Электронная аутентификация
Что такое электронная аутентификация?
Электронная аутентификация — это процесс проверки с помощью электронных средств того, что пользователь, организация, устройство или цифровое сообщение связаны с заявленной ими личностью или источником. В электронной торговле и логистике она помогает установить, кто получает доступ к аккаунту продавца, отправляет инструкции по доставке, подключается к бизнес-системе или утверждает электронную транзакцию. Аутентификация предоставляет подтверждение личности или происхождения, но сама по себе не устанавливает, что заказ является законным, товары соответствуют описанию или отправление было доставлено.
Этот термин имеет связанные, но отличающиеся значения в сфере информационной безопасности и законодательства об электронной торговле. В системах цифровой идентификации аутентификация обычно означает проверку того, что заявитель контролирует средство аутентификации, связанное с аккаунтом. В электронных документооборотах она может обозначать более широкое установление происхождения или подлинности записи, иногда с использованием электронных подписей или криптографических методов. Поэтому значение зависит от того, что именно аутентифицируется и какие технические или правовые рамки применяются.
Роль в электронной торговле и логистике
Электронная аутентификация осуществляется в точках, где люди и системы обмениваются инструкциями, получают доступ к информации или утверждают действия. Она поддерживает доверительные отношения вокруг заказа, а не физическое перемещение самих товаров. Продавец, оператор склада, перевозчик, таможенный брокер и клиент могут взаимодействовать с различными системами аутентификации в рамках одной транзакции.
Например, сотрудник склада может пройти аутентификацию перед доступом к приложению для управления запасами. Программное обеспечение продавца может проходить аутентификацию при запросе транспортных этикеток через интерфейс прикладного программирования, или API. Представитель компании может использовать электронную подпись при утверждении торгового документа. Эти действия связаны с разными доказательствами и средствами контроля, хотя все они могут быть частью электронно аутентифицированного рабочего процесса.
| Бизнес-контекст | Что может быть аутентифицировано | Что аутентификация не устанавливает |
|---|---|---|
| Доступ к аккаунту продавца | Контроль над средством аутентификации, связанным с аккаунтом | Что каждое действие, выполненное через аккаунт, является коммерчески законным |
| Доступ к приложению склада | Аккаунт сотрудника или устройство, подключающееся к системе | Что подсчет запасов или результат комплектации являются точными |
| Подключение к API доставки | Приложение или организация, предоставляющая принятые учетные данные | Что сведения об отправлении соответствуют физической посылке |
| Электронный торговый документ | Заявленный источник или личность подписанта — в зависимости от механизма | Что каждое утверждение в документе является истинным |
| Взаимодействие с клиентом при доставке | Контроль над аккаунтом, устройством или кодом, требуемым рабочим процессом | Все факты, необходимые для определения доставки, права собственности или ответственности |
Это примеры применения, а не универсальный набор требований. Подходящий метод зависит от последствий несанкционированного доступа, участвующих сторон и применимых договорных или нормативных требований.
Как работает электронная аутентификация
1. Установление аккаунта или доверительных отношений
До того как событие аутентификации приобретет значение, системе необходимо основание для распознавания заявителя. Это может включать создание аккаунта, проверку подтверждений личности, регистрацию организации или выдачу учетных данных программному приложению. Подтверждение личности и аутентификация — это разные процессы: при подтверждении личности оценивается, кем является заявитель, а при последующей аутентификации проверяется контроль над средством аутентификации, связанным с этой личностью или аккаунтом.
Не каждый коммерческий аккаунт связан с подтвержденной юридической личностью. Система может установить лишь то, что вернулся тот же владелец аккаунта. Это различие важно, когда компании необходимо подтверждение личности человека или его полномочий представлять компанию, а не просто подтверждение непрерывности доступа к аккаунту.
2. Привязка средства аутентификации
Средство аутентификации связывается с аккаунтом или личностью. Примеры включают пароль, криптографический ключ или устройство, используемое для формирования ответов при аутентификации. Процесс регистрации и привязки имеет большое значение, поскольку надежный механизм аутентификации обеспечивает ограниченную защиту, если злоумышленник может зарегистрировать собственное средство аутентификации для чужого аккаунта.
3. Предоставление и проверка подтверждений
Когда запрашивается доступ или утверждение, заявитель предоставляет подтверждение через выбранный протокол аутентификации. Проверяющая сторона проверяет это подтверждение. В зависимости от метода это может включать проверку значения, полученного из пароля, проверку одноразового ответа или проверку криптографической подписи вызова. Хорошо разработанный протокол «вызов–ответ» может подтвердить контроль над секретным ключом без передачи самого ключа.
4. Применение правил авторизации
После успешной аутентификации принимается отдельное решение о разрешениях. Работнику склада может быть разрешено просматривать задания на комплектацию, но запрещено изменять платежные реквизиты. Интеграции доставки может быть разрешено создавать этикетки, но не управлять пользователями. Аутентификация идентифицирует участвующий аккаунт или субъект; авторизация определяет действия, которые этот субъект может выполнять.
5. Управление сеансами и изменениями
После аутентификации система может поддерживать сеанс, а не требовать нового входа для каждого действия. Защита сеанса, отзыв учетных данных, восстановление аккаунта и замена средства аутентификации остаются важными частями общего процесса. Для конфиденциального действия, например изменения назначения возврата средств, может потребоваться повторная аутентификация даже при уже активном сеансе.
Факторы и механизмы аутентификации
Для людей факторы аутентификации обычно описываются как то, что человек знает, чем владеет или чем является. Эти категории описывают используемые доказательства; они не определяют автоматически безопасность полной реализации. Соединения между машинами используют такие механизмы, как общие секреты, криптографические ключи и сертификаты, но их не следует считать идентичными процессам входа человека в систему.
| Фактор или механизм | Примеры | Важное ограничение |
|---|---|---|
| Фактор знания | Пароль или PIN-код | Секреты могут быть угаданы, раскрыты или перехвачены с помощью фишинга. |
| Фактор владения | Ключ безопасности или зарегистрированное устройство аутентификации | Защита зависит от протокола, безопасности устройства и процесса восстановления. |
| Биометрический признак | Отпечаток пальца или распознавание лица, используемые для активации средства аутентификации | Биометрическое сопоставление носит вероятностный характер и требует надлежащих мер защиты. |
| Машинные учетные данные | Секрет API, закрытый ключ или сертификат клиента | Украденные учетные данные могут позволить другой системе выдать себя за авторизованное приложение. |
Многофакторная аутентификация объединяет различные факторы аутентификации. Два пароля не являются двумя разными факторами. Аналогично, рабочий процесс с несколькими экранами не обязательно является многофакторной аутентификацией. Важно, требует ли процесс независимых форм подтверждения, а не то, сколько шагов видит пользователь.
Устойчивость к фишингу — еще одно отдельное свойство. Метод может включать несколько факторов и при этом позволять злоумышленнику передавать или перехватывать подтверждения аутентификации. Руководство NIST по цифровой идентификации различает методы аутентификации по их свойствам и требованиям к уровню гарантии, а не рассматривает все многофакторные методы как взаимозаменяемые.
Связанные термины и важные различия
| Термин | Значение | Связь с электронной аутентификацией |
|---|---|---|
| Идентификация | Предоставление идентификатора, например имени аккаунта | Указывает, какая личность заявлена; не доказывает это заявление. |
| Подтверждение личности | Оценка доказательств для установления личности заявителя | Может установить личность, к которой впоследствии привязываются средства аутентификации. |
| Авторизация | Определение разрешенных действий и доступа | Использует аутентифицированную личность или другие политические параметры для принятия решений о доступе. |
| Электронная подпись | Электронные данные, используемые в связи с подписанием записи | Может идентифицировать подписанта и указывать на утверждение; юридические определения и требования различаются. |
| Цифровая подпись | Криптографический механизм с использованием закрытого ключа и соответствующего открытого ключа | Может подтверждать происхождение и обнаружение изменений подписанных данных. |
| Шифрование | Преобразование информации для защиты ее конфиденциальности | Само по себе не устанавливает личность взаимодействующей стороны. |
| Аутентификация товара | Проверка подлинности физического предмета | Относится к самим товарам, а не только к доступу к аккаунту или происхождению сообщения. |
Электронная подпись и событие электронной аутентификации могут происходить одновременно, но служат разным целям. Подписание может выражать утверждение конкретного документа или транзакции. Вход в аккаунт устанавливает доступ в соответствии с правилами аутентификации этого аккаунта. Один только вход не обязательно доказывает, что пользователь утвердил конкретный документ.
Цифровая подпись также требует интерпретации в рамках доверительной модели. Успешная криптографическая проверка показывает, что подпись соответствует определенному ключу и подписанным данным. Связывание этого ключа с конкретным человеком, организацией или органом требует дополнительных доказательств, например доверенного сертификата и надлежащих процедур регистрации.
Трансграничные документы и юридическое значение
В трансграничной торговле электронная аутентификация может поддерживать утверждение покупок, инструкции по доставке, таможенные декларации и другие электронные записи. Однако техническая проверка и юридическое признание — это разные вопросы. Документ может успешно пройти техническую проверку подписи, но не соответствовать всем требованиям, применимым к конкретной транзакции.
Типовой закон ЮНСИТРАЛ об электронной торговле рассматривает электронные записи и функциональные эквиваленты требований к бумажным документам. Типовой закон ЮНСИТРАЛ об электронных подписях предоставляет рамки для электронных подписей и их надежности. Это типовые законы, предназначенные для содействия законодательному развитию; они не являются автоматически обязательными правилами для каждой международной транзакции.
Для конкретного торгового документа важны такие вопросы, как принимает ли получающий орган электронный формат, имеет ли подписант полномочия действовать, какие требования к подписи применяются и может ли запись храниться и воспроизводиться в установленном порядке. Аутентификация не заменяет таможенную проверку, не устанавливает тарифную классификацию и не подтверждает точность счета-фактуры.
Практическая оценка и границы доказательств
Оценка рабочего процесса аутентификации требует большего, чем проверка наличия пароля или кода подтверждения. Следующие вопросы помогают определить, какие именно доказательства предоставляет процесс:
- Кто или что аутентифицируется? Различайте человека, аккаунт, организацию, приложение, устройство и источник документа.
- Как была установлена заявленная личность? Аккаунт, зарегистрированный по электронной почте, и представитель компании, прошедший проверку личности, предоставляют разные доказательства.
- Какое действие охватывается? Доступ к странице отслеживания не следует путать с разрешением изменить адрес доставки или назначение платежа.
- Чему противостоит механизм? Учитывайте фишинг, повторное воспроизведение, кражу учетных данных и несанкционированную регистрацию, а не только количество шагов входа.
- Как восстанавливаются или заменяются учетные данные? Слабый канал восстановления может свести на нет более надежную обычную аутентификацию.
- Можно ли отозвать доступ? Уволившиеся сотрудники и отключенные интеграции не должны сохранять ненужный доступ.
- Какие доказательства сохраняются? Записи должны различать аутентификацию, авторизацию, утверждение документа и последующие деловые действия.
Журналы аутентификации могут помочь расследованию, но автоматически не доказывают, что конкретное действие выполнил определенный человек. Общие аккаунты, скомпрометированные устройства, украденные сеансы и делегированный доступ могут усложнить установление причастности. Аналогично, ввод клиентом кода доставки предоставляет доказательство, определенное процессом доставки, а не безграничную гарантию юридической личности получателя или состояния товаров.
Вопросы и ответы
Что означает электронная аутентификация в электронной торговле?
Это проверка электронных доказательств, связанных с заявленной личностью или источником, например проверка входа продавца или учетных данных приложения. Она поддерживает контролируемый доступ, но самостоятельно не подтверждает лежащую в основе покупку или отправление.
Электронная аутентификация — это то же самое, что электронная подпись?
Нет. Аутентификация проверяет заявленную личность или источник. Электронная подпись связана с подписанием записи и может указывать на утверждение. В транзакции могут использоваться обе технологии, но одна автоматически не устанавливает наличие другой.
Доказывает ли аутентификация, что отправление было доставлено?
Нет. Она может предоставить доказательства об аккаунте, устройстве или человеке, участвовавшем во взаимодействии при доставке. Сама доставка требует доказательств, относящихся к отправлению и применимому процессу доставки.
Делает ли электронная аутентификация торговый документ юридически действительным повсюду?
Нет. Юридическое признание зависит от применимого законодательства, требований к документу, принимающего органа и обстоятельств транзакции. Одна только техническая аутентификация не решает эти вопросы.
Источники
- NIST SP 800-63B-4: Руководство по цифровой идентификации — аутентификация и управление средствами аутентификации — понятия аутентификации, факторы, управление средствами аутентификации, устойчивость к фишингу и вопросы управления сеансами.
- NIST SP 800-63A-4: Руководство по цифровой идентификации — подтверждение личности и регистрация — различие между установлением личности и последующей аутентификацией аккаунта.
- Типовой закон ЮНСИТРАЛ об электронной торговле — электронные записи, функциональная эквивалентность и законодательный контекст электронной торговли.
- Типовой закон ЮНСИТРАЛ об электронных подписях — понятия электронных подписей, надежность и различие между типовой законодательной моделью и применимым национальным законодательством.
