Elektronska autentifikacija
Šta je elektronska autentifikacija?
Elektronska autentifikacija je proces provere, putem elektronskih sredstava, da li su korisnik, organizacija, uređaj ili digitalna poruka povezani sa identitetom ili izvorom za koji tvrde da im pripada. U elektronskoj trgovini i logistici pomaže da se utvrdi ko pristupa nalogu trgovca, šalje uputstva za isporuku, povezuje se sa poslovnim sistemom ili odobrava elektronsku transakciju. Autentifikacija pruža dokaze o identitetu ili poreklu; sama po sebi ne utvrđuje da je porudžbina legitimna, da roba odgovara opisu ili da je pošiljka isporučena.
Ovaj pojam ima srodna, ali različita značenja u oblasti informacione bezbednosti i prava elektronske trgovine. U sistemima digitalnog identiteta, autentifikacija obično znači proveru da podnosilac zahteva kontroliše autentifikator povezan sa nalogom. U tokovima rada sa elektronskim dokumentima može se šire odnositi na utvrđivanje porekla ili autentičnosti zapisa, ponekad korišćenjem elektronskih potpisa ili kriptografskih metoda. Značenje stoga zavisi od toga šta se autentifikuje i koji tehnički ili pravni okvir se primenjuje.
Uloga u elektronskoj trgovini i logistici
Elektronska autentifikacija funkcioniše na mestima gde ljudi i sistemi razmenjuju uputstva, pristupaju informacijama ili odobravaju radnje. Ona podržava odnose poverenja povezane sa porudžbinom, a ne fizičko kretanje same robe. Trgovac, operater skladišta, prevoznik, carinski posrednik i kupac mogu tokom iste transakcije koristiti različite sisteme autentifikacije.
Na primer, zaposleni u skladištu može da se autentifikuje pre pristupa aplikaciji za upravljanje zalihama. Softver trgovca može da se autentifikuje prilikom zahteva za nalepnice za isporuku putem interfejsa za programiranje aplikacija ili API-ja. Predstavnik preduzeća može koristiti elektronski potpis prilikom odobravanja trgovinskog dokumenta. Ove aktivnosti uključuju različite dokaze i kontrole, iako sve mogu biti deo elektronski autentifikovanog toka rada.
| Poslovni kontekst | Šta može biti autentifikovano | Šta autentifikacija ne utvrđuje |
|---|---|---|
| Pristup nalogu trgovca | Kontrolu autentifikatora povezanog sa nalogom | Da je svaka radnja izvršena putem naloga komercijalno legitimna |
| Pristup aplikaciji skladišta | Nalog zaposlenog ili uređaj koji se povezuje sa sistemom | Da su stanje zaliha ili rezultat komisioniranja tačni |
| Veza sa API-jem za isporuku | Aplikaciju ili organizaciju koja predstavlja prihvaćene akreditive | Da podaci o pošiljci odgovaraju fizičkom paketu |
| Elektronski trgovinski dokument | Navedeni izvor ili identitet potpisnika, u zavisnosti od mehanizma | Da je svaka tvrdnja u dokumentu istinita |
| Interakcija kupca pri isporuci | Kontrolu naloga, uređaja ili koda koji zahteva tok rada | Sve činjenice potrebne za utvrđivanje isporuke, vlasništva ili odgovornosti |
Ovo su ilustrativne primene, a ne univerzalan skup zahteva. Odgovarajući metod zavisi od posledica neovlašćenog pristupa, uključenih strana i svih primenljivih ugovornih ili regulatornih zahteva.
Kako funkcioniše elektronska autentifikacija
1. Uspostavljanje naloga ili odnosa poverenja
Pre nego što događaj autentifikacije može imati smisla, sistemu je potrebna osnova za prepoznavanje podnosioca zahteva. To može uključivati kreiranje naloga, proveru dokaza o identitetu, registraciju organizacije ili izdavanje akreditiva softverskoj aplikaciji. Provera identiteta i autentifikacija su odvojene aktivnosti: provera identiteta procenjuje ko je podnosilac zahteva, dok autentifikacija naknadno proverava kontrolu autentifikatora povezanog sa tim identitetom ili nalogom.
Nije svaki komercijalni nalog povezan sa verifikovanim pravnim identitetom. Sistem može utvrditi samo da se vratio isti korisnik naloga. Ova razlika je važna kada preduzeću treba dokaz identiteta pojedinca ili ovlašćenja za zastupanje kompanije, a ne samo kontinuitet pristupa nalogu.
2. Povezivanje autentifikatora
Autentifikator se povezuje sa nalogom ili identitetom. Primeri uključuju lozinku, kriptografski ključ ili uređaj koji se koristi za generisanje odgovora za autentifikaciju. Proces registracije i povezivanja je važan jer snažan mehanizam autentifikacije pruža ograničenu zaštitu ako napadač može da registruje sopstveni autentifikator na tuđem nalogu.
3. Dostavljanje i provera dokaza
Kada se zatraži pristup ili odobrenje, podnosilac zahteva dostavlja dokaz putem izabranog protokola autentifikacije. Verifikator proverava taj dokaz. U zavisnosti od metode, to može uključivati proveru vrednosti izvedene iz lozinke, validaciju jednokratnog odgovora ili proveru kriptografskog potpisa nad izazovom. Dobro osmišljen protokol izazov–odgovor može pokazati kontrolu nad tajnim ključem bez prenosa samog ključa.
4. Primena pravila autorizacije
Nakon uspešne autentifikacije sledi odvojena odluka o dozvolama. Radniku u skladištu može biti dozvoljeno da vidi zadatke komisioniranja, ali ne i da menja podatke o isplati. Integraciji za isporuku može biti dozvoljeno da kreira nalepnice, ali ne i da upravlja korisnicima. Autentifikacija identifikuje uključeni nalog ili principala; autorizacija određuje radnje koje taj principal može da izvrši.
5. Upravljanje sesijama i promenama
Nakon autentifikacije sistem može održavati sesiju umesto da zahteva novu prijavu za svaku radnju. Zaštita sesije, opoziv akreditiva, oporavak naloga i zamena autentifikatora ostaju važni delovi ukupnog procesa. Osetljiva radnja, kao što je promena odredišta povraćaja novca, može zahtevati ponovnu autentifikaciju čak i kada je sesija već aktivna.
Faktori i mehanizmi autentifikacije
Kod ljudskih korisnika faktori autentifikacije obično se opisuju kao nešto što osoba zna, poseduje ili jeste. Ove kategorije opisuju korišćeni dokaz; one same po sebi ne određuju bezbednost potpune implementacije. Veze između mašina koriste mehanizme kao što su deljene tajne, kriptografski ključevi i sertifikati, ali ih ne treba tretirati kao identične tokovima prijavljivanja ljudi.
| Faktor ili mehanizam | Primeri | Važno ograničenje |
|---|---|---|
| Faktor znanja | Lozinka ili PIN | Tajne se mogu pogoditi, otkriti ili ukrasti putem fišinga. |
| Faktor posedovanja | Bezbednosni ključ ili registrovani autentifikacioni uređaj | Zaštita zavisi od protokola, bezbednosti uređaja i procesa oporavka. |
| Biometrijska karakteristika | Otisak prsta ili prepoznavanje lica koji se koriste za aktiviranje autentifikatora | Biometrijsko podudaranje je verovatnosno i zahteva odgovarajuće zaštitne mere. |
| Mašinski akreditiv | API tajna, privatni ključ ili klijentski sertifikat | Ukradeni akreditiv može omogućiti drugom sistemu da se predstavi kao ovlašćena aplikacija. |
Višefaktorska autentifikacija kombinuje različite faktore autentifikacije. Dve lozinke ne predstavljaju dva različita faktora. Isto tako, tok rada sa više ekrana nije nužno višefaktorska autentifikacija. Važno pitanje je da li proces zahteva nezavisne oblike dokaza, a ne koliko koraka korisnik vidi.
Otpornost na fišing je još jedno odvojeno svojstvo. Metod može uključivati više faktora, a ipak omogućiti napadaču da prosledi ili presretne dokaz autentifikacije. NIST smernice za digitalni identitet razlikuju metode autentifikacije prema njihovim svojstvima i zahtevima za nivo pouzdanosti, umesto da sve višefaktorske metode tretiraju kao međusobno zamenljive.
Srodni pojmovi i važne razlike
| Pojam | Značenje | Odnos prema elektronskoj autentifikaciji |
|---|---|---|
| Identifikacija | Predstavljanje identifikatora, kao što je naziv naloga | Navodi koji se identitet tvrdi; ne dokazuje tu tvrdnju. |
| Provera identiteta | Procena dokaza radi utvrđivanja identiteta podnosioca zahteva | Može utvrditi identitet za koji se autentifikatori naknadno vezuju. |
| Autorizacija | Određivanje dozvoljenih radnji i pristupa | Koristi autentifikovani identitet ili druge ulaze politike za donošenje odluka o pristupu. |
| Elektronski potpis | Elektronski podaci koji se koriste u vezi sa potpisivanjem zapisa | Može identifikovati potpisnika i ukazati na odobrenje; pravne definicije i zahtevi se razlikuju. |
| Digitalni potpis | Kriptografski mehanizam koji koristi privatni ključ i odgovarajući javni ključ | Može podržati autentifikaciju porekla i otkrivanje izmena potpisanih podataka. |
| Šifrovanje | Transformisanje informacija radi zaštite njihove poverljivosti | Samo po sebi ne utvrđuje identitet strane koja komunicira. |
| Autentifikacija proizvoda | Provera da li je fizički predmet originalan | Odnosi se na samu robu, a ne samo na pristup nalogu ili poreklo poruke. |
Elektronski potpis i događaj elektronske autentifikacije mogu se dogoditi zajedno, ali imaju različite svrhe. Potpisivanje može izraziti odobrenje određenog dokumenta ili transakcije. Prijavljivanje na nalog uspostavlja pristup u skladu sa pravilima autentifikacije tog naloga. Sama prijava ne mora nužno pokazati da je korisnik odobrio određeni dokument.
Digitalni potpis takođe zahteva tumačenje u okviru poverenja. Uspešna kriptografska provera pokazuje da potpis odgovara određenom ključu i potpisanim podacima. Povezivanje tog ključa sa imenovanom osobom, organizacijom ili nadležnim organom zahteva dodatne dokaze, kao što su pouzdani sertifikat i odgovarajući postupci registracije.
Prekogranični dokumenti i pravni značaj
U prekograničnoj trgovini elektronska autentifikacija može podržati odobrenja kupovine, uputstva za isporuku, carinske prijave i druge elektronske zapise. Međutim, tehnička provera i pravno priznavanje su odvojena pitanja. Dokument može proći tehničku proveru potpisa, a da ipak ne ispuni svaki zahtev koji se primenjuje na konkretnu transakciju.
Model zakon UNCITRAL-a o elektronskoj trgovini bavi se elektronskim zapisima i funkcionalnim ekvivalentima zahteva zasnovanih na papirnim dokumentima. Model zakon UNCITRAL-a o elektronskim potpisima pruža okvir u vezi sa elektronskim potpisima i njihovom pouzdanošću. To su model zakoni namenjeni pomoći u razvoju zakonodavstva; oni nisu automatski obavezujuća pravila za svaku međunarodnu transakciju.
Za određeni trgovinski dokument relevantna pitanja uključuju da li nadležni organ primalac prihvata elektronski format, da li potpisnik ima ovlašćenje za postupanje, koji zahtevi za potpis se primenjuju i da li se zapis može čuvati i reprodukovati kako je zahtevano. Autentifikacija ne zamenjuje carinski pregled, ne utvrđuje tarifnu klasifikaciju i ne potvrđuje tačnost fakture.
Praktična procena i granice dokaza
Procena toka rada autentifikacije zahteva više od provere da li postoje lozinka ili verifikacioni kod. Sledeća pitanja pomažu u određivanju dokaza koji proces zaista pruža:
- Ko ili šta se autentifikuje? Razlikujte osobu, nalog, organizaciju, aplikaciju, uređaj i izvor dokumenta.
- Kako je utvrđen navedeni identitet? Nalog registrovan putem imejla i poslovni predstavnik čiji je identitet proveren pružaju različite dokaze.
- Koja radnja je obuhvaćena? Pristup stranici za praćenje ne treba mešati sa odobrenjem za promenu adrese isporuke ili odredišta plaćanja.
- Na šta je mehanizam otporan? Razmotrite fišing, ponavljanje, krađu akreditiva i neovlašćenu registraciju, umesto da se oslanjate samo na broj koraka za prijavljivanje.
- Kako se akreditivi oporavljaju ili zamenjuju? Slab put za oporavak može oslabiti snažniju redovnu autentifikaciju.
- Može li se pristup opozvati? Zaposleni koji su napustili preduzeće i obustavljene integracije ne bi trebalo da zadrže nepotreban pristup.
- Koji dokazi se čuvaju? Zapisi treba da razlikuju autentifikaciju, autorizaciju, odobrenje dokumenta i naknadne poslovne radnje.
Dnevnici autentifikacije mogu podržati istragu, ali ne dokazuju automatski da je određenu radnju izvršila konkretna osoba. Deljeni nalozi, kompromitovani uređaji, ukradene sesije i delegirani pristup mogu otežati pripisivanje radnje. Slično tome, kada kupac unese kod za isporuku, to pruža dokaz definisan tim tokom rada isporuke, a ne neograničenu garanciju o pravnom identitetu primaoca ili stanju robe.
Česta pitanja
Šta elektronska autentifikacija znači u elektronskoj trgovini?
To znači proveru elektronskih dokaza povezanih sa navedenim identitetom ili izvorom, kao što je provera prijave trgovca ili akreditiva aplikacije. Ona podržava kontrolisani pristup, ali samostalno ne potvrđuje osnovnu kupovinu ili pošiljku.
Da li je elektronska autentifikacija isto što i elektronski potpis?
Ne. Autentifikacija proverava navedeni identitet ili izvor. Elektronski potpis se odnosi na potpisivanje zapisa i može ukazivati na odobrenje. Transakcija može koristiti oba, ali jedno automatski ne utvrđuje drugo.
Da li autentifikacija dokazuje da je pošiljka isporučena?
Ne. Ona može doprineti dokazima o nalogu, uređaju ili osobi uključenoj u interakciju pri isporuci. Sama isporuka zahteva dokaze relevantne za pošiljku i primenljivi proces isporuke.
Da li elektronska autentifikacija čini trgovinski dokument pravno važećim svuda?
Ne. Pravno priznavanje zavisi od primenljivog prava, zahteva za dokument, nadležnog organa primaoca i okolnosti transakcije. Sama tehnička autentifikacija ne rešava ta pitanja.
Izvori
- NIST SP 800-63B-4: Smernice za digitalni identitet — autentifikacija i upravljanje autentifikatorima — Koncepti autentifikacije, faktori, upravljanje autentifikatorima, otpornost na fišing i razmatranja u vezi sa sesijama.
- NIST SP 800-63A-4: Smernice za digitalni identitet — provera identiteta i registracija — Razlika između utvrđivanja identiteta i naknadne autentifikacije naloga.
- Model zakon UNCITRAL-a o elektronskoj trgovini — Elektronski zapisi, funkcionalna ekvivalentnost i zakonodavni kontekst elektronske trgovine.
- Model zakon UNCITRAL-a o elektronskim potpisima — Koncepti elektronskog potpisa, pouzdanost i razlika između modela zakonodavnog okvira i primenljivog nacionalnog prava.
