Elektronická autentifikácia
Čo je elektronická autentifikácia?
Elektronická autentifikácia je proces overovania elektronickými prostriedkami, či je používateľ, organizácia, zariadenie alebo digitálna správa spojená s identitou alebo zdrojom, za ktorý sa vydáva. V elektronickom obchode a logistike pomáha určiť, kto pristupuje k účtu obchodníka, odosiela pokyny na prepravu, pripája sa k firemnému systému alebo schvaľuje elektronickú transakciu. Autentifikácia poskytuje dôkazy o identite alebo pôvode; sama osebe však nepotvrdzuje, že objednávka je legitímna, že tovar zodpovedá opisu alebo že zásielka bola doručená.
Tento pojem má v oblasti informačnej bezpečnosti a práva elektronického obchodu súvisiace, ale odlišné významy. V systémoch digitálnej identity autentifikácia zvyčajne znamená overenie, že osoba uplatňujúca nárok ovláda autentifikátor spojený s účtom. V pracovných postupoch s elektronickými dokumentmi môže širšie označovať určenie pôvodu alebo pravosti záznamu, niekedy pomocou elektronických podpisov alebo kryptografických metód. Zamýšľaný význam preto závisí od toho, čo sa autentifikuje a ktorý technický alebo právny rámec sa uplatňuje.
Úloha v elektronickom obchode a logistike
Elektronická autentifikácia funguje na miestach, kde si ľudia a systémy vymieňajú pokyny, pristupujú k informáciám alebo schvaľujú kroky. Podporuje vzťahy dôvery súvisiace s objednávkou, nie samotný fyzický pohyb tovaru. Obchodník, prevádzkovateľ skladu, prepravca, colný deklarant a zákazník môžu počas tej istej transakcie používať rôzne autentifikačné systémy.
Napríklad zamestnanec skladu sa môže autentifikovať pred prístupom k aplikácii na správu zásob. Softvér obchodníka sa môže autentifikovať pri požiadavke na prepravné štítky prostredníctvom aplikačného programovacieho rozhrania alebo API. Zástupca spoločnosti môže pri schvaľovaní obchodného dokumentu použiť elektronický podpis. Tieto činnosti zahŕňajú rôzne dôkazy a kontroly, hoci všetky môžu byť súčasťou elektronicky autentifikovaného pracovného postupu.
| Obchodný kontext | Čo môže byť autentifikované | Čo autentifikácia nepotvrdzuje |
|---|---|---|
| Prístup k účtu obchodníka | Ovládanie autentifikátora prepojeného s účtom | Že každá činnosť vykonaná prostredníctvom účtu je obchodne legitímna |
| Prístup k skladovej aplikácii | Zamestnanecký účet alebo zariadenie pripájajúce sa k systému | Že stav zásob alebo výsledok vychystávania je presný |
| Pripojenie k prepravnému API | Aplikácia alebo organizácia predkladajúca akceptované prihlasovacie údaje | Že údaje o zásielke zodpovedajú fyzickému balíku |
| Elektronický obchodný dokument | Uvedený zdroj alebo identita podpisujúceho v závislosti od mechanizmu | Že každé tvrdenie v dokumente je pravdivé |
| Interakcia zákazníka pri doručení | Ovládanie účtu, zariadenia alebo kódu vyžadovaného pracovným postupom | Všetky skutočnosti potrebné na určenie doručenia, vlastníctva alebo zodpovednosti |
Ide o ilustračné použitia, nie o univerzálny súbor požiadaviek. Vhodná metóda závisí od dôsledkov neoprávneného prístupu, zúčastnených strán a prípadných zmluvných alebo regulačných požiadaviek.
Ako funguje elektronická autentifikácia
1. Vytvorenie účtu alebo vzťahu dôvery
Predtým, ako môže mať autentifikačná udalosť význam, systém potrebuje základ na rozpoznanie osoby uplatňujúcej nárok. Môže ísť o vytvorenie účtu, kontrolu dokladov totožnosti, registráciu organizácie alebo vydanie prihlasovacích údajov softvérovej aplikácii. Preukázanie identity a autentifikácia sú oddelené činnosti: preukázanie identity hodnotí, kto je žiadateľ, zatiaľ čo autentifikácia následne overuje ovládanie autentifikátora spojeného s touto identitou alebo účtom.
Nie každý obchodný účet je prepojený s overenou právnou identitou. Systém môže zistiť iba to, že sa vrátil ten istý držiteľ účtu. Tento rozdiel je dôležitý, keď podnik potrebuje dôkaz identity jednotlivca alebo jeho oprávnenia zastupovať spoločnosť, a nie iba potvrdenie kontinuity prístupu k účtu.
2. Priradenie autentifikátora
Autentifikátor sa priradí k účtu alebo identite. Príkladmi sú heslo, kryptografický kľúč alebo zariadenie používané na vytváranie autentifikačných odpovedí. Proces registrácie a priradenia je dôležitý, pretože silný autentifikačný mechanizmus poskytuje obmedzenú ochranu, ak útočník môže k účtu inej osoby priradiť vlastný autentifikátor.
3. Predloženie a kontrola dôkazov
Keď sa požaduje prístup alebo schválenie, osoba uplatňujúca nárok poskytne dôkaz prostredníctvom zvoleného autentifikačného protokolu. Overovateľ tento dôkaz skontroluje. V závislosti od metódy môže ísť o kontrolu hodnoty odvodenej od hesla, overenie jednorazovej odpovede alebo overenie kryptografického podpisu nad výzvou. Dobre navrhnutý protokol výzva–odpoveď môže preukázať ovládanie tajného kľúča bez jeho odoslania.
4. Uplatnenie pravidiel autorizácie
Po úspešnej autentifikácii nasleduje samostatné rozhodnutie o oprávneniach. Pracovník skladu môže mať povolené zobrazovať úlohy vychystávania, ale nie meniť údaje o výplatách. Prepravná integrácia môže mať povolené vytvárať štítky, ale nie spravovať používateľov. Autentifikácia identifikuje príslušný účet alebo subjekt; autorizácia určuje činnosti, ktoré môže tento subjekt vykonávať.
5. Správa relácií a zmien
Po autentifikácii môže systém udržiavať reláciu namiesto vyžadovania nového prihlásenia pri každej činnosti. Ochrana relácie, zrušenie prihlasovacích údajov, obnovenie účtu a výmena autentifikátora zostávajú dôležitými súčasťami celého procesu. Citlivá činnosť, napríklad zmena cieľového miesta vrátenia peňazí, môže vyžadovať opätovnú autentifikáciu aj vtedy, keď je relácia už aktívna.
Autentifikačné faktory a mechanizmy
Pri ľudských používateľoch sa autentifikačné faktory bežne opisujú ako niečo, čo osoba pozná, vlastní alebo čím je. Tieto kategórie opisujú použitý dôkaz; automaticky však neurčujú bezpečnosť celej implementácie. Spojenia medzi strojmi používajú mechanizmy, ako sú zdieľané tajomstvá, kryptografické kľúče a certifikáty, nemali by sa však považovať za totožné s pracovnými postupmi prihlasovania ľudí.
| Faktor alebo mechanizmus | Príklady | Dôležité obmedzenie |
|---|---|---|
| Faktor znalosti | Heslo alebo PIN | Tajomstvá možno uhádnuť, zverejniť alebo zachytiť prostredníctvom phishingu. |
| Faktor vlastníctva | Bezpečnostný kľúč alebo zaregistrované autentifikačné zariadenie | Ochrana závisí od protokolu, bezpečnosti zariadenia a procesu obnovenia. |
| Biometrická charakteristika | Odtlačok prsta alebo rozpoznávanie tváre používané na aktiváciu autentifikátora | Biometrické porovnávanie je pravdepodobnostné a vyžaduje primerané ochranné opatrenia. |
| Strojové prihlasovacie údaje | Tajný kľúč API, súkromný kľúč alebo klientsky certifikát | Ukradnuté prihlasovacie údaje môžu umožniť inému systému vydávať sa za autorizovanú aplikáciu. |
Viacfaktorová autentifikácia kombinuje odlišné autentifikačné faktory. Dve heslá nepredstavujú dva rôzne faktory. Rovnako pracovný postup s viacerými obrazovkami nemusí byť viacfaktorovou autentifikáciou. Rozhodujúca je otázka, či proces vyžaduje nezávislé formy dôkazov, nie koľko krokov používateľ vidí.
Odolnosť proti phishingu je ďalšou samostatnou vlastnosťou. Metóda môže zahŕňať viacero faktorov a napriek tomu umožniť útočníkovi sprostredkovať alebo zachytiť autentifikačný dôkaz. Usmernenia NIST pre digitálnu identitu rozlišujú autentifikačné metódy podľa ich vlastností a požiadaviek na úroveň istoty, a nie tak, že by všetky viacfaktorové metódy považovali za zameniteľné.
Súvisiace pojmy a dôležité rozdiely
| Pojem | Význam | Vzťah k elektronickej autentifikácii |
|---|---|---|
| Identifikácia | Predloženie identifikátora, napríklad názvu účtu | Uvádza, o ktorú identitu ide; nepotvrdzuje tento nárok. |
| Preukázanie identity | Vyhodnotenie dôkazov na určenie identity žiadateľa | Môže určiť identitu, ku ktorej sa následne priradia autentifikátory. |
| Autorizácia | Určenie povolených činností a prístupu | Využíva autentifikovanú identitu alebo iné vstupy pravidiel na rozhodovanie o prístupe. |
| Elektronický podpis | Elektronické údaje použité v súvislosti s podpisovaním záznamu | Môže identifikovať podpisujúceho a naznačovať schválenie; právne definície a požiadavky sa líšia. |
| Digitálny podpis | Kryptografický mechanizmus využívajúci súkromný kľúč a zodpovedajúci verejný kľúč | Môže podporiť autentifikáciu pôvodu a odhalenie zmien podpísaných údajov. |
| Šifrovanie | Transformácia informácií na ochranu ich dôvernosti | Samo osebe nepotvrdzuje identitu komunikujúcej strany. |
| Autentifikácia produktu | Kontrola, či je fyzický predmet pravý | Týka sa samotného tovaru, nie iba prístupu k účtu alebo pôvodu správy. |
Elektronický podpis a elektronická autentifikačná udalosť sa môžu uskutočniť súčasne, slúžia však na odlišné účely. Podpis môže vyjadrovať schválenie konkrétneho dokumentu alebo transakcie. Prihlásenie do účtu ustanovuje prístup podľa autentifikačných pravidiel daného účtu. Samotné prihlásenie nemusí dokazovať, že používateľ schválil konkrétny dokument.
Digitálny podpis si tiež vyžaduje interpretáciu v rámci vzťahu dôvery. Úspešné kryptografické overenie ukazuje, že podpis zodpovedá určitému kľúču a podpísaným údajom. Spojenie tohto kľúča s menovanou osobou, organizáciou alebo orgánom si vyžaduje ďalšie dôkazy, napríklad dôveryhodný certifikát a vhodné registračné postupy.
Cezhraničné dokumenty a právny význam
V cezhraničnom obchode môže elektronická autentifikácia podporovať schvaľovanie nákupov, pokyny na prepravu, colné podania a ďalšie elektronické záznamy. Technické overenie a právne uznanie sú však odlišné otázky. Dokument môže prejsť technickou kontrolou podpisu bez toho, aby spĺňal všetky požiadavky uplatniteľné na konkrétnu transakciu.
Vzorový zákon UNCITRAL o elektronickom obchode sa zaoberá elektronickými záznamami a funkčnými ekvivalentmi požiadaviek založených na papierových dokumentoch. Vzorový zákon UNCITRAL o elektronických podpisoch poskytuje rámec týkajúci sa elektronických podpisov a ich spoľahlivosti. Ide o vzorové zákony určené na podporu tvorby právnych predpisov; nejde o automaticky záväzné pravidlá pre každú medzinárodnú transakciu.
Pri konkrétnom obchodnom dokumente patria medzi relevantné otázky, či prijímajúci orgán akceptuje elektronický formát, či má podpisujúci oprávnenie konať, ktoré požiadavky na podpis sa uplatňujú a či možno záznam uchovávať a reprodukovať podľa požiadaviek. Autentifikácia nenahrádza colnú kontrolu, neurčuje colné zatriedenie ani nepotvrdzuje presnosť faktúry.
Praktické hodnotenie a hranice dôkazov
Posúdenie autentifikačného pracovného postupu si vyžaduje viac než kontrolu, či je prítomné heslo alebo overovací kód. Nasledujúce otázky pomáhajú určiť, aký dôkaz proces skutočne poskytuje:
- Kto alebo čo sa autentifikuje? Rozlišujte osobu, účet, organizáciu, aplikáciu, zariadenie a zdroj dokumentu.
- Ako bola preukázaná nárokovaná identita? Účet zaregistrovaný prostredníctvom e-mailu a zástupca spoločnosti, ktorého identita bola preukázaná, poskytujú odlišné dôkazy.
- Na akú činnosť sa vzťahuje? Prístup na stránku sledovania by sa nemal zamieňať so schválením zmeny doručovacej adresy alebo miesta prijatia platby.
- Proti čomu mechanizmus chráni? Zohľadnite phishing, opakované použitie, krádež prihlasovacích údajov a neoprávnenú registráciu, namiesto spoliehania sa iba na počet prihlasovacích krokov.
- Ako sa prihlasovacie údaje obnovujú alebo nahrádzajú? Slabá cesta obnovenia môže oslabiť silnejšiu bežnú autentifikáciu.
- Možno prístup odvolať? Odchádzajúci zamestnanci a ukončené integrácie by si nemali ponechať nepotrebný prístup.
- Aké dôkazy sa uchovávajú? Záznamy by mali rozlišovať autentifikáciu, autorizáciu, schválenie dokumentu a následné obchodné činnosti.
Autentifikačné protokoly môžu podporiť vyšetrovanie, automaticky však nedokazujú, že konkrétnu činnosť vykonala konkrétna osoba. Zdieľané účty, napadnuté zariadenia, ukradnuté relácie a delegovaný prístup môžu skomplikovať určenie pôvodcu. Rovnako zákazník, ktorý zadá doručovací kód, poskytuje dôkaz vymedzený daným pracovným postupom doručenia, nie neobmedzenú záruku právnej identity príjemcu alebo stavu tovaru.
Často kladené otázky
Čo znamená elektronická autentifikácia v elektronickom obchode?
Znamená kontrolu elektronických dôkazov spojených s nárokovanou identitou alebo zdrojom, napríklad overenie prihlásenia obchodníka alebo prihlasovacích údajov aplikácie. Podporuje riadený prístup, ale samostatne neoveruje samotný nákup ani zásielku.
Je elektronická autentifikácia to isté ako elektronický podpis?
Nie. Autentifikácia kontroluje nárokovanú identitu alebo zdroj. Elektronický podpis súvisí s podpisovaním záznamu a môže naznačovať schválenie. Transakcia môže používať oboje, ale jedno automaticky nepotvrdzuje druhé.
Dokazuje autentifikácia, že zásielka bola doručená?
Nie. Môže prispieť dôkazom o účte, zariadení alebo osobe zapojenej do interakcie pri doručení. Samotné doručenie si vyžaduje dôkazy relevantné pre zásielku a príslušný proces doručenia.
Spôsobuje elektronická autentifikácia, že obchodný dokument je právne platný všade?
Nie. Právne uznanie závisí od uplatniteľného práva, požiadaviek na dokument, prijímajúceho orgánu a okolností transakcie. Samotná technická autentifikácia tieto otázky nerieši.
Zdroje
- NIST SP 800-63B-4: Usmernenia pre digitálnu identitu — správa autentifikácie a autentifikátorov — Koncepcie autentifikácie, faktory, správa autentifikátorov, odolnosť proti phishingu a otázky relácií.
- NIST SP 800-63A-4: Usmernenia pre digitálnu identitu — preukázanie identity a registrácia — Rozdiel medzi vytvorením identity a následnou autentifikáciou účtu.
- Vzorový zákon UNCITRAL o elektronickom obchode — Elektronické záznamy, funkčná rovnocennosť a legislatívny kontext elektronického obchodu.
- Vzorový zákon UNCITRAL o elektronických podpisoch — Koncepcie elektronických podpisov, spoľahlivosť a rozdiel medzi vzorovým legislatívnym rámcom a uplatniteľným vnútroštátnym právom.
