? Înregistrările ar trebui să distingă autentificarea, autorizarea, aprobarea documentului și acțiunile comerciale ulterioare.
Jurnalele de autentificare pot sprijini o investigație, dar nu dovedesc automat că o anumită persoană a efectuat o acțiune. Conturile partajate, dispozitivele compromise, sesiunile furate și accesul delegat pot complica atribuirea. În mod similar, introducerea de către un client a unui cod de livrare oferă dovezi definite de fluxul respectiv de livrare, nu o garanție nelimitată privind identitatea juridică a destinatarului sau starea mărfurilor.
Întrebări și răspunsuri
Ce înseamnă autentificarea electronică în comerțul electronic?
Înseamnă verificarea dovezilor electronice asociate unei identități sau surse revendicate, precum verificarea conectării unui comerciant sau a acreditărilor unei aplicații. Ea susține accesul controlat, dar nu validează în mod independent achiziția sau expedierea de bază.
Este autentificarea electronică același lucru cu o semnătură electronică?
Nu. Autentificarea verifică o identitate sau o sursă revendicată. O semnătură electronică se referă la semnarea unei înregistrări și poate indica aprobarea. O tranzacție le poate utiliza pe ambele, dar una nu o stabilește automat pe cealaltă.
Dovedește autentificarea că o expediere a fost livrată?
Nu. Ea poate contribui cu dovezi privind un cont, dispozitiv sau persoană implicată într-o interacțiune de livrare. Livrarea în sine necesită dovezi relevante pentru expediere și pentru procesul de livrare aplicabil.
Face autentificarea electronică un document comercial valabil din punct de vedere juridic peste tot?
Nu. Recunoașterea juridică depinde de legea aplicabilă, cerințele documentului, autoritatea destinatară și circumstanțele tranzacției. Autentificarea tehnică singură nu rezolvă aceste întrebări.
Surse
- NIST SP 800-63B-4: Orientări privind identitatea digitală — Autentificarea și gestionarea autentificatorilor — Concepte de autentificare, factori, gestionarea autentificatorilor, rezistența la phishing și considerații privind sesiunile.
- NIST SP 800-63A-4: Orientări privind identitatea digitală — Dovedirea identității și înrolarea — Distincția dintre stabilirea unei identități și autentificarea ulterioară a unui cont.
- Legea-model UNCITRAL privind comerțul electronic — Înregistrări electronice, echivalență funcțională și contextul legislativ pentru comerțul electronic.
- Legea-model UNCITRAL privind semnăturile electronice — Concepte privind semnăturile electronice, fiabilitatea și distincția dintre un cadru legislativ-model și legislația națională aplicabilă.
