Електронна автентифікація
Що таке електронна автентифікація?
Електронна автентифікація — це процес перевірки за допомогою електронних засобів того, що користувач, організація, пристрій або цифрове повідомлення пов’язані з особою чи джерелом, за яке вони себе видають. В електронній комерції та логістиці вона допомагає встановити, хто отримує доступ до облікового запису продавця, надсилає інструкції щодо доставки, підключається до бізнес-системи або схвалює електронну транзакцію. Автентифікація надає докази особи або походження, але сама по собі не встановлює, що замовлення є законним, товари відповідають опису або відправлення було доставлено.
Цей термін має пов’язані, але відмінні значення в інформаційній безпеці та законодавстві про електронну комерцію. У системах цифрової ідентичності автентифікація зазвичай означає перевірку того, що заявник контролює засіб автентифікації, пов’язаний з обліковим записом. У робочих процесах електронних документів вона може ширше стосуватися встановлення походження або автентичності запису, іноді за допомогою електронних підписів чи криптографічних методів. Отже, значення залежить від того, що саме автентифікується і яка технічна чи правова база застосовується.
Роль в електронній комерції та логістиці
Електронна автентифікація застосовується в точках, де люди та системи обмінюються інструкціями, отримують доступ до інформації або схвалюють дії. Вона підтримує довірчі відносини навколо замовлення, а не фізичне переміщення самих товарів. Продавець, працівник складу, перевізник, митний брокер і клієнт можуть взаємодіяти з різними системами автентифікації під час однієї транзакції.
Наприклад, працівник складу може пройти автентифікацію перед доступом до програми обліку запасів. Програмне забезпечення продавця може проходити автентифікацію під час запиту транспортних етикеток через інтерфейс прикладного програмування, або API. Представник компанії може використовувати електронний підпис під час затвердження торгового документа. Ці дії передбачають різні докази та засоби контролю, хоча всі вони можуть бути частиною електронно автентифікованого робочого процесу.
| Бізнес-контекст | Що може бути автентифіковано | Чого автентифікація не встановлює |
|---|---|---|
| Доступ до облікового запису продавця | Контроль над засобом автентифікації, пов’язаним з обліковим записом | Що кожна дія, виконана через обліковий запис, є комерційно законною |
| Доступ до складської програми | Обліковий запис працівника або пристрій, що підключається до системи | Що підрахунок запасів або результат комплектування є точним |
| Підключення до API доставки | Програма або організація, що надає прийняті облікові дані | Що дані про відправлення відповідають фізичній посилці |
| Електронний торговий документ | Заявлене джерело або особа, що підписує документ, залежно від механізму | Що кожне твердження в документі є правдивим |
| Взаємодія з клієнтом під час доставки | Контроль над обліковим записом, пристроєм або кодом, необхідним для робочого процесу | Усі факти, необхідні для визначення доставки, права власності або відповідальності |
Це лише приклади застосування, а не універсальний набір вимог. Відповідний метод залежить від наслідків несанкціонованого доступу, залучених сторін і будь-яких застосовних договірних або нормативних вимог.
Як працює електронна автентифікація
1. Створення облікового запису або довірчих відносин
Перш ніж подія автентифікації набуде значення, системі потрібна основа для розпізнавання заявника. Це може передбачати створення облікового запису, перевірку доказів особи, реєстрацію організації або видачу облікових даних програмній програмі. Встановлення особи та автентифікація — це окремі дії: встановлення особи оцінює, ким є заявник, тоді як автентифікація згодом перевіряє контроль над засобом автентифікації, пов’язаним із цією особою або обліковим записом.
Не кожен комерційний обліковий запис пов’язаний із підтвердженою юридичною особою. Система може встановити лише те, що повернувся той самий власник облікового запису. Ця відмінність важлива, коли компанії потрібні докази особи або повноважень людини представляти компанію, а не лише підтвердження безперервності доступу до облікового запису.
2. Прив’язування засобу автентифікації
Засіб автентифікації пов’язується з обліковим записом або особою. Прикладами є пароль, криптографічний ключ або пристрій, що використовується для генерування відповідей автентифікації. Процес реєстрації та прив’язування має значення, оскільки надійний механізм автентифікації забезпечує обмежений захист, якщо зловмисник може зареєструвати власний засіб автентифікації в чужому обліковому записі.
3. Надання та перевірка доказів
Коли запитується доступ або схвалення, заявник надає докази через обраний протокол автентифікації. Перевіряльник перевіряє ці докази. Залежно від методу це може передбачати перевірку значення, отриманого з пароля, перевірку одноразової відповіді або криптографічного підпису виклику. Правильно розроблений протокол «виклик-відповідь» може продемонструвати контроль над секретним ключем без передавання самого ключа.
4. Застосування правил авторизації
Після успішної автентифікації приймається окреме рішення щодо дозволів. Працівнику складу можна дозволити переглядати завдання комплектування, але не змінювати платіжні реквізити. Інтеграції доставки можна дозволити створювати етикетки, але не керувати користувачами. Автентифікація визначає залучений обліковий запис або суб’єкт; авторизація визначає дії, які цей суб’єкт може виконувати.
5. Керування сеансами та змінами
Після автентифікації система може підтримувати сеанс замість вимоги нового входу для кожної дії. Захист сеансу, відкликання облікових даних, відновлення облікового запису та заміна засобу автентифікації залишаються важливими частинами загального процесу. Для конфіденційної дії, наприклад зміни реквізитів для повернення коштів, може знадобитися повторна автентифікація навіть за активного сеансу.
Фактори та механізми автентифікації
Для людей фактори автентифікації зазвичай описують як те, що людина знає, має або чим є. Ці категорії описують використані докази; вони не визначають автоматично безпеку всієї реалізації. Підключення між системами використовують такі механізми, як спільні секрети, криптографічні ключі та сертифікати, але їх не слід ототожнювати з процесами входу людини.
| Фактор або механізм | Приклади | Важливе обмеження |
|---|---|---|
| Фактор знань | Пароль або PIN-код | Секрети можна вгадати, розкрити або викрасти через фішинг. |
| Фактор володіння | Ключ безпеки або зареєстрований пристрій автентифікації | Захист залежить від протоколу, безпеки пристрою та процесу відновлення. |
| Біометрична характеристика | Відбиток пальця або розпізнавання обличчя для активації засобу автентифікації | Біометричне зіставлення має ймовірнісний характер і потребує належних заходів захисту. |
| Облікові дані машини | Секрет API, приватний ключ або сертифікат клієнта | Викрадені облікові дані можуть дозволити іншій системі видати себе за авторизовану програму. |
Багатофакторна автентифікація поєднує різні фактори автентифікації. Два паролі не є двома різними факторами. Так само робочий процес із кількома екранами не обов’язково є багатофакторною автентифікацією. Важливо, чи вимагає процес незалежних форм доказів, а не кількість кроків, які бачить користувач.
Стійкість до фішингу — ще одна окрема властивість. Метод може включати кілька факторів і водночас дозволяти зловмиснику пересилати або перехоплювати докази автентифікації. Настанови NIST щодо цифрової ідентичності розрізняють методи автентифікації за їхніми властивостями та вимогами до рівня гарантії, а не розглядають усі багатофакторні методи як взаємозамінні.
Пов’язані терміни та важливі відмінності
| Термін | Значення | Зв’язок з електронною автентифікацією |
|---|---|---|
| Ідентифікація | Надання ідентифікатора, наприклад імені облікового запису | Вказує, яка особа заявлена; не доводить достовірність заяви. |
| Встановлення особи | Оцінювання доказів для встановлення особи заявника | Може встановити особу, до якої згодом прив’язуються засоби автентифікації. |
| Авторизація | Визначення дозволених дій і доступу | Використовує автентифіковану особу або інші параметри політики для прийняття рішень щодо доступу. |
| Електронний підпис | Електронні дані, пов’язані з підписанням запису | Може ідентифікувати підписанта та вказувати на схвалення; юридичні визначення й вимоги відрізняються. |
| Цифровий підпис | Криптографічний механізм із використанням приватного ключа та відповідного відкритого ключа | Може підтверджувати походження та виявлення змін у підписаних даних. |
| Шифрування | Перетворення інформації для захисту її конфіденційності | Саме по собі не встановлює особу сторони, що здійснює зв’язок. |
| Автентифікація товару | Перевірка справжності фізичного предмета | Стосується самих товарів, а не лише доступу до облікового запису чи походження повідомлення. |
Електронний підпис і подія електронної автентифікації можуть відбуватися одночасно, але вони мають різні цілі. Підписання може виражати схвалення конкретного документа або транзакції. Вхід до облікового запису встановлює доступ відповідно до правил автентифікації цього облікового запису. Сам по собі вхід не обов’язково доводить, що користувач схвалив конкретний документ.
Цифровий підпис також потребує тлумачення в межах довірчої системи. Успішна криптографічна перевірка показує, що підпис відповідає певному ключу та підписаним даним. Пов’язання цього ключа з названою особою, організацією або органом влади потребує додаткових доказів, наприклад довіреного сертифіката та належних процедур реєстрації.
Транскордонні документи та юридичне значення
У транскордонній торгівлі електронна автентифікація може підтримувати схвалення покупок, інструкції щодо доставки, митні подання та інші електронні записи. Однак технічна перевірка й юридичне визнання — це окремі питання. Документ може пройти технічну перевірку підпису, але не відповідати всім вимогам, застосовним до конкретної транзакції.
Типовий закон ЮНСІТРАЛ про електронну торгівлю стосується електронних записів і функціональних еквівалентів вимог до паперових документів. Типовий закон ЮНСІТРАЛ про електронні підписи встановлює основу для електронних підписів та їхньої надійності. Це типові закони, призначені для сприяння розвитку законодавства; вони не є автоматично обов’язковими правилами для кожної міжнародної транзакції.
Для конкретного торгового документа важливими є питання, чи приймає орган-одержувач електронний формат, чи має підписант повноваження діяти, які вимоги до підпису застосовуються і чи можна зберігати та відтворювати запис у необхідному вигляді. Автентифікація не замінює митну перевірку, не встановлює тарифну класифікацію та не засвідчує точність рахунку.
Практична оцінка та межі доказів
Оцінювання робочого процесу автентифікації потребує більшого, ніж перевірка наявності пароля або коду підтвердження. Наведені нижче питання допомагають визначити, які саме докази фактично надає процес:
- Хто або що автентифікується? Розрізняйте особу, обліковий запис, організацію, програму, пристрій і джерело документа.
- Як було встановлено заявлену особу? Обліковий запис, зареєстрований за електронною поштою, і представник компанії, чию особу було встановлено, надають різні докази.
- Яку дію охоплює процес? Доступ до сторінки відстеження не слід плутати з дозволом змінити адресу доставки або реквізити для оплати.
- Від чого захищає механізм? Враховуйте фішинг, повторне використання, викрадення облікових даних і несанкціоновану реєстрацію, а не лише кількість кроків входу.
- Як відновлюються або замінюються облікові дані? Слабкий шлях відновлення може підірвати сильніший звичайний процес автентифікації.
- Чи можна відкликати доступ? Працівники, які звільнилися, та припинені інтеграції не повинні зберігати непотрібний доступ.
- Які докази зберігаються? Записи мають розрізняти автентифікацію, авторизацію, схвалення документа та подальші бізнес-дії.
Журнали автентифікації можуть підтримати розслідування, але автоматично не доводять, що певну дію виконав конкретний человек. Спільні облікові записи, скомпрометовані пристрої, викрадені сеанси та делегований доступ можуть ускладнювати визначення відповідальної особи. Так само введення клієнтом коду доставки надає докази, визначені цим робочим процесом доставки, а не необмежену гарантію юридичної особи одержувача або стану товарів.
Поширені запитання
Що означає електронна автентифікація в електронній комерції?
Це перевірка електронних доказів, пов’язаних із заявленою особою або джерелом, наприклад перевірка входу продавця або облікових даних програми. Вона підтримує контрольований доступ, але самостійно не підтверджує відповідну покупку чи відправлення.
Чи є електронна автентифікація тим самим, що й електронний підпис?
Ні. Автентифікація перевіряє заявлену особу або джерело. Електронний підпис стосується підписання запису та може вказувати на схвалення. Транзакція може використовувати обидва, але одне автоматично не встановлює інше.
Чи доводить автентифікація, що відправлення було доставлено?
Ні. Вона може надавати докази щодо облікового запису, пристрою або особи, залучених до взаємодії під час доставки. Сама доставка потребує доказів, що стосуються відправлення та застосовного процесу доставки.
Чи робить електронна автентифікація торговий документ юридично чинним усюди?
Ні. Юридичне визнання залежить від застосовного законодавства, вимог до документа, органу-одержувача та обставин транзакції. Сама лише технічна автентифікація не вирішує цих питань.
Джерела
- NIST SP 800-63B-4: Настанови щодо цифрової ідентичності — автентифікація та керування засобами автентифікації — поняття автентифікації, фактори, керування засобами автентифікації, стійкість до фішингу та особливості сеансів.
- NIST SP 800-63A-4: Настанови щодо цифрової ідентичності — встановлення особи та реєстрація — відмінність між встановленням особи та подальшою автентифікацією облікового запису.
- Типовий закон ЮНСІТРАЛ про електронну торгівлю — електронні записи, функціональна еквівалентність і законодавчий контекст електронної торгівлі.
- Типовий закон ЮНСІТРАЛ про електронні підписи — поняття електронного підпису, надійність і відмінність між типовою законодавчою базою та застосовним національним законодавством.
