Аутентификация

Не путать с подлинностью или авторизацией .

Пользователь банкомата, аутентифицирующий себя

Аутентификация (от греческого : αὐθεντικός authentikos , «настоящий, подлинный», от αὐθέντης authentes , «автор») — это акт доказательства утверждения , например, личности пользователя компьютерной системы. В отличие от идентификации , акта установления личности человека или вещи, аутентификация — это процесс проверки этой личности. Это может включать проверку документов, удостоверяющих личность , проверку подлинности веб-сайта с помощью цифрового сертификата , определение возраста артефакта путем радиоуглеродного датирования или обеспечение того, чтобы продукт или документ не были поддельными .

Методы

Основная статья: Провенанс

Аутентификация актуальна для нескольких полей. В искусстве , антиквариате и антропологии распространенной проблемой является проверка того, что данный артефакт был создан определенным человеком или в определенном месте или периоде истории. В информатике проверка личности пользователя часто требуется для разрешения доступа к конфиденциальным данным или системам.

Аутентификацию можно разделить на три типа:

Первый тип аутентификации — это принятие подтверждения личности, предоставленного заслуживающим доверия человеком, у которого есть непосредственные доказательства того, что личность является подлинной. Когда требуется аутентификация произведений искусства или физических объектов, таким доказательством может быть друг, член семьи или коллега, подтверждающий происхождение предмета, возможно, будучи свидетелем того, как предмет находился во владении его создателя. В случае спортивных памятных вещей с автографами это может потребовать от кого-то подтверждения того, что он был свидетелем подписания объекта. Продавец, продающий фирменные товары, подразумевает подлинность, хотя у него может не быть доказательств того, что каждый этап цепочки поставок был аутентифицирован. Централизованные доверительные отношения на основе полномочий обеспечивают наиболее безопасную интернет-связь через известные общедоступные центры сертификации; децентрализованное одноранговое доверие, также известное как сеть доверия , используется для личных услуг, таких как электронная почта или файлы, и доверие устанавливается, известными людьми, подписывающими друг друга криптографическими ключами например, .

Второй тип аутентификации — это сравнение атрибутов самого объекта с тем, что известно об объектах этого происхождения. Например, искусствовед может поискать сходство в стиле живописи, проверить расположение и форму подписи или сравнить объект со старой фотографией. С другой стороны, археолог может использовать радиоуглеродное датирование, чтобы проверить возраст артефакта, провести химический и спектроскопический анализ использованных материалов или сравнить стиль конструкции или украшения с другими артефактами аналогичного происхождения. Физика звука и света, а также сравнение с известной физической средой могут использоваться для проверки подлинности аудиозаписей, фотографий или видео. Документы могут быть проверены как созданные на чернилах или бумаге, легко доступных на момент предполагаемого создания элемента.

Сравнение атрибутов может быть уязвимо для подделки. В целом он опирается на тот факт, что создание подделки, неотличимой от подлинного артефакта, требует экспертных знаний, что легко допустить ошибки и что количество необходимых для этого усилий значительно превышает сумму прибыли, которую можно получить от подделка.

В сфере искусства и антиквариата сертификаты имеют большое значение для подтверждения подлинности объекта, представляющего интерес и ценность. Однако сертификаты также могут быть подделаны, и их аутентификация представляет собой проблему. Например, сын Хана ван Меегерена , известного кузнеца, подделал работу своего отца и также предоставил сертификат ее происхождения.

Уголовное и гражданское наказание за мошенничество , подделку и подделку может снизить стимулы к фальсификации, в зависимости от риска быть пойманным.

Валюта и другие финансовые инструменты обычно используют второй тип аутентификации. Купюры, монеты и чеки имеют физические особенности, которые трудно скопировать, такие как мелкая печать или гравировка, отличительные ощущения, водяные знаки и голографические изображения, которые обученным получателям легко проверить.

Третий тип аутентификации основан на документации или других внешних подтверждениях. В уголовных судах правила доказывания часто требуют установления цепочки сохранности представленных доказательств. Это можно сделать с помощью письменного журнала доказательств или показаний полицейских детективов и сотрудников судебно-медицинской экспертизы, которые занимались этим. Некоторые предметы антиквариата сопровождаются сертификатами, подтверждающими их подлинность. Подписанные спортивные памятные вещи обычно сопровождаются сертификатом подлинности. Эти внешние записи имеют свои собственные проблемы, связанные с подделкой и лжесвидетельством , а также уязвимы в случае отделения от артефакта и потери.

В информатике пользователю может быть предоставлен доступ к защищенным системам на основе учетных данных пользователя, предполагающих подлинность. Сетевой администратор может дать пользователю пароль или предоставить ему ключ-карту или другие устройства доступа для обеспечения доступа к системе. В этом случае подлинность подразумевается, но не гарантируется.

Потребительские товары, такие как фармацевтические препараты, парфюмерия и одежда, могут использовать все формы аутентификации, чтобы не дать контрафактным товарам воспользоваться репутацией популярного бренда. Как упоминалось выше, продажа товара в магазине с хорошей репутацией неявно подтверждает его подлинность — первый тип аутентификации. Второй тип аутентификации может включать сравнение качества и мастерства изготовления предмета, например дорогой сумки, с подлинными предметами. Третьим типом аутентификации может быть наличие на товаре товарного знака , который представляет собой охраняемую законом маркировку, или любого другого идентифицирующего признака, который помогает потребителям идентифицировать подлинные товары торговой марки. С помощью программного обеспечения компании предприняли значительные шаги для защиты от подделок, включая добавление голограмм, защитных колец, защитных нитей и чернил, меняющих цвет.

Факторы аутентификации

Способы аутентификации кого-либо делятся на три категории, основанные на так называемых факторах аутентификации: что-то, что знает пользователь, что-то, что он имеет, и то, чем является пользователь. Каждый фактор аутентификации охватывает ряд элементов, используемых для аутентификации или проверки личности человека перед предоставлением доступа, одобрения запроса транзакции, подписания документа или другого рабочего продукта, предоставления полномочий другим лицам и установления цепочки полномочий.

Исследования безопасности показали, что для положительной аутентификации необходимо проверить элементы как минимум двух, а лучше всех трех факторов. Три фактора (класса) и некоторые элементы каждого фактора:

1. Знание: что-то, что знает пользователь (например, пароль, частичный пароль , парольная фраза , персональный идентификационный номер (ПИН), запрос-ответ (пользователь должен ответить на вопрос или шаблон), секретный вопрос ).
2. Право собственности: что-то, что есть у пользователя (например, браслет, удостоверение личности , токен безопасности , имплантированное устройство , сотовый телефон со встроенным аппаратным токеном , программный токен или сотовый телефон с программным токеном ).
3. Присущность: что-то, чем является или что делает пользователь (например, отпечаток пальца, рисунок сетчатки , последовательность ДНК (существуют различные определения того, что достаточно), подпись, лицо, голос, уникальные биоэлектрические сигналы или другие биометрические идентификаторы).

Однофакторная аутентификация

В качестве самого слабого уровня аутентификации для аутентификации личности используется только один компонент из одной из трех категорий факторов. Использование только одного фактора не обеспечивает достаточной защиты от неправильного использования или злонамеренного вторжения. Этот тип аутентификации не рекомендуется для финансовых или личных транзакций, требующих более высокого уровня безопасности.

Многофакторная аутентификация

Основная статья: Многофакторная аутентификация

Многофакторная аутентификация включает два или более факторов аутентификации (что-то, что вы знаете, что-то, что у вас есть, или то, чем вы являетесь). Двухфакторная аутентификация — это особый случай многофакторной аутентификации, включающий ровно два фактора.

Например, использование банковской карты (которая есть у пользователя) вместе с PIN-кодом (то, что знает пользователь) обеспечивает двухфакторную аутентификацию. Бизнес-сети могут требовать от пользователей предоставления пароля (фактор знания) и псевдослучайного числа из токена безопасности (фактор владения). Доступ к системе с очень высоким уровнем безопасности может потребовать проверки роста, веса, лица и отпечатков пальцев (несколько элементов фактора неотъемлемости), а также PIN-кода и кода дня (элементы фактора знания), но это все еще двухфакторная проверка. факторная аутентификация.

Типы аутентификации

Строгая аутентификация

правительства США В Национальном глоссарии по обеспечению информации определяется надежная аутентификация как многоуровневый подход к аутентификации, основанный на использовании двух или более аутентификаторов для установления личности отправителя или получателя информации.

Европейский центральный банк (ЕЦБ) определил надежную аутентификацию как «процедуру, основанную на двух или более из трех факторов аутентификации». Используемые факторы должны быть взаимно независимыми, и по крайней мере один фактор должен быть «неповторяемым и невоспроизводимым», за исключением случая фактора неотъемлемости, а также не должен быть украден из Интернета. В европейском, а также в американо-американском понимании строгая аутентификация очень похожа на многофакторную аутентификацию или 2FA, но превосходит те, к которым предъявляются более строгие требования.

Альянс FIDO стремится разработать технические спецификации для надежной аутентификации.

Непрерывная аутентификация

Обычные компьютерные системы аутентифицируют пользователей только во время первоначального сеанса входа в систему, что может быть причиной критического недостатка безопасности. Чтобы решить эту проблему, системам необходимы методы непрерывной аутентификации пользователей, которые непрерывно отслеживают и аутентифицируют пользователей на основе некоторых биометрических признаков. В исследовании использовалась поведенческая биометрия, основанная на стилях письма, в качестве метода непрерывной аутентификации.

Недавние исследования показали возможность использования датчиков и аксессуаров смартфонов для извлечения некоторых поведенческих атрибутов, таких как динамика прикосновения, динамика нажатия клавиш и распознавание походки . Эти атрибуты известны как поведенческая биометрия и могут использоваться для неявной и непрерывной проверки или идентификации пользователей на смартфонах. Системы аутентификации, построенные на основе этих поведенческих биометрических характеристик, известны как системы активной или непрерывной аутентификации.

Цифровая аутентификация

Термин цифровая аутентификация, также известный как электронная аутентификация или электронная аутентификация, относится к группе процессов, в которых устанавливается достоверность личности пользователя и представляется с помощью электронных методов в информационную систему. Процесс цифровой аутентификации создает технические проблемы из-за необходимости аутентификации отдельных лиц или организаций удаленно по сети.Американский национальный институт стандартов и технологий (NIST) создал общую модель цифровой аутентификации, которая описывает процессы, используемые для безопасной аутентификации:

1. Регистрация – физическое лицо обращается к поставщику услуг учетных данных (CSP) для инициирования процесса регистрации. После успешного подтверждения личности заявителя CSP позволяет ему стать подписчиком.
2. Аутентификация. Став подписчиком, пользователь получает аутентификатор , например токен, и учетные данные, например имя пользователя. Затем ему или ей разрешается выполнять онлайн-транзакции в рамках аутентифицированного сеанса с проверяющей стороной, где они должны предоставить доказательства того, что он или она обладает одним или несколькими аутентификаторами.
3. Обслуживание жизненного цикла — на CSP возлагается задача по поддержанию учетных данных пользователя в течение всего срока их службы, в то время как подписчик несет ответственность за поддержание своего аутентификатора(ов).

Аутентификация информации может создавать особые проблемы при электронной коммуникации, такие как уязвимость к атакам «человек посередине» , когда третья сторона подключается к потоку связи и выдает себя за каждую из двух других взаимодействующих сторон, чтобы перехватить информация от каждого. Для аутентификации личности каждой стороны могут потребоваться дополнительные факторы идентификации.

Аутентификация продукта

на Защитная голограмма коробке с электроникой для аутентификации.

Контрафактная продукция часто предлагается потребителям как подлинная. Контрафактные потребительские товары , такие как электроника, музыка, одежда и поддельные лекарства , продаются как законные. Усилия по контролю над цепочкой поставок и просвещению потребителей помогают гарантировать, что подлинные продукты продаются и используются. Однако даже защищенная печать на упаковках, этикетках и заводских табличках может быть подделана.

В своем руководстве по технологиям борьбы с подделками Обсерватория EUIPO по нарушениям прав интеллектуальной собственности классифицирует основные технологии борьбы с контрафактной продукцией, имеющиеся в настоящее время на рынке, на пять основных категорий: электронные, маркирующие, химико-физические, механические и технологии для цифровых носителей.

Продукты или их упаковка могут содержать переменный QR-код . Сам по себе QR-код легко проверить, но он обеспечивает слабый уровень аутентификации, поскольку он не обеспечивает защиты от подделок, если данные сканирования не анализируются на системном уровне для обнаружения аномалий. Для повышения уровня безопасности QR-код можно комбинировать с цифровым водяным знаком или шаблоном обнаружения копирования , который устойчив к попыткам копирования и может быть аутентифицирован с помощью смартфона.

Защищенное устройство хранения ключей можно использовать для аутентификации в бытовой электронике, сетевой аутентификации, управления лицензиями, управления цепочками поставок и т. д. Как правило, аутентифицируемому устройству требуется какое-то беспроводное или проводное цифровое соединение либо с хост-системой, либо с сетью. . Тем не менее, аутентифицируемый компонент не обязательно должен быть электронным по своей природе, поскольку чип аутентификации может быть механически прикреплен и считываться через разъем с главным устройством, например, с аутентифицированным чернильным резервуаром для использования с принтером. Для продуктов и услуг, к которым могут применяться эти безопасные сопроцессоры, они могут предложить решение, которое гораздо сложнее подделать, чем большинство других вариантов, и в то же время его легче проверить.

Упаковка

Упаковка и маркировка могут быть разработаны таким образом, чтобы помочь снизить риски подделки потребительских товаров или кражи и перепродажи продукции. Некоторые конструкции упаковок труднее скопировать, а на некоторых имеются пломбы, указывающие на кражу. С помощью этих технологий борьбы с контрафакцией можно сократить количество контрафактной продукции, несанкционированной продажи (перенаправления), замены материалов и фальсификации. На упаковках могут присутствовать аутентификационные печати и защитная печать, чтобы указать, что упаковка и ее содержимое не являются поддельными; они также могут быть подделаны. Посылки также могут включать в себя противокражные устройства, такие как упаковки с красителями, RFID- метки или электронные средства наблюдения за товарами. теги, которые могут быть активированы или обнаружены устройствами в точках выхода и для деактивации которых требуются специальные инструменты. К технологиям защиты от подделок, которые можно использовать при работе с упаковкой, относятся:

• Снятие отпечатков пальцев с помощью меток - микроскопические материалы с уникальным кодом, проверенные на основе базы данных.
• Зашифрованные микрочастицы – непредсказуемо расположенные метки (числа, слои и цвета), невидимые человеческому глазу.
• Голограммы – графика, напечатанная на печатях, нашивках, фольге или этикетках и используемая в точках продаж для визуальной проверки.
• Микропечать – аутентификация второй линии, часто используемая для валют.
• Сериализованные штрих-коды
• УФ-печать – маркировка видна только в УФ-свете
• Системы отслеживания и отслеживания — используйте коды для связи продуктов с системой отслеживания базы данных.
• Индикаторы воды – становятся видимыми при контакте с водой.
• Отслеживание ДНК – гены, встроенные в метки, которые можно отследить
• Чернила или пленка, меняющие цвет: видимые следы, которые меняют цвет или текстуру при наклоне.
• Пломбы и ленты для защиты от несанкционированного вскрытия – разрушаемые или поддающиеся графической проверке в точке продажи
• 2D штрих-коды – коды данных, которые можно отслеживать
• RFID-чипы
• NFC- чипы

Информационный контент

Литературная подделка может заключаться в подражании стилю известного автора. Если имеется оригинал рукописи , машинописный текст или запись, то сам носитель (или его упаковка — от коробки до заголовков электронных писем ) может помочь доказать или опровергнуть подлинность документа. Однако текст, аудио и видео можно скопировать на новый носитель, оставив, возможно, только сам информационный контент для использования при аутентификации. Были изобретены различные системы, позволяющие авторам предоставить читателям средства для надежной аутентификации того, что данное сообщение исходило от них или было передано ими. Сюда входят такие факторы аутентификации, как:

• Трудновоспроизводимый физический артефакт, такой как печать , подпись , водяной знак , специальные канцелярские принадлежности или отпечаток пальца.
• Общий секрет , например парольная фраза, в содержимом сообщения.
• Электронная подпись ; Инфраструктура открытых ключей часто используется для криптографической гарантии того, что сообщение было подписано владельцем определенного закрытого ключа.

Противоположной проблемой является выявление плагиата , когда информация другого автора выдается за собственную работу человека. Распространенным методом доказательства плагиата является обнаружение другой копии того же или очень похожего текста, имеющей другую атрибуцию. В некоторых случаях чрезмерно высокое качество или несоответствие стиля могут вызвать подозрение в плагиате.

Грамотность и проверка подлинности литературы

В сфере грамотности аутентификация — это процесс, когда читатели ставят под сомнение правдивость того или иного аспекта литературы, а затем проверяют эти вопросы посредством исследования. Фундаментальный вопрос аутентификации литературы: верят ли в нее? В связи с этим проект аутентификации представляет собой деятельность по чтению и письму, в ходе которой учащиеся документируют соответствующий исследовательский процесс ( ). Это развивает критическую грамотность учащихся. Документационные материалы по литературе выходят за рамки повествовательных текстов и, вероятно, включают информационные тексты, первоисточники и мультимедиа. Этот процесс обычно включает в себя как Интернет, так и практические библиотечные исследования. В частности, при проверке подлинности исторического художественного произведения читатели учитывают, насколько правдоподобны для данного периода основные исторические события, а также изображаемая культура (например, язык, одежда, еда, гендерные роли).

История и современное состояние

Тактическая система аутентификации АНБ KAL-55B, использовавшаяся военными США во время войны во Вьетнаме - Национальный криптологический музей

Исторически отпечатки пальцев использовались как наиболее авторитетный метод аутентификации, но судебные дела в США и других странах вызвали фундаментальные сомнения в надежности отпечатков пальцев. За пределами правовой системы отпечатки пальцев легко подделать , причем высокопоставленный чиновник по компьютерной безопасности British Telecom отмечает, что «немногим» устройствам считывания отпечатков пальцев еще не удалось обмануть ту или иную подделку. Гибридные или двухуровневые методы аутентификации предлагают убедительные решение, такое как закрытые ключи, зашифрованные с помощью отпечатка пальца внутри USB-устройства.

В контексте компьютерных данных были разработаны криптографические методы, которые невозможно подделать, если ключ отправителя не был скомпрометирован. То, что создатель (или кто-либо другой, кроме злоумышленника ) знает (или не знает) о компрометации, не имеет значения. Однако неизвестно, являются ли эти криптографические методы аутентификации доказуемо безопасными, поскольку непредвиденные математические разработки могут сделать их уязвимыми для атак в будущем. Если это произойдет, это может поставить под сомнение большую часть аутентификации в прошлом. В частности, с цифровой подписью контракт может быть поставлен под сомнение, когда будет обнаружена новая атака на криптографию, лежащую в основе подписи.

Авторизация

Офицер военной полиции проверяет удостоверение личности водителя, прежде чем позволить ему войти на военную базу.

Процесс авторизации отличается от процесса аутентификации. В то время как аутентификация — это процесс проверки того, что «вы являетесь тем, кем вы себя называете», авторизация — это процесс проверки того, что «вам разрешено делать то, что вы пытаетесь сделать». Хотя авторизация часто происходит сразу после аутентификации (например, при входе в компьютерную систему), это не означает, что авторизация предполагает аутентификацию: анонимный агент может быть авторизован для выполнения ограниченного набора действий.

Контроль доступа

Одним из известных способов использования аутентификации и авторизации является контроль доступа . Компьютерная система, которая должна использоваться только авторизованными лицами, должна пытаться обнаружить и исключить несанкционированных пользователей. Поэтому доступ к нему обычно контролируется путем настаивания на процедуре аутентификации для установления с некоторой степенью уверенности личности пользователя и предоставления привилегий, установленных для этой личности.

См. также

• Протокол аутентификации
• Электронная подпись

Внешние ссылки

• Национальный институт стандартов и технологий Министерства торговли США (август 2013 г.). «Руководство по электронной аутентификации – специальная публикация NIST 800-63-2» (PDF) . Архивировано (PDF) из оригинала 3 октября 2013 г.
• «Новые публикации NIST описывают стандарты учетных данных и систем аутентификации»