Autentifikimi elektronik
Çfarë është autentikimi elektronik?
Autentikimi elektronik është procesi i verifikimit, përmes mjeteve elektronike, nëse një përdorues, organizatë, pajisje ose mesazh digjital lidhet me identitetin ose burimin që pretendon. Në tregtinë elektronike dhe logjistikë, ai ndihmon të përcaktohet se kush po hyn në një llogari tregtari, po dërgon udhëzime transporti, po lidhet me një sistem biznesi ose po miraton një transaksion elektronik. Autentikimi ofron prova për identitetin ose origjinën; vetë ai nuk përcakton nëse një porosi është e ligjshme, nëse mallrat përputhen me përshkrimin ose nëse një dërgesë është dorëzuar.
Termi ka kuptime të lidhura, por të dallueshme, në sigurinë e informacionit dhe në të drejtën e tregtisë elektronike. Në sistemet e identitetit digjital, autentikimi zakonisht nënkupton verifikimin se një pretendues kontrollon një autentikues të lidhur me një llogari. Në rrjedhat e punës me dokumente elektronike, ai mund t’i referohet më gjerësisht përcaktimit të origjinës ose autenticitetit të një regjistrimi, ndonjëherë duke përdorur nënshkrime elektronike ose metoda kriptografike. Prandaj, kuptimi i synuar varet nga ajo që po autentikohet dhe nga kuadri teknik ose ligjor që zbatohet.
Roli në tregtinë elektronike dhe logjistikë
Autentikimi elektronik funksionon në pikat ku njerëzit dhe sistemet shkëmbejnë udhëzime, aksesojnë informacion ose miratojnë veprime. Ai mbështet marrëdhëniet e besimit rreth një porosie, dhe jo lëvizjen fizike të mallrave në vetvete. Një tregtar, operator magazine, transportues, agjent doganor dhe klient mund të ndërveprojnë secili me sisteme të ndryshme autentikimi gjatë të njëjtit transaksion.
Për shembull, një punonjës magazine mund të autentikohet përpara se të hyjë në një aplikacion inventari. Softueri i një tregtari mund të autentikohet kur kërkon etiketa transporti përmes një ndërfaqeje programimi aplikacionesh, ose API. Një përfaqësues biznesi mund të përdorë një nënshkrim elektronik kur miraton një dokument tregtar. Këto veprimtari përfshijnë prova dhe kontrolle të ndryshme, edhe pse të gjitha mund të jenë pjesë e një rrjedhe pune të autentikuar elektronikisht.
| Konteksti i biznesit | Çfarë mund të autentikohet | Çfarë nuk përcakton autentikimi |
|---|---|---|
| Akses në llogarinë e tregtarit | Kontrollin e një autentikuesi të lidhur me llogarinë | Që çdo veprim i kryer përmes llogarisë është komercialisht i ligjshëm |
| Akses në aplikacionin e magazinës | Llogarinë e punonjësit ose pajisjen që lidhet me sistemin | Që numërimi i stokut ose rezultati i përzgjedhjes është i saktë |
| Lidhja me API-n e transportit | Aplikacionin ose organizatën që paraqet kredenciale të pranuara | Që të dhënat e dërgesës përputhen me pakon fizike |
| Dokument tregtar elektronik | Burimin ose identitetin e pretenduar të nënshkruesit, në varësi të mekanizmit | Që çdo deklaratë në dokument është e vërtetë |
| Ndërveprimi i klientit me dorëzimin | Kontrollin e një llogarie, pajisjeje ose kodi të kërkuar nga rrjedha e punës | Të gjitha faktet e nevojshme për të përcaktuar dorëzimin, pronësinë ose përgjegjësinë |
Këto janë zbatime ilustruese dhe jo një grup universal kërkesash. Metoda e përshtatshme varet nga pasojat e aksesit të paautorizuar, palët e përfshira dhe çdo kërkesë e zbatueshme kontraktore ose rregullatore.
Si funksionon autentikimi elektronik
1. Krijimi i llogarisë ose marrëdhënies së besimit
Para se një ngjarje autentikimi të ketë kuptim, një sistem ka nevojë për një bazë për njohjen e pretenduesit. Kjo mund të përfshijë krijimin e një llogarie, kontrollimin e provave të identitetit, regjistrimin e një organizate ose lëshimin e kredencialeve për një aplikacion softuerik. Verifikimi i identitetit dhe autentikimi janë veprimtari të ndara: verifikimi i identitetit vlerëson se kush është aplikanti, ndërsa autentikimi më pas kontrollon kontrollin e një autentikuesi të lidhur me atë identitet ose llogari.
Jo çdo llogari komerciale lidhet me një identitet ligjor të verifikuar. Një sistem mund të përcaktojë vetëm se i njëjti zotërues i llogarisë është rikthyer. Ky dallim ka rëndësi kur një biznesi i nevojiten prova për identitetin e një individi ose autoritetin e tij për të përfaqësuar një kompani, dhe jo thjesht vazhdimësinë e aksesit në llogari.
2. Lidhja e një autentikuesi
Një autentikues lidhet me llogarinë ose identitetin. Shembujt përfshijnë një fjalëkalim, një çelës kriptografik ose një pajisje që përdoret për të gjeneruar përgjigje autentikimi. Procesi i regjistrimit dhe lidhjes është i rëndësishëm sepse një mekanizëm i fortë autentikimi ofron mbrojtje të kufizuar nëse një sulmues mund të regjistrojë autentikuesin e vet në llogarinë e dikujt tjetër.
3. Paraqitja dhe kontrolli i provave
Kur kërkohet akses ose miratim, pretenduesi paraqet prova përmes protokollit të zgjedhur të autentikimit. Verifikuesi kontrollon këto prova. Në varësi të metodës, kjo mund të përfshijë kontrollimin e një vlere të nxjerrë nga fjalëkalimi, vërtetimin e një përgjigjeje njëpërdorimëshe ose verifikimin e një nënshkrimi kriptografik mbi një sfidë. Një protokoll i mirëprojektuar sfidë-përgjigje mund të dëshmojë kontrollin e një çelësi sekret pa e transmetuar vetë çelësin.
4. Zbatimi i rregullave të autorizimit
Pas autentikimit të suksesshëm merret një vendim i veçantë për lejet. Një punonjës magazine mund të lejohet të shohë detyrat e përzgjedhjes, por jo të ndryshojë të dhënat e pagesave. Një integrim transporti mund të lejohet të krijojë etiketa, por jo të menaxhojë përdoruesit. Autentikimi identifikon llogarinë ose subjektin e përfshirë; autorizimi përcakton veprimet që ai subjekt mund të kryejë.
5. Menaxhimi i sesioneve dhe ndryshimeve
Pas autentikimit, një sistem mund të mbajë një sesion në vend që të kërkojë hyrje të re për çdo veprim. Mbrojtja e sesionit, revokimi i kredencialeve, rikuperimi i llogarisë dhe zëvendësimi i autentikuesit mbeten pjesë të rëndësishme të procesit të përgjithshëm. Një veprim i ndjeshëm, si ndryshimi i destinacionit të rimbursimit, mund të kërkojë autentikim të përsëritur edhe kur një sesion është tashmë aktiv.
Faktorët dhe mekanizmat e autentikimit
Për përdoruesit njerëzorë, faktorët e autentikimit zakonisht përshkruhen si diçka që një person di, zotëron ose është. Këto kategori përshkruajnë provat e përdorura; ato nuk përcaktojnë automatikisht sigurinë e një zbatimi të plotë. Lidhjet makinë-me-makinë përdorin mekanizma si sekrete të përbashkëta, çelësa kriptografikë dhe certifikata, por nuk duhet të trajtohen si identike me rrjedhat e punës së hyrjes njerëzore.
| Faktori ose mekanizmi | Shembuj | Kufizim i rëndësishëm |
|---|---|---|
| Faktori i njohurisë | Fjalëkalim ose PIN | Sekretet mund të hamendësohen, zbulohen ose kapen përmes phishing-ut. |
| Faktori i posedimit | Çelës sigurie ose pajisje autentikuesi e regjistruar | Mbrojtja varet nga protokolli, siguria e pajisjes dhe procesi i rikuperimit. |
| Karakteristikë biometrike | Gjurmë gishti ose njohje e fytyrës e përdorur për të aktivizuar një autentikues | Përputhja biometrike është probabilistike dhe kërkon masa mbrojtëse të përshtatshme. |
| Kredencial makinerik | Sekret API, çelës privat ose certifikatë klienti | Një kredencial i vjedhur mund t’i lejojë një sistemi tjetër të imitojë aplikacionin e autorizuar. |
Autentikimi shumëfaktorësh kombinon faktorë të dallueshëm autentikimi. Dy fjalëkalime nuk përbëjnë dy faktorë të ndryshëm. Po kështu, një rrjedhë pune me disa ekrane nuk është domosdoshmërisht autentikim shumëfaktorësh. Pyetja përkatëse është nëse procesi kërkon forma të pavarura provash, dhe jo sa hapa sheh përdoruesi.
Rezistenca ndaj phishing-ut është një veçori tjetër e veçantë. Një metodë mund të përfshijë disa faktorë, por përsëri t’i lejojë një sulmuesi të përcjellë ose kapë provat e autentikimit. Udhëzimi i NIST për identitetin digjital i dallon metodat e autentikimit sipas veçorive dhe kërkesave të tyre të sigurisë, në vend që t’i trajtojë të gjitha metodat shumëfaktorëshe si të këmbyeshme.
Terma të lidhur dhe dallime të rëndësishme
| Termi | Kuptimi | Marrëdhënia me autentikimin elektronik |
|---|---|---|
| Identifikimi | Paraqitja e një identifikuesi, si emri i llogarisë | Tregon se cili identitet pretendohet; nuk e provon pretendimin. |
| Verifikimi i identitetit | Vlerësimi i provave për të përcaktuar identitetin e një aplikanti | Mund të përcaktojë identitetin me të cilin autentikuesit do të lidhen më pas. |
| Autorizimi | Përcaktimi i veprimeve dhe aksesit të lejuar | Përdor një identitet të autentikuar ose të dhëna të tjera politikash për të marrë vendime aksesi. |
| Nënshkrimi elektronik | Të dhëna elektronike të përdorura në lidhje me nënshkrimin e një regjistrimi | Mund të identifikojë nënshkruesin dhe të tregojë miratimin; përkufizimet dhe kërkesat ligjore ndryshojnë. |
| Nënshkrimi digjital | Një mekanizëm kriptografik që përdor një çelës privat dhe çelësin publik përkatës | Mund të mbështesë autentikimin e origjinës dhe zbulimin e ndryshimeve në të dhënat e nënshkruara. |
| Enkriptimi | Shndërrimi i informacionit për të mbrojtur konfidencialitetin e tij | Në vetvete nuk përcakton identitetin e palës komunikuese. |
| Autentikimi i produktit | Kontrollimi nëse një artikull fizik është origjinal | Ka të bëjë me vetë mallrat, jo thjesht me aksesin në një llogari ose origjinën e një mesazhi. |
Një nënshkrim elektronik dhe një ngjarje autentikimi elektronik mund të ndodhin së bashku, por shërbejnë për qëllime të ndryshme. Nënshkrimi mund të shprehë miratimin e një dokumenti ose transaksioni të caktuar. Hyrja në një llogari përcakton aksesin sipas rregullave të autentikimit të asaj llogarie. Vetëm hyrja nuk dëshmon domosdoshmërisht se përdoruesi miratoi një dokument të caktuar.
Një nënshkrim digjital gjithashtu kërkon interpretim brenda një kuadri besimi. Verifikimi i suksesshëm kriptografik tregon se nënshkrimi përputhet me një çelës të caktuar dhe me të dhënat e nënshkruara. Lidhja e atij çelësi me një person, organizatë ose autoritet të emërtuar kërkon prova shtesë, si një certifikatë të besuar dhe procedura të përshtatshme regjistrimi.
Dokumentet ndërkufitare dhe rëndësia ligjore
Në tregtinë ndërkufitare, autentikimi elektronik mund të mbështesë miratimet e blerjeve, udhëzimet e transportit, paraqitjet doganore dhe regjistrime të tjera elektronike. Megjithatë, verifikimi teknik dhe njohja ligjore janë çështje të ndara. Një dokument mund të kalojë kontrollin teknik të nënshkrimit pa përmbushur çdo kërkesë të zbatueshme për transaksionin e tij të veçantë.
Ligji model i UNCITRAL-it për tregtinë elektronike trajton regjistrimet elektronike dhe ekuivalentët funksionalë të kërkesave të bazuara në letër. Ligji model i UNCITRAL-it për nënshkrimet elektronike ofron një kuadër lidhur me nënshkrimet elektronike dhe besueshmërinë e tyre. Këto janë ligje model të synuara për të ndihmuar zhvillimin legjislativ; ato nuk janë automatikisht rregulla detyruese për çdo transaksion ndërkombëtar.
Për një dokument të caktuar tregtar, pyetjet përkatëse përfshijnë nëse autoriteti pritës pranon formatin elektronik, nëse nënshkruesi ka autoritetin për të vepruar, cilat kërkesa për nënshkrimin zbatohen dhe nëse regjistrimi mund të ruhet e riprodhohet siç kërkohet. Autentikimi nuk zëvendëson kontrollin doganor, nuk përcakton klasifikimin tarifor dhe nuk vërteton saktësinë e një fature.
Vlerësimi praktik dhe kufijtë e provave
Vlerësimi i një rrjedhe pune autentikimi kërkon më shumë se kontrollimin nëse ekziston një fjalëkalim ose kod verifikimi. Pyetjet e mëposhtme ndihmojnë në përcaktimin e provave që procesi ofron në të vërtetë:
- Kush ose çfarë po autentikohet? Dalloni një person, llogari, organizatë, aplikacion, pajisje dhe burim dokumenti.
- Si u përcaktua identiteti i pretenduar? Një llogari e regjistruar me email dhe një përfaqësues biznesi, identiteti i të cilit është verifikuar, ofrojnë prova të ndryshme.
- Cilin veprim mbulon? Aksesi në një faqe gjurmimi nuk duhet të ngatërrohet me miratimin për ndryshimin e adresës së dorëzimit ose destinacionit të pagesës.
- Çfarë i reziston mekanizmi? Merrni parasysh phishing-un, përsëritjen, vjedhjen e kredencialeve dhe regjistrimin e paautorizuar, në vend që të mbështeteni vetëm te numri i hapave të hyrjes.
- Si rikuperohen ose zëvendësohen kredencialet? Një rrugë e dobët rikuperimi mund të dobësojë autentikimin rutinë më të fortë.
- A mund të revokohet aksesi? Punonjësit që largohen dhe integrimet e ndërprera nuk duhet të ruajnë akses të panevojshëm.
- Çfarë provash ruhen? Regjistrimet duhet të dallojnë autentikimin, autorizimin, miratimin e dokumentit dhe veprimet pasuese të biznesit.
Regjistrat e autentikimit mund të mbështesin një hetim, por nuk provojnë automatikisht se një person i caktuar kreu një veprim. Llogaritë e përbashkëta, pajisjet e komprometuara, sesionet e vjedhura dhe aksesi i deleguar mund ta ndërlikojnë atribuimin. Po kështu, futja e një kodi dorëzimi nga klienti ofron prova të përcaktuara nga rrjedha e asaj dorëzese, dhe jo një garanci të pakufizuar për identitetin ligjor të marrësit ose gjendjen e mallrave.
Pyetje dhe përgjigje
Çfarë do të thotë autentikimi elektronik në tregtinë elektronike?
Do të thotë kontrollimin e provave elektronike të lidhura me një identitet ose burim të pretenduar, si verifikimi i hyrjes së tregtarit ose kredencialeve të një aplikacioni. Ai mbështet aksesin e kontrolluar, por nuk vërteton në mënyrë të pavarur blerjen ose dërgesën në themel.
A është autentikimi elektronik i njëjtë me një nënshkrim elektronik?
Jo. Autentikimi kontrollon një identitet ose burim të pretenduar. Një nënshkrim elektronik lidhet me nënshkrimin e një regjistrimi dhe mund të tregojë miratimin. Një transaksion mund t’i përdorë të dyja, por njëri nuk përcakton automatikisht tjetrin.
A provon autentikimi se një dërgesë është dorëzuar?
Jo. Ai mund të kontribuojë me prova për një llogari, pajisje ose person të përfshirë në një ndërveprim dorëzimi. Vetë dorëzimi kërkon prova që lidhen me dërgesën dhe procesin e zbatueshëm të dorëzimit.
A e bën autentikimi elektronik një dokument tregtar ligjërisht të vlefshëm kudo?
Jo. Njohja ligjore varet nga ligji i zbatueshëm, kërkesat për dokumentin, autoriteti pritës dhe rrethanat e transaksionit. Vetëm autentikimi teknik nuk i zgjidh këto çështje.
Burimet
- NIST SP 800-63B-4: Udhëzime për identitetin digjital — Menaxhimi i autentikimit dhe autentikuesve — Konceptet e autentikimit, faktorët, menaxhimi i autentikuesve, rezistenca ndaj phishing-ut dhe konsideratat për sesionet.
- NIST SP 800-63A-4: Udhëzime për identitetin digjital — Verifikimi i identitetit dhe regjistrimi — Dallimi midis përcaktimit të një identiteti dhe autentikimit të mëvonshëm të një llogarie.
- Ligji model i UNCITRAL-it për tregtinë elektronike — Regjistrimet elektronike, ekuivalenca funksionale dhe konteksti legjislativ për tregtinë elektronike.
- Ligji model i UNCITRAL-it për nënshkrimet elektronike — Konceptet e nënshkrimeve elektronike, besueshmëria dhe dallimi midis një kuadri legjislativ model dhe ligjit kombëtar të zbatueshëm.
