การยืนยันตัวตนทางอิเล็กทรอนิกส์

การยืนยันตัวตนทางอิเล็กทรอนิกส์คืออะไร

การยืนยันตัวตนทางอิเล็กทรอนิกส์คือกระบวนการตรวจสอบด้วยวิธีการทางอิเล็กทรอนิกส์ว่า ผู้ใช้ องค์กร อุปกรณ์ หรือข้อความดิจิทัลมีความเกี่ยวข้องกับตัวตนหรือแหล่งที่มาตามที่อ้างหรือไม่ ในอีคอมเมิร์ซและโลจิสติกส์ การยืนยันตัวตนช่วยระบุว่าใครกำลังเข้าถึงบัญชีผู้ค้า ส่งคำสั่งจัดส่ง เชื่อมต่อกับระบบธุรกิจ หรืออนุมัติธุรกรรมทางอิเล็กทรอนิกส์ การยืนยันตัวตนเป็นหลักฐานเกี่ยวกับตัวตนหรือแหล่งที่มา แต่โดยตัวมันเองไม่ได้ยืนยันว่าคำสั่งซื้อถูกต้องตามกฎหมาย สินค้าตรงตามคำอธิบาย หรือมีการจัดส่งแล้ว

คำนี้มีความหมายที่เกี่ยวข้องกันแต่แตกต่างกันในด้านความปลอดภัยสารสนเทศและกฎหมายพาณิชย์อิเล็กทรอนิกส์ ในระบบอัตลักษณ์ดิจิทัล การยืนยันตัวตนโดยทั่วไปหมายถึงการตรวจสอบว่าผู้แสดงตนควบคุมตัวรับรองความถูกต้องที่เชื่อมโยงกับบัญชี ในกระบวนการทำงานของเอกสารอิเล็กทรอนิกส์ คำนี้อาจหมายถึงการยืนยันแหล่งที่มาหรือความถูกต้องแท้จริงของระเบียนในความหมายที่กว้างขึ้น โดยบางครั้งใช้ลายมือชื่ออิเล็กทรอนิกส์หรือวิธีการเข้ารหัส ความหมายที่ต้องการจึงขึ้นอยู่กับสิ่งที่กำลังได้รับการยืนยันและกรอบทางเทคนิคหรือกฎหมายที่ใช้บังคับ

บทบาทในอีคอมเมิร์ซและโลจิสติกส์

การยืนยันตัวตนทางอิเล็กทรอนิกส์ทำงานในจุดที่บุคคลและระบบแลกเปลี่ยนคำสั่ง เข้าถึงข้อมูล หรืออนุมัติการดำเนินการ โดยสนับสนุนความสัมพันธ์ด้านความน่าเชื่อถือที่เกี่ยวข้องกับคำสั่งซื้อ ไม่ใช่การเคลื่อนย้ายสินค้าทางกายภาพโดยตรง ผู้ค้า ผู้ปฏิบัติงานคลังสินค้า ผู้ขนส่ง นายหน้าศุลกากร และลูกค้าอาจโต้ตอบกับระบบยืนยันตัวตนที่แตกต่างกันในธุรกรรมเดียวกัน

ตัวอย่างเช่น พนักงานคลังสินค้าอาจต้องยืนยันตัวตนก่อนเข้าถึงแอปพลิเคชันจัดการสินค้าคงคลัง ซอฟต์แวร์ของผู้ค้าอาจยืนยันตัวตนเมื่อขอใบจ่าหน้าสำหรับการจัดส่งผ่านอินเทอร์เฟซการเขียนโปรแกรมแอปพลิเคชัน หรือ API ตัวแทนธุรกิจอาจใช้ลายมือชื่ออิเล็กทรอนิกส์เมื่ออนุมัติเอกสารการค้า กิจกรรมเหล่านี้ใช้หลักฐานและการควบคุมที่แตกต่างกัน แม้ทั้งหมดอาจเป็นส่วนหนึ่งของกระบวนการทำงานที่ผ่านการยืนยันตัวตนทางอิเล็กทรอนิกส์

สิ่งเหล่านี้เป็นตัวอย่างการใช้งาน ไม่ใช่ชุดข้อกำหนดที่ใช้ได้ในทุกกรณี วิธีการที่เหมาะสมขึ้นอยู่กับผลกระทบของการเข้าถึงโดยไม่ได้รับอนุญาต คู่สัญญาที่เกี่ยวข้อง และข้อกำหนดตามสัญญาหรือกฎระเบียบที่ใช้บังคับ

การทำงานของการยืนยันตัวตนทางอิเล็กทรอนิกส์

1. การสร้างบัญชีหรือความสัมพันธ์ด้านความน่าเชื่อถือ

ก่อนที่เหตุการณ์ยืนยันตัวตนจะมีความหมาย ระบบจำเป็นต้องมีพื้นฐานสำหรับจดจำผู้แสดงตน ซึ่งอาจรวมถึงการสร้างบัญชี ตรวจสอบหลักฐานตัวตน ลงทะเบียนองค์กร หรือออกข้อมูลรับรองให้แอปพลิเคชันซอฟต์แวร์ การพิสูจน์ตัวตนและการยืนยันตัวตนเป็นกิจกรรมที่แยกจากกัน การพิสูจน์ตัวตนประเมินว่าผู้สมัครเป็นใคร ส่วนการยืนยันตัวตนจะตรวจสอบในภายหลังว่าผู้สมัครควบคุมตัวรับรองความถูกต้องที่เชื่อมโยงกับตัวตนหรือบัญชีนั้นหรือไม่

บัญชีเชิงพาณิชย์ไม่ได้เชื่อมโยงกับตัวตนทางกฎหมายที่ผ่านการตรวจสอบแล้วทุกบัญชี ระบบอาจยืนยันได้เพียงว่าผู้ถือบัญชีรายเดิมกลับมาใช้งานอีกครั้ง ความแตกต่างนี้สำคัญเมื่อธุรกิจต้องการหลักฐานเกี่ยวกับตัวตนหรืออำนาจของบุคคลในการเป็นตัวแทนบริษัท ไม่ใช่เพียงความต่อเนื่องของการเข้าถึงบัญชี

2. การผูกตัวรับรองความถูกต้อง

ตัวรับรองความถูกต้องจะถูกเชื่อมโยงกับบัญชีหรือตัวตน ตัวอย่างเช่น รหัสผ่าน คีย์เข้ารหัส หรืออุปกรณ์ที่ใช้สร้างคำตอบสำหรับการยืนยันตัวตน กระบวนการลงทะเบียนและการผูกมีความสำคัญ เพราะกลไกการยืนยันตัวตนที่แข็งแกร่งจะให้การปกป้องอย่างจำกัด หากผู้โจมตีสามารถลงทะเบียนตัวรับรองความถูกต้องของตนเองกับบัญชีของผู้อื่นได้

3. การนำเสนอและตรวจสอบหลักฐาน

เมื่อมีการร้องขอการเข้าถึงหรือการอนุมัติ ผู้แสดงตนจะส่งหลักฐานผ่านโพรโทคอลการยืนยันตัวตนที่เลือก ผู้ตรวจสอบจะตรวจสอบหลักฐานนั้น วิธีการที่ใช้ในการตรวจสอบอาจรวมถึงการตรวจสอบค่าที่ได้จากรหัสผ่าน การตรวจสอบคำตอบแบบใช้ครั้งเดียว หรือการตรวจสอบลายมือชื่อเข้ารหัสบนคำท้าทาย โพรโทคอลคำท้าทายและคำตอบที่ออกแบบมาอย่างดีสามารถแสดงการควบคุมคีย์ลับได้โดยไม่ต้องส่งคีย์นั้นเอง

4. การใช้กฎการอนุญาต

หลังจากยืนยันตัวตนสำเร็จ จะมีการตัดสินใจแยกต่างหากเกี่ยวกับสิทธิ์ พนักงานคลังสินค้าอาจได้รับอนุญาตให้ดูงานหยิบสินค้า แต่ไม่สามารถแก้ไขรายละเอียดการจ่ายเงินได้ การเชื่อมต่อด้านการจัดส่งอาจได้รับอนุญาตให้สร้างใบจ่าหน้า แต่ไม่สามารถจัดการผู้ใช้ได้ การยืนยันตัวตนระบุบัญชีหรือผู้มีสิทธิ์ที่เกี่ยวข้อง ส่วนการอนุญาตจะกำหนดว่าผู้มีสิทธิ์นั้นสามารถดำเนินการใดได้บ้าง

5. การจัดการเซสชันและการเปลี่ยนแปลง

หลังจากยืนยันตัวตนแล้ว ระบบอาจคงเซสชันไว้แทนการกำหนดให้เข้าสู่ระบบใหม่ทุกครั้งที่ดำเนินการ การป้องกันเซสชัน การเพิกถอนข้อมูลรับรอง การกู้คืนบัญชี และการเปลี่ยนตัวรับรองความถูกต้องยังคงเป็นส่วนสำคัญของกระบวนการโดยรวม การดำเนินการที่มีความละเอียดอ่อน เช่น การเปลี่ยนปลายทางการคืนเงิน อาจจำเป็นต้องยืนยันตัวตนอีกครั้ง แม้เซสชันจะยังทำงานอยู่

ปัจจัยและกลไกการยืนยันตัวตน

สำหรับผู้ใช้ที่เป็นมนุษย์ ปัจจัยการยืนยันตัวตนมักอธิบายว่าเป็นสิ่งที่บุคคลรู้ มีไว้ในครอบครอง หรือเป็นอยู่ หมวดหมู่เหล่านี้อธิบายหลักฐานที่ใช้ แต่ไม่ได้กำหนดความปลอดภัยของการใช้งานทั้งหมดโดยอัตโนมัติ การเชื่อมต่อระหว่างเครื่องใช้กลไกต่าง ๆ เช่น ข้อมูลลับร่วมกัน คีย์เข้ารหัส และใบรับรอง แต่ไม่ควรถือว่าเหมือนกับกระบวนการเข้าสู่ระบบของมนุษย์

การยืนยันตัวตนแบบหลายปัจจัยผสานปัจจัยการยืนยันตัวตนที่แตกต่างกัน รหัสผ่านสองชุดไม่ถือเป็นสองปัจจัยที่แตกต่างกัน ในทำนองเดียวกัน กระบวนการที่มีหลายหน้าจอไม่ได้หมายความว่าจะเป็นการยืนยันตัวตนแบบหลายปัจจัยเสมอไป คำถามสำคัญคือกระบวนการนั้นต้องใช้หลักฐานที่เป็นอิสระต่อกันหรือไม่ ไม่ใช่ผู้ใช้เห็นกี่ขั้นตอน

ความต้านทานต่อฟิชชิงเป็นคุณสมบัติอีกประการหนึ่งที่แยกต่างหาก วิธีการหนึ่งอาจมีหลายปัจจัย แต่ยังเปิดโอกาสให้ผู้โจมตีส่งต่อหรือดักจับหลักฐานการยืนยันตัวตนได้ แนวทางอัตลักษณ์ดิจิทัลของ NIST จำแนกวิธีการยืนยันตัวตนตามคุณสมบัติและข้อกำหนดด้านระดับความเชื่อมั่น แทนที่จะถือว่าวิธีแบบหลายปัจจัยทั้งหมดสามารถใช้แทนกันได้

คำศัพท์ที่เกี่ยวข้องและความแตกต่างสำคัญ

ลายมือชื่ออิเล็กทรอนิกส์และเหตุการณ์ยืนยันตัวตนทางอิเล็กทรอนิกส์อาจเกิดขึ้นพร้อมกัน แต่มีวัตถุประสงค์แตกต่างกัน การลงนามสามารถแสดงการอนุมัติเอกสารหรือธุรกรรมเฉพาะ การเข้าสู่ระบบบัญชีเป็นการสร้างการเข้าถึงภายใต้กฎการยืนยันตัวตนของบัญชีนั้น การเข้าสู่ระบบเพียงอย่างเดียวไม่ได้แสดงว่าผู้ใช้อนุมัติเอกสารใดเอกสารหนึ่งเสมอไป

ลายมือชื่อดิจิทัลยังต้องได้รับการตีความภายในกรอบความน่าเชื่อถือ การตรวจสอบการเข้ารหัสที่สำเร็จแสดงว่าลายมือชื่อสอดคล้องกับคีย์และข้อมูลที่ลงนามเฉพาะ การเชื่อมโยงคีย์นั้นกับบุคคล องค์กร หรือหน่วยงานที่มีชื่อระบุจำเป็นต้องมีหลักฐานเพิ่มเติม เช่น ใบรับรองที่เชื่อถือได้และขั้นตอนการลงทะเบียนที่เหมาะสม

เอกสารข้ามพรมแดนและความสำคัญทางกฎหมาย

ในการค้าข้ามพรมแดน การยืนยันตัวตนทางอิเล็กทรอนิกส์อาจสนับสนุนการอนุมัติการซื้อ คำสั่งจัดส่ง การยื่นเอกสารศุลกากร และระเบียนอิเล็กทรอนิกส์อื่น ๆ อย่างไรก็ตาม การตรวจสอบทางเทคนิคและการรับรองทางกฎหมายเป็นคนละประเด็น เอกสารอาจผ่านการตรวจสอบลายมือชื่อทางเทคนิคโดยไม่เป็นไปตามข้อกำหนดทุกประการที่ใช้กับธุรกรรมนั้น

กฎหมายต้นแบบของ UNCITRAL ว่าด้วยพาณิชย์อิเล็กทรอนิกส์กล่าวถึงระเบียนอิเล็กทรอนิกส์และสิ่งที่เทียบเท่ากับข้อกำหนดที่ใช้กับเอกสารกระดาษ กฎหมายต้นแบบของ UNCITRAL ว่าด้วยลายมือชื่ออิเล็กทรอนิกส์จัดทำกรอบเกี่ยวกับลายมือชื่ออิเล็กทรอนิกส์และความน่าเชื่อถือ กฎหมายเหล่านี้เป็นกฎหมายต้นแบบที่มีวัตถุประสงค์เพื่อช่วยพัฒนากฎหมาย ไม่ใช่กฎที่มีผลผูกพันโดยอัตโนมัติกับธุรกรรมระหว่างประเทศทุกกรณี

สำหรับเอกสารการค้าใดเอกสารหนึ่ง คำถามที่เกี่ยวข้องรวมถึง หน่วยงานผู้รับยอมรับรูปแบบอิเล็กทรอนิกส์หรือไม่ ผู้ลงนามมีอำนาจดำเนินการหรือไม่ ข้อกำหนดเกี่ยวกับลายมือชื่อใดใช้บังคับ และสามารถเก็บรักษาและทำซ้ำระเบียนได้ตามที่กำหนดหรือไม่ การยืนยันตัวตนไม่ได้แทนที่การตรวจสอบของศุลกากร ไม่ได้กำหนดพิกัดอัตราศุลกากร และไม่ได้รับรองความถูกต้องของใบแจ้งหนี้

การประเมินในทางปฏิบัติและขอบเขตของหลักฐาน

การประเมินกระบวนการยืนยันตัวตนต้องทำมากกว่าการตรวจสอบว่ามีรหัสผ่านหรือรหัสยืนยันหรือไม่ คำถามต่อไปนี้ช่วยกำหนดว่ากระบวนการนั้นให้หลักฐานอะไรจริงบ้าง:

• กำลังยืนยันตัวตนของใครหรือสิ่งใด แยกความแตกต่างระหว่างบุคคล บัญชี องค์กร แอปพลิเคชัน อุปกรณ์ และแหล่งที่มาของเอกสาร
• ตัวตนที่อ้างถูกสร้างขึ้นอย่างไร บัญชีที่ลงทะเบียนด้วยอีเมลและตัวแทนธุรกิจที่ผ่านการพิสูจน์ตัวตนให้หลักฐานแตกต่างกัน
• ครอบคลุมการดำเนินการใด การเข้าถึงหน้าติดตามพัสดุไม่ควรถูกสับสนกับการอนุมัติให้เปลี่ยนที่อยู่จัดส่งหรือปลายทางการชำระเงิน
• กลไกนี้ต้านทานอะไรได้บ้าง พิจารณาฟิชชิง การใช้ซ้ำ การขโมยข้อมูลรับรอง และการลงทะเบียนโดยไม่ได้รับอนุญาต ไม่ใช่พึ่งพาเพียงจำนวนขั้นตอนการเข้าสู่ระบบ
• ข้อมูลรับรองถูกกู้คืนหรือเปลี่ยนใหม่อย่างไร ช่องทางการกู้คืนที่อ่อนแออาจทำลายการยืนยันตัวตนตามปกติที่แข็งแกร่งกว่า
• สามารถเพิกถอนการเข้าถึงได้หรือไม่ พนักงานที่ลาออกและการเชื่อมต่อที่ยุติแล้วไม่ควรยังคงมีสิทธิ์เข้าถึงโดยไม่จำเป็น
• มีการเก็บหลักฐานใดไว้ ระเบียนควรแยกการยืนยันตัวตน การอนุญาต การอนุมัติเอกสาร และการดำเนินการทางธุรกิจในภายหลังออกจากกัน

บันทึกการยืนยันตัวตนสามารถสนับสนุนการสืบสวนได้ แต่ไม่ได้พิสูจน์โดยอัตโนมัติว่ามนุษย์คนใดเป็นผู้ดำเนินการ การใช้บัญชีร่วมกัน อุปกรณ์ที่ถูกเจาะ เซสชันที่ถูกขโมย และการเข้าถึงที่มอบหมายอาจทำให้การระบุผู้กระทำซับซ้อน ในทำนองเดียวกัน การที่ลูกค้าป้อนรหัสจัดส่งให้หลักฐานตามที่กระบวนการจัดส่งนั้นกำหนด ไม่ใช่การรับประกันอย่างไม่จำกัดเกี่ยวกับตัวตนทางกฎหมายของผู้รับหรือสภาพของสินค้า

คำถามที่พบบ่อย

การยืนยันตัวตนทางอิเล็กทรอนิกส์ในอีคอมเมิร์ซหมายถึงอะไร

หมายถึงการตรวจสอบหลักฐานอิเล็กทรอนิกส์ที่เกี่ยวข้องกับตัวตนหรือแหล่งที่มาที่อ้าง เช่น การตรวจสอบการเข้าสู่ระบบของผู้ค้าหรือข้อมูลรับรองของแอปพลิเคชัน การยืนยันตัวตนสนับสนุนการเข้าถึงที่มีการควบคุม แต่ไม่ได้ตรวจสอบความถูกต้องของการซื้อหรือการจัดส่งที่อยู่เบื้องหลังโดยอิสระ

การยืนยันตัวตนทางอิเล็กทรอนิกส์เหมือนกับลายมือชื่ออิเล็กทรอนิกส์หรือไม่

ไม่เหมือนกัน การยืนยันตัวตนตรวจสอบตัวตนหรือแหล่งที่มาที่อ้าง ส่วนลายมือชื่ออิเล็กทรอนิกส์เกี่ยวข้องกับการลงนามในระเบียนและอาจแสดงการอนุมัติ ธุรกรรมหนึ่งอาจใช้ทั้งสองอย่าง แต่สิ่งหนึ่งไม่ได้ยืนยันอีกสิ่งหนึ่งโดยอัตโนมัติ

การยืนยันตัวตนพิสูจน์หรือไม่ว่ามีการจัดส่งพัสดุแล้ว

ไม่ การยืนยันตัวตนอาจเป็นหลักฐานเพิ่มเติมเกี่ยวกับบัญชี อุปกรณ์ หรือบุคคลที่เกี่ยวข้องกับการโต้ตอบด้านการจัดส่ง แต่การจัดส่งเองต้องใช้หลักฐานที่เกี่ยวข้องกับพัสดุและกระบวนการจัดส่งที่ใช้บังคับ

การยืนยันตัวตนทางอิเล็กทรอนิกส์ทำให้เอกสารการค้ามีผลตามกฎหมายในทุกที่หรือไม่

ไม่ การรับรองทางกฎหมายขึ้นอยู่กับกฎหมายที่ใช้บังคับ ข้อกำหนดของเอกสาร หน่วยงานผู้รับ และสถานการณ์ของธุรกรรม การยืนยันตัวตนทางเทคนิคเพียงอย่างเดียวไม่สามารถแก้ไขประเด็นเหล่านี้ได้

แหล่งข้อมูล

• NIST SP 800-63B-4: แนวทางอัตลักษณ์ดิจิทัล — การยืนยันตัวตนและการจัดการตัวรับรองความถูกต้อง — แนวคิดเกี่ยวกับการยืนยันตัวตน ปัจจัย การจัดการตัวรับรองความถูกต้อง การต้านทานฟิชชิง และข้อพิจารณาเกี่ยวกับเซสชัน
• NIST SP 800-63A-4: แนวทางอัตลักษณ์ดิจิทัล — การพิสูจน์ตัวตนและการลงทะเบียน — ความแตกต่างระหว่างการสร้างตัวตนและการยืนยันตัวตนของบัญชีในภายหลัง
• กฎหมายต้นแบบของ UNCITRAL ว่าด้วยพาณิชย์อิเล็กทรอนิกส์ — ระเบียนอิเล็กทรอนิกส์ ความเท่าเทียมกันในเชิงหน้าที่ และบริบททางกฎหมายสำหรับพาณิชย์อิเล็กทรอนิกส์
• กฎหมายต้นแบบของ UNCITRAL ว่าด้วยลายมือชื่ออิเล็กทรอนิกส์ — แนวคิดเกี่ยวกับลายมือชื่ออิเล็กทรอนิกส์ ความน่าเชื่อถือ และความแตกต่างระหว่างกรอบกฎหมายต้นแบบกับกฎหมายภายในประเทศที่ใช้บังคับ