Elektronik Kimlik Doğrulama

Elektronik Kimlik Doğrulama Nedir?

Elektronik kimlik doğrulama, elektronik yollarla bir kullanıcı, kuruluş, cihaz veya dijital mesajın iddia ettiği kimlik ya da kaynakla ilişkili olup olmadığını kontrol etme sürecidir. E-ticaret ve lojistikte, bir satıcı hesabına kimin eriştiğini, kimin gönderim talimatı sunduğunu, bir iş sistemine kimin bağlandığını veya elektronik bir işlemi kimin onayladığını belirlemeye yardımcı olur. Kimlik doğrulama, kimlik ya da kaynak hakkında kanıt sağlar; ancak tek başına bir siparişin meşru olduğunu, malların tanıma uygun olduğunu veya bir gönderinin teslim edildiğini kanıtlamaz.

Bu terim, bilgi güvenliği ve elektronik ticaret hukukunda birbiriyle ilişkili ancak farklı anlamlara sahiptir. Dijital kimlik sistemlerinde kimlik doğrulama genellikle, bir başvuru sahibinin bir hesapla ilişkilendirilmiş kimlik doğrulama aracını kontrol ettiğinin doğrulanması anlamına gelir. Elektronik belge iş akışlarında ise bir kaydın kaynağını veya gerçekliğini belirlemeyi daha geniş anlamda ifade edebilir; bu işlem bazen elektronik imzalar veya kriptografik yöntemler kullanılarak yapılır. Bu nedenle amaçlanan anlam, neyin doğrulandığına ve hangi teknik veya hukuki çerçevenin uygulandığına bağlıdır.

E-ticaret ve Lojistikteki Rolü

Elektronik kimlik doğrulama, insanların ve sistemlerin talimat alışverişinde bulunduğu, bilgilere eriştiği veya işlemleri onayladığı noktalarda çalışır. Malların fiziksel hareketinden ziyade bir siparişi çevreleyen güven ilişkilerini destekler. Aynı işlem sırasında bir satıcı, depo işletmecisi, taşıyıcı, gümrük müşaviri ve müşteri farklı kimlik doğrulama sistemleriyle etkileşime girebilir.

Örneğin bir depo çalışanı, envanter uygulamasına erişmeden önce kimliğini doğrulayabilir. Bir satıcının yazılımı, bir uygulama programlama arayüzü veya API üzerinden gönderi etiketi talep ederken kimlik doğrulaması yapabilir. Bir işletme temsilcisi, ticari bir belgeyi onaylarken elektronik imza kullanabilir. Tüm bu faaliyetler elektronik olarak doğrulanmış bir iş akışının parçası olabilir; ancak farklı kanıt ve kontroller içerir.

Bunlar örnek uygulamalardır; evrensel bir gereklilikler listesi değildir. Uygun yöntem, yetkisiz erişimin sonuçlarına, ilgili taraflara ve geçerli sözleşmesel veya düzenleyici gerekliliklere bağlıdır.

Elektronik Kimlik Doğrulama Nasıl Çalışır?

1. Hesap veya güven ilişkisinin oluşturulması

Bir kimlik doğrulama olayının anlamlı olabilmesi için sistemin başvuru sahibini tanımasını sağlayacak bir temele ihtiyaç vardır. Bu; hesap oluşturmayı, kimlik kanıtlarını kontrol etmeyi, bir kuruluşu kaydetmeyi veya bir yazılım uygulamasına kimlik bilgileri vermeyi içerebilir. Kimlik kanıtlama ve kimlik doğrulama ayrı faaliyetlerdir: Kimlik kanıtlama, başvuru sahibinin kim olduğunu değerlendirirken kimlik doğrulama daha sonra bu kimlik veya hesapla ilişkili bir kimlik doğrulama aracının kontrolünü kontrol eder.

Her ticari hesap doğrulanmış bir yasal kimlikle bağlantılı değildir. Bir sistem yalnızca aynı hesap sahibinin geri döndüğünü belirleyebilir. Bir işletmenin yalnızca hesap erişiminin devamlılığından ziyade bir kişinin kimliğine veya bir şirketi temsil etme yetkisine ilişkin kanıta ihtiyaç duyduğu durumlarda bu ayrım önemlidir.

2. Kimlik doğrulama aracının bağlanması

Bir kimlik doğrulama aracı hesap veya kimlikle ilişkilendirilir. Örnekler arasında parola, kriptografik anahtar veya kimlik doğrulama yanıtları üretmek için kullanılan cihaz bulunur. Kayıt ve bağlama süreci önemlidir; çünkü bir saldırgan başkasının hesabına kendi kimlik doğrulama aracını kaydedebiliyorsa güçlü bir kimlik doğrulama mekanizması sınırlı koruma sağlar.

3. Kanıtın sunulması ve kontrol edilmesi

Erişim veya onay istendiğinde başvuru sahibi, seçilen kimlik doğrulama protokolü aracılığıyla kanıt sunar. Doğrulayıcı bu kanıtı kontrol eder. Yönteme bağlı olarak bu işlem, paroladan türetilen bir değerin kontrol edilmesini, tek kullanımlık bir yanıtın doğrulanmasını veya bir meydan okumaya ilişkin kriptografik imzanın doğrulanmasını içerebilir. İyi tasarlanmış bir meydan okuma-yanıt protokolü, gizli anahtarın kendisini iletmeden anahtarın kontrol edildiğini gösterebilir.

4. Yetkilendirme kurallarının uygulanması

Başarılı kimlik doğrulamanın ardından izinlerle ilgili ayrı bir karar verilir. Bir depo çalışanının toplama görevlerini görüntülemesine izin verilebilir, ancak ödeme bilgilerini değiştirmesine izin verilmeyebilir. Bir gönderi entegrasyonunun etiket oluşturmasına izin verilebilir, ancak kullanıcıları yönetmesine izin verilmeyebilir. Kimlik doğrulama, ilgili hesabı veya asıl kişiyi belirler; yetkilendirme ise bu kişinin gerçekleştirebileceği işlemleri belirler.

5. Oturumların ve değişikliklerin yönetilmesi

Kimlik doğrulamasından sonra sistem, her işlem için yeni bir giriş istemek yerine bir oturumu sürdürebilir. Oturum koruması, kimlik bilgilerinin iptali, hesap kurtarma ve kimlik doğrulama aracının değiştirilmesi genel sürecin önemli parçaları olmaya devam eder. Geri ödeme hedefini değiştirmek gibi hassas bir işlem, oturum zaten etkin olsa bile yeniden kimlik doğrulama gerektirebilir.

Kimlik Doğrulama Faktörleri ve Mekanizmaları

İnsan kullanıcılar için kimlik doğrulama faktörleri genellikle kişinin bildiği, sahip olduğu veya kendisi olduğu bir şey olarak tanımlanır. Bu kategoriler kullanılan kanıtı açıklar; eksiksiz bir uygulamanın güvenliğini otomatik olarak belirlemez. Makineler arası bağlantılar ortak sırlar, kriptografik anahtarlar ve sertifikalar gibi mekanizmalar kullanır; ancak bunlar insan giriş iş akışlarıyla aynı kabul edilmemelidir.

Çok faktörlü kimlik doğrulama, farklı kimlik doğrulama faktörlerini birleştirir. İki parola, iki farklı faktör oluşturmaz. Benzer şekilde, birkaç ekrandan oluşan bir iş akışı da mutlaka çok faktörlü kimlik doğrulama değildir. Önemli olan, kullanıcının kaç adım gördüğü değil, sürecin bağımsız kanıt biçimleri gerektirip gerektirmediğidir.

Kimlik avına dayanıklılık da ayrı bir özelliktir. Bir yöntem birden fazla faktör içerebilir, ancak yine de saldırganın kimlik doğrulama kanıtını aktarmasına veya ele geçirmesine izin verebilir. NIST'in dijital kimlik kılavuzu, tüm çok faktörlü yöntemleri birbirinin yerine kullanılabilir kabul etmek yerine kimlik doğrulama yöntemlerini özelliklerine ve güvence gerekliliklerine göre ayırt eder.

İlgili Terimler ve Önemli Ayrımlar

Elektronik imza ile elektronik kimlik doğrulama olayı birlikte gerçekleşebilir; ancak farklı amaçlara hizmet ederler. İmzalama, belirli bir belge veya işleme onay verildiğini ifade edebilir. Bir hesaba giriş yapmak, o hesabın kimlik doğrulama kuralları kapsamında erişim sağlar. Tek başına giriş yapılması, kullanıcının belirli bir belgeyi onayladığını zorunlu olarak göstermez.

Dijital imzanın da bir güven çerçevesi içinde yorumlanması gerekir. Başarılı kriptografik doğrulama, imzanın belirli bir anahtara ve imzalanan verilere karşılık geldiğini gösterir. Bu anahtarın adı belirtilen bir kişi, kuruluş veya yetkiliyle ilişkilendirilmesi, güvenilir bir sertifika ve uygun kayıt prosedürleri gibi ek kanıtlar gerektirir.

Sınır Ötesi Belgeler ve Hukuki Önemi

Sınır ötesi ticarette elektronik kimlik doğrulama; satın alma onaylarını, gönderim talimatlarını, gümrük bildirimlerini ve diğer elektronik kayıtları destekleyebilir. Ancak teknik doğrulama ile hukuki tanıma ayrı konulardır. Bir belge teknik imza kontrolünden geçebilir, ancak belirli işlem için geçerli tüm gereklilikleri karşılamayabilir.

UNCITRAL Elektronik Ticaret Model Kanunu, elektronik kayıtları ve kâğıt tabanlı gerekliliklerin işlevsel eşdeğerlerini ele alır. UNCITRAL Elektronik İmzalar Model Kanunu, elektronik imzalar ve bunların güvenilirliğiyle ilgili bir çerçeve sağlar. Bunlar yasama çalışmalarına yardımcı olmayı amaçlayan model kanunlardır; her uluslararası işlem için otomatik olarak bağlayıcı kurallar değildir.

Belirli bir ticari belge için ilgili sorular arasında, alıcı makamın elektronik formatı kabul edip etmediği, imzalayan kişinin işlem yapma yetkisine sahip olup olmadığı, hangi imza gerekliliklerinin geçerli olduğu ve kaydın gerektiği şekilde saklanıp yeniden üretilebilip üretilemeyeceği bulunur. Kimlik doğrulama, gümrük incelemesinin yerini almaz, tarife sınıflandırması yapmaz veya bir faturanın doğruluğunu belgelemez.

Pratik Değerlendirme ve Kanıt Sınırları

Bir kimlik doğrulama iş akışını değerlendirmek, yalnızca bir parola veya doğrulama kodunun bulunup bulunmadığını kontrol etmekten fazlasını gerektirir. Aşağıdaki sorular, sürecin gerçekte hangi kanıtı sağladığını tanımlamaya yardımcı olur:

• Kim veya ne doğrulanıyor? Kişi, hesap, kuruluş, uygulama, cihaz ve belge kaynağını birbirinden ayırın.
• İddia edilen kimlik nasıl oluşturuldu? E-posta ile kaydedilmiş bir hesap ile kimliği kanıtlanmış bir işletme temsilcisi farklı kanıtlar sağlar.
• Hangi işlem kapsanıyor? Bir takip sayfasına erişim, teslimat adresini veya ödeme hedefini değiştirme onayıyla karıştırılmamalıdır.
• Mekanizma neye karşı direnç gösteriyor? Yalnızca giriş adımlarının sayısına güvenmek yerine kimlik avını, yeniden oynatma saldırılarını, kimlik bilgisi hırsızlığını ve yetkisiz kaydı dikkate alın.
• Kimlik bilgileri nasıl kurtarılıyor veya değiştiriliyor? Zayıf bir kurtarma yolu, daha güçlü rutin kimlik doğrulamayı etkisiz hâle getirebilir.
• Erişim iptal edilebilir mi? İşten ayrılan çalışanlar ve sonlandırılan entegrasyonlar gereksiz erişimi sürdürmemelidir.
• Hangi kanıt saklanıyor? Kayıtlar kimlik doğrulama, yetkilendirme, belge onayı ve daha sonraki ticari işlemleri birbirinden ayırmalıdır.

Kimlik doğrulama günlükleri bir soruşturmayı destekleyebilir; ancak belirli bir işlemi belirli bir insanın gerçekleştirdiğini otomatik olarak kanıtlamaz. Ortak hesaplar, güvenliği ihlal edilmiş cihazlar, çalınan oturumlar ve devredilmiş erişim, atıf yapmayı zorlaştırabilir. Benzer şekilde, bir müşterinin teslimat kodu girmesi, bu teslimat iş akışı tarafından tanımlanan kanıtı sağlar; alıcının yasal kimliği veya malların durumu hakkında sınırsız bir güvence sağlamaz.

SSS

E-ticarette elektronik kimlik doğrulama ne anlama gelir?

İddia edilen bir kimlik veya kaynakla ilişkili elektronik kanıtların kontrol edilmesi anlamına gelir; örneğin bir satıcı girişinin veya uygulama kimlik bilgilerinin doğrulanması. Kontrollü erişimi destekler, ancak temel satın alma veya gönderiyi bağımsız olarak doğrulamaz.

Elektronik kimlik doğrulama, elektronik imzayla aynı şey midir?

Hayır. Kimlik doğrulama, iddia edilen bir kimliği veya kaynağı kontrol eder. Elektronik imza, bir kaydın imzalanmasıyla ilgilidir ve onayı gösterebilir. Bir işlem her ikisini de kullanabilir; ancak biri diğerini otomatik olarak kanıtlamaz.

Kimlik doğrulama bir gönderinin teslim edildiğini kanıtlar mı?

Hayır. Teslimat etkileşiminde yer alan hesap, cihaz veya kişi hakkında kanıt sağlayabilir. Teslimatın kendisi, gönderiyle ve geçerli teslimat süreciyle ilgili kanıtlar gerektirir.

Elektronik kimlik doğrulama, ticari bir belgeyi her yerde hukuken geçerli kılar mı?

Hayır. Hukuki tanıma, geçerli hukuka, belge gerekliliklerine, alıcı makama ve işlemin koşullarına bağlıdır. Teknik kimlik doğrulama tek başına bu soruları çözmez.

Kaynaklar

• NIST SP 800-63B-4: Dijital Kimlik Kılavuzları — Kimlik Doğrulama ve Kimlik Doğrulama Aracı Yönetimi — Kimlik doğrulama kavramları, faktörler, kimlik doğrulama aracı yönetimi, kimlik avına dayanıklılık ve oturumla ilgili hususlar.
• NIST SP 800-63A-4: Dijital Kimlik Kılavuzları — Kimlik Kanıtlama ve Kayıt — Bir kimliğin oluşturulması ile daha sonra bir hesabın doğrulanması arasındaki ayrım.
• UNCITRAL Elektronik Ticaret Model Kanunu — Elektronik kayıtlar, işlevsel eşdeğerlik ve elektronik ticaretin yasama bağlamı.
• UNCITRAL Elektronik İmzalar Model Kanunu — Elektronik imza kavramları, güvenilirlik ve model yasama çerçevesi ile geçerli ulusal hukuk arasındaki ayrım.