Elektronisk autentisering
Vad är elektronisk autentisering?
Elektronisk autentisering är processen att genom elektroniska medel kontrollera att en användare, organisation, enhet eller ett digitalt meddelande är kopplat till den identitet eller källa som den uppger. Inom e-handel och logistik bidrar den till att fastställa vem som får åtkomst till ett säljkonto, skickar fraktinstruktioner, ansluter till ett affärssystem eller godkänner en elektronisk transaktion. Autentisering ger bevis på identitet eller ursprung; den fastställer inte i sig att en beställning är legitim, att varorna överensstämmer med en beskrivning eller att en försändelse har levererats.
Begreppet har närliggande men skilda betydelser inom informationssäkerhet och lagstiftning om elektronisk handel. I digitala identitetssystem innebär autentisering vanligtvis att kontrollera att en person som gör anspråk på en identitet kontrollerar en autentiseringsfaktor som är kopplad till ett konto. I arbetsflöden för elektroniska dokument kan det mer allmänt syfta på att fastställa ett dokuments ursprung eller äkthet, ibland med hjälp av elektroniska signaturer eller kryptografiska metoder. Den avsedda betydelsen beror därför på vad som autentiseras och vilket tekniskt eller juridiskt ramverk som gäller.
Rollen inom e-handel och logistik
Elektronisk autentisering används vid de punkter där människor och system utbyter instruktioner, får tillgång till information eller godkänner åtgärder. Den stöder de förtroenderelationer som omger en beställning, snarare än varornas fysiska förflyttning. En säljare, lageroperatör, transportör, tullombud och kund kan var och en interagera med olika autentiseringssystem under samma transaktion.
En lageranställd kan till exempel behöva autentisera sig innan hen får åtkomst till en lagerapplikation. En säljares programvara kan autentisera sig när den begär fraktetiketter via ett applikationsprogrammeringsgränssnitt, eller API. En företagsrepresentant kan använda en elektronisk signatur när ett handelsdokument godkänns. Dessa aktiviteter omfattar olika typer av bevis och kontroller, även om de alla kan ingå i ett elektroniskt autentiserat arbetsflöde.
| Affärssammanhang | Vad som kan autentiseras | Vad autentisering inte fastställer |
|---|---|---|
| Åtkomst till säljkonto | Kontroll över en autentiseringsfaktor som är kopplad till kontot | Att varje åtgärd som utförs via kontot är kommersiellt legitim |
| Åtkomst till lagerapplikation | Det medarbetarkonto eller den enhet som ansluter till systemet | Att en lagerräkning eller ett plockresultat är korrekt |
| Frakt-API-anslutning | Den applikation eller organisation som presenterar godkända inloggningsuppgifter | Att försändelsens uppgifter överensstämmer med det fysiska paketet |
| Elektroniskt handelsdokument | Den uppgivna källan eller undertecknarens identitet, beroende på mekanismen | Att varje uppgift i dokumentet är sann |
| Kundens leveransinteraktion | Kontroll över ett konto, en enhet eller en kod som krävs av arbetsflödet | Alla fakta som behövs för att fastställa leverans, ägande eller ansvar |
Dessa är illustrativa tillämpningar, inte en universell uppsättning krav. Lämplig metod beror på konsekvenserna av obehörig åtkomst, vilka parter som berörs samt eventuella tillämpliga avtals- eller myndighetskrav.
Så fungerar elektronisk autentisering
1. Etablera kontot eller förtroenderelationen
Innan en autentiseringshändelse kan vara meningsfull behöver ett system en grund för att känna igen den som gör anspråk på identiteten. Det kan innebära att skapa ett konto, kontrollera identitetsbevis, registrera en organisation eller utfärda inloggningsuppgifter till en programvaruapplikation. Identitetskontroll och autentisering är separata aktiviteter: identitetskontroll bedömer vem en sökande är, medan autentisering därefter kontrollerar kontrollen över en autentiseringsfaktor som är kopplad till denna identitet eller detta konto.
Alla kommersiella konton är inte kopplade till en verifierad juridisk identitet. Ett system kan endast fastställa att samma kontoinnehavare har återkommit. Denna skillnad är viktig när ett företag behöver bevis på en persons identitet eller behörighet att företräda ett företag, snarare än enbart kontinuitet i kontoåtkomsten.
2. Koppla en autentiseringsfaktor
En autentiseringsfaktor kopplas till kontot eller identiteten. Exempel är ett lösenord, en kryptografisk nyckel eller en enhet som används för att generera autentiseringssvar. Registrerings- och kopplingsprocessen är viktig eftersom en stark autentiseringsmekanism erbjuder begränsat skydd om en angripare kan registrera sin egen autentiseringsfaktor på någon annans konto.
3. Presentera och kontrollera bevis
När åtkomst eller godkännande begärs tillhandahåller den som gör anspråk på identiteten bevis genom det valda autentiseringsprotokollet. Verifieraren kontrollerar beviset. Beroende på metod kan detta innebära att kontrollera ett lösenordsbaserat värde, validera ett engångssvar eller verifiera en kryptografisk signatur över en utmaning. Ett väl utformat utmanings-svarsprotokoll kan visa att någon kontrollerar en hemlig nyckel utan att själva nyckeln överförs.
4. Tillämpa behörighetsregler
Efter en lyckad autentisering följer ett separat beslut om behörigheter. En lagerarbetare kan tillåtas att se plockuppgifter men inte ändra utbetalningsinformation. En fraktintegration kan tillåtas att skapa etiketter men inte hantera användare. Autentisering identifierar det aktuella kontot eller subjektet; behörighetskontroll avgör vilka åtgärder detta subjekt får utföra.
5. Hantera sessioner och ändringar
Efter autentisering kan ett system upprätthålla en session i stället för att kräva en ny inloggning för varje åtgärd. Sessionsskydd, återkallande av inloggningsuppgifter, kontoåterställning och byte av autentiseringsfaktor är fortsatt viktiga delar av den övergripande processen. En känslig åtgärd, som att ändra destinationen för en återbetalning, kan kräva förnyad autentisering även när en session redan är aktiv.
Autentiseringsfaktorer och mekanismer
För mänskliga användare beskrivs autentiseringsfaktorer vanligtvis som något en person vet, har eller är. Dessa kategorier beskriver vilka bevis som används; de avgör inte automatiskt säkerheten i en fullständig implementering. Maskin-till-maskin-anslutningar använder mekanismer som delade hemligheter, kryptografiska nycklar och certifikat, men bör inte betraktas som identiska med inloggningsflöden för människor.
| Faktor eller mekanism | Exempel | Viktig begränsning |
|---|---|---|
| Kunskapsfaktor | Lösenord eller PIN-kod | Hemligheter kan gissas, röjas eller samlas in genom nätfiske. |
| Innehavsfaktor | Säkerhetsnyckel eller registrerad autentiseringsenhet | Skyddet beror på protokollet, enhetens säkerhet och återställningsprocessen. |
| Biometrisk egenskap | Fingeravtryck eller ansiktsigenkänning som används för att aktivera en autentiseringsfaktor | Biometrisk matchning är sannolikhetsbaserad och kräver lämpliga skyddsåtgärder. |
| Maskinell inloggningsuppgift | API-hemlighet, privat nyckel eller klientcertifikat | En stulen inloggningsuppgift kan göra det möjligt för ett annat system att utge sig för att vara den auktoriserade applikationen. |
Multifaktorautentisering kombinerar olika autentiseringsfaktorer. Två lösenord utgör inte två olika faktorer. På samma sätt är ett arbetsflöde med flera skärmbilder inte nödvändigtvis multifaktorautentisering. Den relevanta frågan är om processen kräver oberoende former av bevis, inte hur många steg användaren ser.
Motståndskraft mot nätfiske är en annan separat egenskap. En metod kan omfatta flera faktorer och ändå göra det möjligt för en angripare att vidarebefordra eller samla in autentiseringsbevis. NIST:s vägledning om digital identitet skiljer autentiseringsmetoder åt utifrån deras egenskaper och krav på säkerhetsnivå, i stället för att behandla alla multifaktormetoder som utbytbara.
Närliggande termer och viktiga skillnader
| Term | Betydelse | Förhållande till elektronisk autentisering |
|---|---|---|
| Identifiering | Att ange en identifierare, till exempel ett kontonamn | Anger vilken identitet som påstås föreligga, men bevisar inte påståendet. |
| Identitetskontroll | Att utvärdera bevis för att fastställa en sökandes identitet | Kan fastställa den identitet som autentiseringsfaktorer senare kopplas till. |
| Behörighetskontroll | Att fastställa tillåtna åtgärder och åtkomst | Använder en autentiserad identitet eller andra policyuppgifter för att fatta åtkomstbeslut. |
| Elektronisk signatur | Elektroniska uppgifter som används i samband med undertecknandet av ett dokument | Kan identifiera en undertecknare och visa godkännande; juridiska definitioner och krav varierar. |
| Digital signatur | En kryptografisk mekanism som använder en privat nyckel och motsvarande offentlig nyckel | Kan stödja autentisering av ursprung och upptäckt av ändringar i signerade uppgifter. |
| Kryptering | Att omvandla information för att skydda dess konfidentialitet | Fastställer inte i sig den kommunicerande partens identitet. |
| Produktautentisering | Att kontrollera om en fysisk vara är äkta | Avser själva varorna, inte enbart åtkomst till ett konto eller ett meddelandes ursprung. |
En elektronisk signatur och en elektronisk autentiseringshändelse kan inträffa samtidigt, men de har olika syften. En signatur kan uttrycka godkännande av ett visst dokument eller en viss transaktion. Inloggning på ett konto fastställer åtkomst enligt kontots autentiseringsregler. En inloggning visar inte nödvändigtvis att användaren godkände ett specifikt dokument.
En digital signatur måste också tolkas inom ett förtroenderamverk. En lyckad kryptografisk verifiering visar att signaturen motsvarar en viss nyckel och signerade uppgifter. För att koppla nyckeln till en namngiven person, organisation eller myndighet krävs ytterligare bevis, till exempel ett betrott certifikat och lämpliga registreringsförfaranden.
Gränsöverskridande dokument och juridisk betydelse
Vid gränsöverskridande handel kan elektronisk autentisering stödja inköpsgodkännanden, fraktinstruktioner, tulldeklarationer och andra elektroniska dokument. Teknisk verifiering och juridiskt erkännande är dock separata frågor. Ett dokument kan klara en teknisk signaturkontroll utan att uppfylla alla krav som gäller för den specifika transaktionen.
UNCITRAL:s modellag om elektronisk handel behandlar elektroniska dokument och funktionella motsvarigheter till pappersbaserade krav. UNCITRAL:s modellag om elektroniska signaturer tillhandahåller ett ramverk för elektroniska signaturer och deras tillförlitlighet. Dessa är modellagar avsedda att stödja lagstiftningsutveckling; de är inte automatiskt bindande regler för varje internationell transaktion.
För ett visst handelsdokument omfattar relevanta frågor bland annat om den mottagande myndigheten godtar det elektroniska formatet, om undertecknaren har behörighet att agera, vilka signaturkrav som gäller och om dokumentet kan bevaras och återges enligt kraven. Autentisering ersätter inte tullgranskning, fastställer inte tullklassificering och intygar inte riktigheten i en faktura.
Praktisk bedömning och bevisens gränser
Att bedöma ett autentiseringsarbetsflöde kräver mer än att kontrollera om ett lösenord eller en verifieringskod finns. Följande frågor hjälper till att definiera vilka bevis processen faktiskt ger:
- Vem eller vad autentiseras? Skilj mellan en person, ett konto, en organisation, en applikation, en enhet och en dokumentkälla.
- Hur fastställdes den uppgivna identiteten? Ett konto som registrerats med e-post och en identitetskontrollerad företagsrepresentant ger olika typer av bevis.
- Vilken åtgärd omfattas? Åtkomst till en spårningssida bör inte förväxlas med godkännande att ändra en leveransadress eller betalningsdestination.
- Vad står mekanismen emot? Beakta nätfiske, uppspelning, stöld av inloggningsuppgifter och obehörig registrering, i stället för att enbart förlita sig på antalet inloggningssteg.
- Hur återställs eller ersätts inloggningsuppgifter? En svag återställningsväg kan undergräva en starkare rutinmässig autentisering.
- Kan åtkomst återkallas? Avgående medarbetare och avslutade integrationer bör inte behålla onödig åtkomst.
- Vilka bevis sparas? Dokumentationen bör skilja mellan autentisering, behörighetskontroll, dokumentgodkännande och efterföljande affärsåtgärder.
Autentiseringsloggar kan stödja en utredning, men de bevisar inte automatiskt att en viss människa utförde en åtgärd. Delade konton, komprometterade enheter, stulna sessioner och delegerad åtkomst kan försvåra attributionen. På samma sätt ger en kund som anger en leveranskod bevis enligt det aktuella leveransarbetsflödet, inte en obegränsad garanti om mottagarens juridiska identitet eller varornas skick.
Vanliga frågor
Vad betyder elektronisk autentisering inom e-handel?
Det innebär att kontrollera elektroniska bevis som är kopplade till en uppgiven identitet eller källa, till exempel genom att verifiera en säljares inloggning eller en applikations inloggningsuppgifter. Det stöder kontrollerad åtkomst men validerar inte självständigt det underliggande köpet eller försändelsen.
Är elektronisk autentisering samma sak som en elektronisk signatur?
Nej. Autentisering kontrollerar en uppgiven identitet eller källa. En elektronisk signatur avser undertecknandet av ett dokument och kan visa godkännande. En transaktion kan använda båda, men den ena fastställer inte automatiskt den andra.
Bevisar autentisering att en försändelse har levererats?
Nej. Den kan bidra med bevis om ett konto, en enhet eller en person som varit involverad i en leveransinteraktion. Själva leveransen kräver bevis som är relevanta för försändelsen och den tillämpliga leveransprocessen.
Gör elektronisk autentisering ett handelsdokument juridiskt giltigt överallt?
Nej. Juridiskt erkännande beror på tillämplig lag, dokumentkrav, mottagande myndighet och omständigheterna kring transaktionen. Teknisk autentisering ensam löser inte dessa frågor.
Källor
- NIST SP 800-63B-4: Digital Identity Guidelines — Authentication and Authenticator Management — Autentiseringsbegrepp, faktorer, hantering av autentiseringsfaktorer, motståndskraft mot nätfiske och överväganden kring sessioner.
- NIST SP 800-63A-4: Digital Identity Guidelines — Identity Proofing and Enrollment — Skillnaden mellan att fastställa en identitet och att därefter autentisera ett konto.
- UNCITRAL Model Law on Electronic Commerce — Elektroniska dokument, funktionell likvärdighet och det lagstiftningsmässiga sammanhanget för elektronisk handel.
- UNCITRAL Model Law on Electronic Signatures — Begrepp för elektroniska signaturer, tillförlitlighet och skillnaden mellan ett modellagstiftningsramverk och tillämplig nationell lag.
