Аутентификация (от греч . αὐθεντικός authentikos , «настоящий, подлинный», от αὐθέντης authentes , «автор») — это акт доказательства утверждения , например, личности пользователя компьютерной системы. В отличие от идентификации , акта установления личности человека или вещи, аутентификация — это процесс проверки этой личности. [1] Это может включать проверку документов , удостоверяющих личность , проверку подлинности веб-сайта с помощью цифрового сертификата , [2] определение возраста артефакта путем радиоуглеродного датирования или обеспечение того, чтобы продукт или документ не были поддельными .
Аутентификация актуальна для нескольких полей. В искусстве , антиквариате и антропологии распространенной проблемой является проверка того, что данный артефакт был создан определенным человеком или в определенном месте или периоде истории. В информатике проверка личности пользователя часто требуется для разрешения доступа к конфиденциальным данным или системам. [3]
Аутентификацию можно разделить на три типа:
Первый тип аутентификации — это принятие подтверждения личности, предоставленного заслуживающим доверия человеком, у которого есть непосредственные доказательства того, что личность является подлинной. Когда требуется аутентификация произведений искусства или физических объектов, таким доказательством может быть друг, член семьи или коллега, подтверждающий происхождение предмета, возможно, будучи свидетелем того, как предмет находился во владении его создателя. В случае спортивных памятных вещей с автографами это может потребовать от кого-то подтверждения того, что он был свидетелем подписания объекта. Продавец, продающий фирменные товары, подразумевает подлинность, хотя у него может не быть доказательств того, что каждый этап цепочки поставок был аутентифицирован. Централизованные доверительные отношения на основе полномочий обеспечивают наиболее безопасную интернет-связь через известные общедоступные центры сертификации; децентрализованное одноранговое доверие, также известное как сеть доверия , используется для личных услуг, таких как электронная почта или файлы, и доверие устанавливается, например , известными людьми, подписывающими друг друга криптографическими ключами .
Второй тип аутентификации — это сравнение атрибутов самого объекта с тем, что известно об объектах этого происхождения. Например, искусствовед может поискать сходство в стиле живописи, проверить расположение и форму подписи или сравнить объект со старой фотографией. С другой стороны, археолог может использовать радиоуглеродное датирование, чтобы проверить возраст артефакта, провести химический и спектроскопический анализ использованных материалов или сравнить стиль конструкции или украшения с другими артефактами аналогичного происхождения. Физика звука и света, а также сравнение с известной физической средой могут использоваться для проверки подлинности аудиозаписей, фотографий или видео. Документы могут быть проверены как созданные на чернилах или бумаге, легко доступных на момент предполагаемого создания элемента.
Сравнение атрибутов может быть уязвимо для подделки. В целом он опирается на тот факт, что создание подделки, неотличимой от подлинного артефакта, требует экспертных знаний, что легко допустить ошибки и что количество необходимых для этого усилий значительно превышает сумму прибыли, которую можно получить от подделка.
В сфере искусства и антиквариата сертификаты имеют большое значение для подтверждения подлинности объекта, представляющего интерес и ценность. Однако сертификаты также могут быть подделаны, и их аутентификация представляет собой проблему. Например, сын Хана ван Меегерена , известного кузнеца, подделал работу своего отца и также предоставил сертификат ее происхождения.
Уголовные и гражданские наказания за мошенничество , подделку и подделку могут снизить стимулы к фальсификации, в зависимости от риска быть пойманными.
Валюта и другие финансовые инструменты обычно используют второй тип аутентификации. Купюры, монеты и чеки имеют физические особенности, которые трудно скопировать, такие как мелкая печать или гравировка, отличительный вид, водяные знаки и голографические изображения, которые обученным получателям легко проверить.
Третий тип аутентификации основан на документации или других внешних подтверждениях. В уголовных судах правила доказывания часто требуют установления цепочки сохранности представленных доказательств. Это можно сделать с помощью письменного журнала доказательств или показаний полицейских детективов и сотрудников судебно-медицинской экспертизы, которые занимались этим. Некоторые предметы антиквариата сопровождаются сертификатами, подтверждающими их подлинность. Подписанные спортивные памятные вещи обычно сопровождаются сертификатом подлинности. Эти внешние записи имеют свои собственные проблемы, связанные с подделкой и лжесвидетельством , а также уязвимы в случае отделения от артефакта и потери.
В информатике пользователю может быть предоставлен доступ к защищенным системам на основе учетных данных пользователя, предполагающих подлинность. [4] Сетевой администратор может дать пользователю пароль или предоставить ему ключ-карту или другие устройства доступа для обеспечения доступа к системе. В этом случае подлинность подразумевается, но не гарантируется.
Потребительские товары, такие как фармацевтические препараты, парфюмерия и одежда, могут использовать все формы аутентификации, чтобы не дать контрафактным товарам воспользоваться репутацией популярного бренда. Как упоминалось выше, продажа товара в магазине с хорошей репутацией неявно подтверждает его подлинность — первый тип аутентификации. Второй тип аутентификации может включать сравнение качества и мастерства изготовления предмета, например дорогой сумки, с подлинными предметами. Третьим типом аутентификации может быть наличие на товаре товарного знака , который представляет собой охраняемую законом маркировку, или любого другого идентифицирующего признака, который помогает потребителям идентифицировать подлинные товары торговой марки. С помощью программного обеспечения компании предприняли значительные шаги для защиты от подделок, включая добавление голограмм, защитных колец, защитных нитей и чернил, меняющих цвет. [5]
Способы аутентификации человека делятся на три категории, основанные на так называемых факторах аутентификации: что-то, что знает пользователь, что-то, что он имеет, и то, чем является пользователь. Каждый фактор аутентификации охватывает ряд элементов, используемых для аутентификации или проверки личности человека перед предоставлением доступа, одобрения запроса транзакции, подписания документа или другого рабочего продукта, предоставления полномочий другим лицам и установления цепочки полномочий.
Исследования безопасности показали, что для положительной аутентификации необходимо проверить элементы как минимум двух, а лучше всех трех факторов. [6] Три фактора (класса) и некоторые элементы каждого фактора:
В качестве самого слабого уровня аутентификации для аутентификации личности используется только один компонент из одной из трех категорий факторов. Использование только одного фактора не обеспечивает достаточной защиты от неправильного использования или злонамеренного вторжения. Этот тип аутентификации не рекомендуется для финансовых или личных транзакций, требующих более высокого уровня безопасности. [2]
Многофакторная аутентификация включает два или более факторов аутентификации (что-то, что вы знаете, что-то, что у вас есть, или то, чем вы являетесь). Двухфакторная аутентификация — это особый случай многофакторной аутентификации, включающий ровно два фактора. [2]
Например, использование банковской карты (которая есть у пользователя) вместе с PIN-кодом (то, что пользователь знает) обеспечивает двухфакторную аутентификацию. Бизнес-сети могут требовать от пользователей предоставления пароля (фактор знания) и псевдослучайного числа из токена безопасности (фактор владения). Доступ к системе с очень высоким уровнем безопасности может потребовать проверки роста, веса, лица и отпечатков пальцев (несколько элементов фактора неотъемлемости), а также PIN-кода и кода дня (элементы фактора знания), но это все еще двухфакторная проверка . факторная аутентификация.
В Национальном глоссарии по обеспечению информации правительства США надежная аутентификация определяется как многоуровневый подход к аутентификации, основанный на использовании двух или более аутентификаторов для установления личности отправителя или получателя информации. [7]
Европейский центральный банк (ЕЦБ) определил надежную аутентификацию как «процедуру, основанную на двух или более из трех факторов аутентификации». Используемые факторы должны быть взаимно независимыми, и по крайней мере один фактор должен быть «неповторно используемым и невоспроизводимым», за исключением случая неотъемлемого фактора, а также не должен быть украден из Интернета. В европейском, а также в американо-американском понимании строгая аутентификация очень похожа на многофакторную аутентификацию или 2FA, но превосходит те, к которым предъявляются более строгие требования. [2] [8]
Альянс FIDO стремится разработать технические спецификации для надежной аутентификации. [9]
Обычные компьютерные системы аутентифицируют пользователей только во время первоначального сеанса входа в систему, что может быть причиной критического недостатка безопасности. Чтобы решить эту проблему, системам необходимы методы непрерывной аутентификации пользователей, которые непрерывно отслеживают и аутентифицируют пользователей на основе некоторых биометрических признаков. В исследовании использовалась поведенческая биометрия, основанная на стилях письма, в качестве метода непрерывной аутентификации. [10] [11]
Недавние исследования показали возможность использования датчиков и аксессуаров смартфонов для извлечения некоторых поведенческих атрибутов, таких как динамика прикосновения, динамика нажатия клавиш и распознавание походки . [12] Эти атрибуты известны как поведенческая биометрия и могут использоваться для неявной и непрерывной проверки или идентификации пользователей на смартфонах. Системы аутентификации, построенные на основе этих поведенческих биометрических характеристик, известны как системы активной или непрерывной аутентификации. [13] [11]
Термин цифровая аутентификация, также известный как электронная аутентификация или электронная аутентификация, относится к группе процессов, в которых устанавливается достоверность личности пользователя и представляется с помощью электронных методов в информационную систему. Процесс цифровой аутентификации создает технические проблемы из-за необходимости аутентификации отдельных лиц или организаций удаленно по сети. Американский национальный институт стандартов и технологий (NIST) создал общую модель цифровой аутентификации, которая описывает процессы, используемые для безопасной аутентификации:
Аутентификация информации может создавать особые проблемы при электронной коммуникации, такие как уязвимость к атакам «человек посередине» , когда третья сторона подключается к потоку связи и выдает себя за каждую из двух других взаимодействующих сторон, чтобы перехватить информация от каждого. Для аутентификации личности каждой стороны могут потребоваться дополнительные факторы идентификации.
Контрафактная продукция часто предлагается потребителям как подлинная. Контрафактные потребительские товары , такие как электроника, музыка, одежда и поддельные лекарства , продаются как законные. Усилия по контролю над цепочкой поставок и просвещению потребителей помогают гарантировать, что подлинные продукты продаются и используются. Однако даже защищенная печать на упаковках, этикетках и заводских табличках может быть подделана. [15]
В своем руководстве по технологиям борьбы с контрафактной продукцией [16] Обсерватория EUIPO по нарушениям прав интеллектуальной собственности классифицирует основные технологии борьбы с контрафактной продукцией, имеющиеся в настоящее время на рынке, на пять основных категорий: электронные, маркирующие, химические и физические, механические и технологии для цифровых технологий. СМИ. [17]
Продукты или их упаковка могут содержать переменный QR-код . Сам по себе QR-код легко проверить, но он обеспечивает слабый уровень аутентификации, поскольку не обеспечивает защиты от подделок, если данные сканирования не анализируются на системном уровне для обнаружения аномалий. [18] Для повышения уровня безопасности QR-код можно комбинировать с цифровым водяным знаком или шаблоном обнаружения копирования , который устойчив к попыткам копирования и может быть аутентифицирован с помощью смартфона.
Защищенное устройство хранения ключей можно использовать для аутентификации в бытовой электронике, сетевой аутентификации, управления лицензиями, управления цепочками поставок и т. д. Как правило, аутентифицируемое устройство нуждается в каком-то беспроводном или проводном цифровом соединении либо с хост-системой, либо с сетью. . Тем не менее, аутентифицируемый компонент не обязательно должен быть электронным по своей природе, поскольку чип аутентификации может быть механически прикреплен и считываться через разъем с хостом, например, с аутентифицированным чернильным резервуаром для использования с принтером. Для продуктов и услуг, к которым могут применяться эти безопасные сопроцессоры, они могут предложить решение, которое гораздо сложнее подделать, чем большинство других вариантов, и в то же время его легче проверить. [ нужна цитата ]
Упаковка и маркировка могут быть разработаны таким образом, чтобы помочь снизить риски подделки потребительских товаров или кражи и перепродажи продукции. [19] [20] Некоторые конструкции упаковок труднее скопировать, а на некоторых имеются пломбы, указывающие на воровство. С помощью этих технологий борьбы с контрафакцией можно сократить количество контрафактной продукции, несанкционированной продажи (перенаправления), замены материалов и фальсификации. На упаковках могут присутствовать аутентификационные печати и защитная печать , чтобы указать, что упаковка и ее содержимое не являются поддельными; они также могут быть подделаны. Пакеты также могут включать в себя противокражные устройства, такие как красители, RFID- метки или метки электронного наблюдения за товарами [21] , которые могут активироваться или обнаруживаться устройствами в точках выхода и для деактивации которых требуются специальные инструменты. К технологиям защиты от подделок, которые можно использовать при работе с упаковкой, относятся:
Литературная подделка может заключаться в подражании стилю известного автора. Если имеется оригинальная рукопись , машинописный текст или запись, то сам носитель (или его упаковка — от коробки до заголовков электронных писем ) может помочь доказать или опровергнуть подлинность документа. Однако текст, аудио и видео можно скопировать на новый носитель, оставив, возможно, только сам информационный контент для использования при аутентификации. Были изобретены различные системы, позволяющие авторам предоставить читателям средства для надежной аутентификации того, что данное сообщение исходило от них или было передано ими. Сюда входят такие факторы аутентификации, как:
Противоположной проблемой является выявление плагиата , когда информация другого автора выдается за собственную работу человека. Распространенным методом доказательства плагиата является обнаружение другой копии того же или очень похожего текста, имеющей другую атрибуцию. В некоторых случаях чрезмерно высокое качество или несоответствие стиля могут вызвать подозрение в плагиате.
В сфере грамотности аутентификация — это процесс, когда читатели ставят под сомнение правдивость того или иного аспекта литературы, а затем проверяют эти вопросы посредством исследования. Фундаментальный вопрос аутентификации литературы: верят ли в нее? В связи с этим проект аутентификации представляет собой деятельность по чтению и письму, в ходе которой студенты документируют соответствующий исследовательский процесс ( [22] ). Это развивает критическую грамотность учащихся. Документационные материалы по литературе выходят за рамки повествовательных текстов и, вероятно, включают информационные тексты, первоисточники и мультимедиа. Этот процесс обычно включает в себя как Интернет, так и практические библиотечные исследования. В частности, при проверке подлинности исторических художественных произведений читатели учитывают степень правдоподобности основных исторических событий, а также изображаемой культуры (например, языка, одежды, еды, гендерных ролей) для данного периода. [3]
Исторически отпечатки пальцев использовались как наиболее авторитетный метод аутентификации, но судебные дела в США и других странах вызвали фундаментальные сомнения в надежности отпечатков пальцев. [23] За пределами правовой системы отпечатки пальцев также легко подделать , причем высокопоставленный чиновник по компьютерной безопасности British Telecom отмечает, что «немногим» устройствам считывания отпечатков пальцев еще не удалось обмануть ту или иную подделку. [24] Гибридные или двухуровневые методы аутентификации предлагают убедительную [ по мнению кого? ] решение, например секретные ключи, зашифрованные с помощью отпечатка пальца внутри USB-устройства.
В контексте компьютерных данных были разработаны криптографические методы, которые невозможно подделать, если ключ отправителя не был скомпрометирован. То, что создатель (или кто-либо другой, кроме злоумышленника ) знает (или не знает) о компрометации, не имеет значения. Однако неизвестно, являются ли эти криптографические методы аутентификации доказуемо безопасными, поскольку непредвиденные математические разработки могут сделать их уязвимыми для атак в будущем. Если это произойдет, это может поставить под сомнение большую часть аутентификации в прошлом. В частности, контракт с цифровой подписью может быть поставлен под сомнение, когда будет обнаружена новая атака на криптографию, лежащую в основе подписи. [ нужна цитата ]
Процесс авторизации отличается от процесса аутентификации. В то время как аутентификация — это процесс проверки того, что «вы являетесь тем, кем вы себя называете», авторизация — это процесс проверки того, что «вам разрешено делать то, что вы пытаетесь сделать». Хотя авторизация часто происходит сразу после аутентификации (например, при входе в компьютерную систему), это не означает, что авторизация предполагает аутентификацию: анонимный агент может быть авторизован для ограниченного набора действий. [25]
Одним из известных способов использования аутентификации и авторизации является контроль доступа . Компьютерная система, которая должна использоваться только авторизованными лицами, должна пытаться обнаружить и исключить несанкционированных пользователей. Поэтому доступ к нему обычно контролируется путем настаивания на процедуре аутентификации для установления с некоторой степенью уверенности личности пользователя и предоставления привилегий, установленных для этой личности.
{{cite book}}
: CS1 maint: другие ( ссылка )