Elektronska avtentikacija
Kaj je elektronsko preverjanje pristnosti?
Elektronsko preverjanje pristnosti je postopek preverjanja z elektronskimi sredstvi, ali je uporabnik, organizacija, naprava ali digitalno sporočilo povezano z identiteto ali virom, za katerega se predstavlja. V e-trgovini in logistiki pomaga ugotoviti, kdo dostopa do trgovskega računa, pošilja navodila za odpremo, se povezuje s poslovnim sistemom ali odobrava elektronsko transakcijo. Preverjanje pristnosti zagotavlja dokaze o identiteti ali izvoru; samo po sebi pa ne potrjuje, da je naročilo legitimno, da blago ustreza opisu ali da je bila pošiljka dostavljena.
Izraz ima na področjih informacijske varnosti in prava elektronskega poslovanja sorodne, vendar različne pomene. V sistemih digitalne identitete preverjanje pristnosti običajno pomeni preverjanje, ali ima oseba, ki uveljavlja identiteto, nadzor nad avtentikatorjem, povezanim z računom. V delovnih tokovih elektronskih dokumentov se lahko nanaša širše na ugotavljanje izvora ali pristnosti zapisa, včasih z uporabo elektronskih podpisov ali kriptografskih metod. Predvideni pomen je zato odvisen od tega, kaj se preverja in kateri tehnični ali pravni okvir se uporablja.
Vloga v e-trgovini in logistiki
Elektronsko preverjanje pristnosti deluje na točkah, kjer ljudje in sistemi izmenjujejo navodila, dostopajo do informacij ali odobravajo dejanja. Podpira zaupnostna razmerja, povezana z naročilom, ne pa fizičnega premikanja blaga. Trgovec, upravljavec skladišča, prevoznik, carinski posrednik in stranka lahko med isto transakcijo uporabljajo različne sisteme za preverjanje pristnosti.
Na primer, zaposleni v skladišču se lahko preveri pred dostopom do aplikacije za upravljanje zalog. Programska oprema trgovca se lahko preveri pri zahtevanju odpremnih nalepk prek programskega vmesnika, API. Poslovni predstavnik lahko pri odobritvi trgovinskega dokumenta uporabi elektronski podpis. Te dejavnosti vključujejo različne dokaze in nadzorne ukrepe, čeprav so vse lahko del elektronsko preverjenega delovnega toka.
| Poslovni kontekst | Kaj je mogoče preveriti | Česa preverjanje pristnosti ne potrjuje |
|---|---|---|
| Dostop do trgovskega računa | Nadzor nad avtentikatorjem, povezanim z računom | Da je vsako dejanje, izvedeno prek računa, poslovno legitimno |
| Dostop do skladiščne aplikacije | Zaposlenčev račun ali napravo, ki se povezuje s sistemom | Da je stanje zaloge ali rezultat komisioniranja natančen |
| Povezava s poštnim API-jem | Aplikacijo ali organizacijo, ki predloži sprejete poverilnice | Da se podatki o pošiljki ujemajo s fizičnim paketom |
| Elektronski trgovinski dokument | Navedeni vir ali identiteto podpisnika, odvisno od mehanizma | Da je vsaka navedba v dokumentu resnična |
| Interakcija stranke pri dostavi | Nadzor nad računom, napravo ali kodo, ki jo zahteva delovni tok | Vsa dejstva, potrebna za določitev dostave, lastništva ali odgovornosti |
To so ponazoritvene uporabe, ne univerzalen sklop zahtev. Ustrezna metoda je odvisna od posledic nepooblaščenega dostopa, vključenih strank ter morebitnih pogodbenih ali regulativnih zahtev.
Kako deluje elektronsko preverjanje pristnosti
1. Vzpostavitev računa ali zaupnostnega razmerja
Preden je dogodek preverjanja pristnosti lahko smiseln, sistem potrebuje podlago za prepoznavanje osebe, ki uveljavlja identiteto. To lahko vključuje ustvarjanje računa, preverjanje dokazov o identiteti, registracijo organizacije ali izdajo poverilnic programski aplikaciji. Preverjanje identitete in preverjanje pristnosti sta ločeni dejavnosti: preverjanje identitete ocenjuje, kdo je prosilec, medtem ko preverjanje pristnosti pozneje preveri nadzor nad avtentikatorjem, povezanim s to identiteto ali računom.
Vsak poslovni račun ni povezan s preverjeno pravno identiteto. Sistem lahko ugotovi le, da se je vrnil isti imetnik računa. Ta razlika je pomembna, kadar podjetje potrebuje dokaz o identiteti posameznika ali njegovi pristojnosti za zastopanje podjetja, ne pa zgolj kontinuitete dostopa do računa.
2. Povezovanje avtentikatorja
Avtentikator se poveže z računom ali identiteto. Primeri vključujejo geslo, kriptografski ključ ali napravo, ki se uporablja za ustvarjanje odgovorov za preverjanje pristnosti. Postopek vpisa in povezovanja je pomemben, saj močan mehanizem preverjanja pristnosti zagotavlja omejeno zaščito, če lahko napadalec registrira svoj avtentikator v računu druge osebe.
3. Predložitev in preverjanje dokazov
Ko se zahteva dostop ali odobritev, oseba, ki uveljavlja identiteto, predloži dokaze prek izbranega protokola za preverjanje pristnosti. Preverjevalec te dokaze preveri. Glede na metodo lahko to vključuje preverjanje vrednosti, izpeljane iz gesla, potrjevanje enkratnega odgovora ali preverjanje kriptografskega podpisa nad izzivom. Dobro zasnovan protokol izziv–odgovor lahko dokaže nadzor nad skrivnim ključem, ne da bi bilo treba ključ sam prenesti.
4. Uporaba pravil avtorizacije
Uspešnemu preverjanju pristnosti sledi ločena odločitev o dovoljenjih. Delavcu v skladišču je lahko dovoljeno ogledovanje nalog komisioniranja, ne pa tudi spreminjanje podatkov o izplačilih. Integraciji za odpremo je lahko dovoljeno ustvarjanje nalepk, ne pa upravljanje uporabnikov. Preverjanje pristnosti identificira vpleteni račun ali subjekt; avtorizacija določa dejanja, ki jih ta subjekt lahko izvede.
5. Upravljanje sej in sprememb
Po preverjanju pristnosti lahko sistem vzdržuje sejo, namesto da bi zahteval novo prijavo za vsako dejanje. Zaščita seje, preklic poverilnic, obnovitev računa in zamenjava avtentikatorja ostajajo pomembni deli celotnega postopka. Občutljivo dejanje, kot je sprememba cilja vračila kupnine, lahko zahteva ponovno preverjanje pristnosti, tudi ko je seja že aktivna.
Dejavniki in mehanizmi preverjanja pristnosti
Za človeške uporabnike se dejavniki preverjanja pristnosti običajno opisujejo kot nekaj, kar oseba ve, ima ali je. Te kategorije opisujejo uporabljene dokaze; same po sebi ne določajo varnosti celotne izvedbe. Povezave med napravami uporabljajo mehanizme, kot so skupne skrivnosti, kriptografski ključi in potrdila, vendar jih ne smemo obravnavati kot enake delovnim tokom prijave ljudi.
| Dejavnik ali mehanizem | Primeri | Pomembna omejitev |
|---|---|---|
| Dejavnik znanja | Geslo ali PIN | Skrivnosti je mogoče uganiti, razkriti ali prestreči z lažnim predstavljanjem. |
| Dejavnik posedovanja | Varnostni ključ ali vpisana naprava za preverjanje pristnosti | Zaščita je odvisna od protokola, varnosti naprave in postopka obnovitve. |
| Biometrična značilnost | Prstni odtis ali prepoznavanje obraza, uporabljeno za aktiviranje avtentikatorja | Biometrično ujemanje je verjetnostno in zahteva ustrezne zaščitne ukrepe. |
| Strojna poverilnica | Skrivnost API-ja, zasebni ključ ali potrdilo odjemalca | Ukradena poverilnica lahko drugemu sistemu omogoči posnemanje pooblaščene aplikacije. |
Večfaktorsko preverjanje pristnosti združuje različne dejavnike preverjanja pristnosti. Dve gesli ne predstavljata dveh različnih dejavnikov. Prav tako delovni tok z več zasloni ni nujno večfaktorsko preverjanje pristnosti. Pomembno vprašanje je, ali postopek zahteva neodvisne oblike dokazov, ne pa koliko korakov uporabnik vidi.
Odpornost proti lažnemu predstavljanju je še ena ločena lastnost. Metoda lahko vključuje več dejavnikov, vendar napadalcu še vedno omogoča posredovanje ali zajem dokazov za preverjanje pristnosti. Smernice NIST za digitalno identiteto razlikujejo metode preverjanja pristnosti glede na njihove lastnosti in zahteve glede zagotavljanja, namesto da bi vse večfaktorske metode obravnavale kot medsebojno zamenljive.
Sorodni izrazi in pomembne razlike
| Izraz | Pomen | Povezava z elektronskim preverjanjem pristnosti |
|---|---|---|
| Identifikacija | Predložitev identifikatorja, kot je ime računa | Navaja, katera identiteta se uveljavlja; ne dokazuje te trditve. |
| Preverjanje identitete | Ocenjevanje dokazov za ugotovitev identitete prosilca | Lahko ugotovi identiteto, na katero se pozneje povežejo avtentikatorji. |
| Avtorizacija | Določanje dovoljenih dejanj in dostopa | Uporablja preverjeno identiteto ali druge vnose pravil za odločanje o dostopu. |
| Elektronski podpis | Elektronski podatki, uporabljeni v povezavi s podpisovanjem zapisa | Lahko identificira podpisnika in nakaže odobritev; pravne opredelitve in zahteve se razlikujejo. |
| Digitalni podpis | Kriptografski mehanizem z zasebnim ključem in pripadajočim javnim ključem | Lahko podpira preverjanje izvora in zaznavanje sprememb podpisanih podatkov. |
| Šifriranje | Preoblikovanje informacij za zaščito njihove zaupnosti | Samo po sebi ne potrjuje identitete komunikacijske stranke. |
| Preverjanje pristnosti izdelka | Preverjanje, ali je fizični predmet pristen | Nanaša se na samo blago, ne zgolj na dostop do računa ali izvor sporočila. |
Elektronski podpis in dogodek elektronskega preverjanja pristnosti se lahko pojavita skupaj, vendar imata različna namena. Podpis lahko izraža odobritev določenega dokumenta ali transakcije. Prijava v račun vzpostavi dostop v skladu s pravili preverjanja pristnosti tega računa. Sama prijava ni nujno dokaz, da je uporabnik odobril določen dokument.
Digitalni podpis je treba razlagati tudi v okviru zaupanja. Uspešno kriptografsko preverjanje pokaže, da podpis ustreza določenemu ključu in podpisanim podatkom. Povezava tega ključa z imenovano osebo, organizacijo ali organom zahteva dodatne dokaze, kot sta zaupanja vredno potrdilo in ustrezen postopek registracije.
Čezmejni dokumenti in pravni pomen
V čezmejnem poslovanju lahko elektronsko preverjanje pristnosti podpira odobritve nakupov, navodila za odpremo, carinske predložitve in druge elektronske zapise. Vendar sta tehnično preverjanje in pravno priznanje ločeni vprašanji. Dokument lahko prestane tehnično preverjanje podpisa, ne da bi izpolnil vse zahteve, ki veljajo za določeno transakcijo.
Vzorčni zakon UNCITRAL o elektronskem poslovanju obravnava elektronske zapise in funkcionalne ustreznike zahtev za papirne dokumente. Vzorčni zakon UNCITRAL o elektronskih podpisih zagotavlja okvir za elektronske podpise in njihovo zanesljivost. To sta vzorčna zakona, namenjena pomoči pri razvoju zakonodaje; nista samodejno zavezujoča pravila za vsako mednarodno transakcijo.
Pri določenem trgovinskem dokumentu so pomembna vprašanja, ali prejemni organ sprejema elektronsko obliko, ali ima podpisnik pooblastilo za ukrepanje, katere zahteve glede podpisa veljajo ter ali je mogoče zapis hraniti in reproducirati, kot je zahtevano. Preverjanje pristnosti ne nadomesti carinskega pregleda, ne določa tarifne razvrstitve in ne potrjuje točnosti računa.
Praktično ocenjevanje in meje dokazov
Ocenjevanje delovnega toka preverjanja pristnosti zahteva več kot preverjanje, ali sta prisotna geslo ali potrditvena koda. Naslednja vprašanja pomagajo opredeliti, katere dokaze postopek dejansko zagotavlja:
- Kdo ali kaj se preverja? Razlikujte med osebo, računom, organizacijo, aplikacijo, napravo in virom dokumenta.
- Kako je bila ugotovljena zatrjevana identiteta? Račun, registriran z e-pošto, in poslovni predstavnik, čigar identiteta je bila preverjena, zagotavljata različne dokaze.
- Katero dejanje je zajeto? Dostopa do strani za sledenje ne smemo zamenjevati z odobritvijo spremembe naslova dostave ali cilja plačila.
- Čemu se mehanizem upira? Upoštevajte lažno predstavljanje, ponovitev, krajo poverilnic in nepooblaščen vpis, namesto da bi se zanašali le na število korakov prijave.
- Kako se poverilnice obnovijo ali zamenjajo? Šibka pot obnovitve lahko oslabi močnejše običajno preverjanje pristnosti.
- Ali je mogoče dostop preklicati? Odhajajoči zaposleni in ukinjene integracije ne bi smeli ohraniti nepotrebnega dostopa.
- Kateri dokazi se hranijo? Zapisi bi morali razlikovati med preverjanjem pristnosti, avtorizacijo, odobritvijo dokumenta in poznejšimi poslovnimi dejanji.
Dnevniki preverjanja pristnosti lahko podprejo preiskavo, vendar samodejno ne dokazujejo, da je določeno dejanje izvedel določen človek. Skupni računi, ogrožene naprave, ukradene seje in delegirani dostop lahko otežijo pripisovanje dejanja. Podobno vnos kode za dostavo s strani stranke zagotavlja dokaze, opredeljene s tem delovnim tokom dostave, ne pa neomejenega jamstva o pravni identiteti prejemnika ali stanju blaga.
Pogosta vprašanja
Kaj pomeni elektronsko preverjanje pristnosti v e-trgovini?
Pomeni preverjanje elektronskih dokazov, povezanih z zatrjevano identiteto ali virom, na primer preverjanje prijave trgovca ali poverilnic aplikacije. Podpira nadzorovan dostop, vendar ne potrjuje samostojno osnovnega nakupa ali pošiljke.
Ali je elektronsko preverjanje pristnosti enako elektronskemu podpisu?
Ne. Preverjanje pristnosti preverja zatrjevano identiteto ali vir. Elektronski podpis se nanaša na podpisovanje zapisa in lahko nakaže odobritev. Transakcija lahko uporablja oboje, vendar eno samodejno ne potrjuje drugega.
Ali preverjanje pristnosti dokazuje, da je bila pošiljka dostavljena?
Ne. Lahko prispeva dokaze o računu, napravi ali osebi, vključeni v interakcijo pri dostavi. Sama dostava zahteva dokaze, pomembne za pošiljko in veljavni postopek dostave.
Ali elektronsko preverjanje pristnosti trgovinski dokument povsod naredi pravno veljaven?
Ne. Pravno priznanje je odvisno od veljavnega prava, zahtev glede dokumenta, prejemnega organa in okoliščin transakcije. Samo tehnično preverjanje pristnosti teh vprašanj ne reši.
Viri
- NIST SP 800-63B-4: Smernice za digitalno identiteto — preverjanje pristnosti in upravljanje avtentikatorjev — Koncepti preverjanja pristnosti, dejavniki, upravljanje avtentikatorjev, odpornost proti lažnemu predstavljanju in vidiki sej.
- NIST SP 800-63A-4: Smernice za digitalno identiteto — preverjanje identitete in vpis — Razlika med ugotavljanjem identitete in poznejšim preverjanjem pristnosti računa.
- Vzorčni zakon UNCITRAL o elektronskem poslovanju — Elektronski zapisi, funkcionalna enakovrednost in zakonodajni okvir za elektronsko poslovanje.
- Vzorčni zakon UNCITRAL o elektronskih podpisih — Koncepti elektronskih podpisov, zanesljivost ter razlika med vzorčnim zakonodajnim okvirom in veljavnim nacionalnim pravom.
