Аутентификация (от греч . αὐθεντικός authentikos , «реальный, подлинный», от αὐθέντης authentes , «автор») — это акт доказательства утверждения , например, личности пользователя компьютерной системы. В отличие от идентификации , акта указания личности человека или вещи, аутентификация — это процесс проверки этой личности. [1] [2] Она может включать проверку документов, удостоверяющих личность , проверку подлинности веб-сайта с помощью цифрового сертификата , [3] определение возраста артефакта методом радиоуглеродного датирования или обеспечение того, что продукт или документ не являются поддельными .
Аутентификация актуальна для многих областей. В искусстве , антиквариате и антропологии распространенной проблемой является проверка того, что данный артефакт был произведен определенным человеком или в определенном месте или в определенный период истории. В компьютерных науках проверка личности пользователя часто требуется для предоставления доступа к конфиденциальным данным или системам. [4]
Аутентификацию можно разделить на три типа:
Первый тип аутентификации — это принятие доказательства личности, предоставленного заслуживающим доверия лицом, у которого есть непосредственные доказательства того, что личность является подлинной. Когда требуется аутентификация произведений искусства или физических объектов, этим доказательством может быть друг, член семьи или коллега, подтверждающий происхождение предмета, возможно, путем наблюдения за предметом во владении его создателя. В случае с автографированными спортивными памятными вещами это может включать в себя подтверждение того, что кто-то был свидетелем подписания предмета. Поставщик, продающий фирменные товары, подразумевает подлинность, в то время как у него может не быть доказательств того, что каждый шаг в цепочке поставок был аутентифицирован. Централизованные доверительные отношения, основанные на органах власти, поддерживают наиболее безопасную интернет-коммуникацию через известные публичные центры сертификации; децентрализованное доверие на основе одноранговых отношений, также известное как сеть доверия , [5] используется для личных услуг, таких как электронная почта или файлы, и доверие устанавливается, например, путем подписания криптографических ключей друг друга известными лицами .
Второй тип аутентификации — сравнение атрибутов самого объекта с тем, что известно об объектах этого происхождения. Например, эксперт по искусству может искать сходства в стиле живописи, проверять местоположение и форму подписи или сравнивать объект со старой фотографией. Археолог , с другой стороны, может использовать радиоуглеродное датирование для проверки возраста артефакта, проводить химический и спектроскопический анализ использованных материалов или сравнивать стиль конструкции или декора с другими артефактами аналогичного происхождения. Физика звука и света, а также сравнение с известной физической средой могут использоваться для проверки подлинности аудиозаписей, фотографий или видео. Документы могут быть проверены как созданные чернилами или бумагой, которые были легко доступны во время подразумеваемого создания предмета.
Сравнение атрибутов может быть уязвимо для подделки. В целом, оно опирается на тот факт, что создание подделки, неотличимой от подлинного артефакта, требует экспертных знаний, что ошибки легко допускаются, и что объем усилий, необходимых для этого, значительно превышает объем прибыли, которую можно получить от подделки.
В искусстве и антиквариате сертификаты имеют большое значение для подтверждения подлинности интересующего и ценного объекта. Однако сертификаты также могут быть подделаны, и их подтверждение подлинности представляет собой проблему. Например, сын Хана ван Меегерена , известного фальсификатора произведений искусства, подделал работу своего отца и также предоставил сертификат о ее происхождении.
Уголовные и гражданские санкции за мошенничество , подделку и контрафакцию могут снизить стимул к фальсификации в зависимости от риска быть пойманным.
Валюта и другие финансовые инструменты обычно используют этот второй тип метода аутентификации. Купюры, монеты и чеки включают в себя трудно поддающиеся копированию физические характеристики, такие как мелкая печать или гравировка, отличительные ощущения, водяные знаки и голографические изображения, которые легко проверяются обученными приемниками.
Третий тип аутентификации опирается на документацию или другие внешние подтверждения. В уголовных судах правила доказывания часто требуют установления цепочки хранения представленных доказательств. Это может быть достигнуто с помощью письменного журнала доказательств или показаний полицейских детективов и сотрудников судебной экспертизы, которые имели дело с ними. Некоторые антикварные вещи сопровождаются сертификатами, подтверждающими их подлинность. Подписанные спортивные памятные вещи обычно сопровождаются сертификатом подлинности. Эти внешние записи имеют свои собственные проблемы подделки и лжесвидетельства , а также уязвимы для отделения от артефакта и потери.
В информатике пользователю может быть предоставлен доступ к защищенным системам на основе учетных данных пользователя, которые подразумевают подлинность. [6] Администратор сети может дать пользователю пароль или предоставить ему ключ-карту или другие устройства доступа, чтобы разрешить доступ к системе. В этом случае подлинность подразумевается, но не гарантируется.
Потребительские товары , такие как фармацевтические препараты, [7] духи и одежда, могут использовать все формы аутентификации, чтобы не допустить, чтобы поддельные товары использовали репутацию популярного бренда. Как упоминалось выше, наличие товара для продажи в надежном магазине неявно подтверждает его подлинность, первый тип аутентификации. Второй тип аутентификации может включать сравнение качества и мастерства товара, например, дорогой сумочки, с подлинными изделиями. Третий тип аутентификации может заключаться в наличии товарного знака на товаре, который является юридически защищенной маркировкой, или любой другой идентификационной чертой, которая помогает потребителям идентифицировать подлинные товары известных марок. С помощью программного обеспечения компании предприняли большие шаги для защиты от подделок, включая добавление голограмм, защитных колец, защитных нитей и цветных чернил. [8]
Способы, которыми кто-то может быть аутентифицирован, делятся на три категории, основанные на том, что известно как факторы аутентификации: что-то, что пользователь знает, что-то, что пользователь имеет, и что-то, чем пользователь является. Каждый фактор аутентификации охватывает ряд элементов, используемых для аутентификации или проверки личности человека перед предоставлением доступа, одобрением запроса на транзакцию, подписанием документа или другого рабочего продукта, предоставлением полномочий другим лицам и установлением цепочки полномочий.
Исследования безопасности определили, что для положительной аутентификации должны быть проверены элементы как минимум из двух, а лучше из всех трех факторов. [9] [10] Три фактора (класса) и некоторые элементы каждого фактора:
Как самый слабый уровень аутентификации, для аутентификации личности человека используется только один компонент из одной из трех категорий факторов. Использование только одного фактора не обеспечивает большой защиты от неправильного использования или вредоносного вторжения. Этот тип аутентификации не рекомендуется для финансовых или лично значимых транзакций, которые требуют более высокого уровня безопасности. [3]
Многофакторная аутентификация включает два или более факторов аутентификации (что-то, что вы знаете, что-то, что у вас есть, или что-то, чем вы являетесь). Двухфакторная аутентификация является особым случаем многофакторной аутентификации, включающим ровно два фактора. [3]
Например, использование банковской карты (то, что есть у пользователя) вместе с PIN-кодом (то, что знает пользователь) обеспечивает двухфакторную аутентификацию. Бизнес-сети могут требовать от пользователей предоставления пароля (фактор знания) и псевдослучайного числа из токена безопасности (фактор владения). Доступ к системе с очень высоким уровнем безопасности может потребовать проверки роста, веса, лица и отпечатков пальцев (несколько элементов фактора неотъемлемости), а также PIN-кода и кода дня (элементы фактора знания), [12] , но это все еще двухфакторная аутентификация.
В Национальном словаре терминов по обеспечению безопасности информации правительства США строгая аутентификация определяется как многоуровневый подход к аутентификации, основанный на двух или более аутентификаторах для установления личности отправителя или получателя информации. [13]
Европейский центральный банк (ЕЦБ) определил сильную аутентификацию как «процедуру, основанную на двух или более из трех факторов аутентификации». Факторы, которые используются, должны быть взаимно независимыми, и по крайней мере один фактор должен быть «непригодным для повторного использования и невоспроизводимым», за исключением случая фактора неотъемлемости, а также не должен быть украден из Интернета. В европейском, а также в американо-американском понимании сильная аутентификация очень похожа на многофакторную аутентификацию или 2FA, но превосходит те, которые имеют более строгие требования. [3] [14]
Альянс FIDO стремится установить технические спецификации для надежной аутентификации. [15]
Обычные компьютерные системы аутентифицируют пользователей только при первом входе в систему, что может быть причиной критической уязвимости безопасности. Чтобы решить эту проблему, системам нужны методы непрерывной аутентификации пользователей, которые непрерывно отслеживают и аутентифицируют пользователей на основе некоторых биометрических признаков. Исследование использовало поведенческую биометрию на основе стилей письма в качестве метода непрерывной аутентификации. [16] [17]
Недавние исследования показали возможность использования датчиков и аксессуаров смартфонов для извлечения некоторых поведенческих атрибутов, таких как динамика касания, динамика нажатия клавиш и распознавание походки . [18] Эти атрибуты известны как поведенческая биометрия и могут использоваться для неявной и непрерывной проверки или идентификации пользователей на смартфонах. Системы аутентификации, которые были построены на основе этих поведенческих биометрических признаков, известны как активные или непрерывные системы аутентификации. [19] [17]
Термин цифровая аутентификация, также известная как электронная аутентификация или электронная аутентификация, относится к группе процессов, в которых устанавливается доверие к идентификационным данным пользователя и предоставляется с помощью электронных методов информационной системе. Процесс цифровой аутентификации создает технические проблемы из-за необходимости аутентифицировать отдельных лиц или организации удаленно по сети. Американский национальный институт стандартов и технологий (NIST) создал общую модель цифровой аутентификации, которая описывает процессы, используемые для выполнения безопасной аутентификации:
Аутентификация информации может создавать особые проблемы с электронными коммуникациями, такие как уязвимость к атакам типа «человек посередине» , когда третья сторона подключается к потоку коммуникации и выдает себя за каждую из двух других общающихся сторон, чтобы перехватить информацию от каждой из них. Для аутентификации личности каждой стороны могут потребоваться дополнительные факторы идентификации.
Контрафактные продукты часто предлагаются потребителям как подлинные. Контрафактные потребительские товары , такие как электроника, музыка, одежда и поддельные лекарства , продаются как законные. Усилия по контролю за цепочкой поставок и просвещению потребителей помогают гарантировать, что подлинные продукты продаются и используются. Однако даже защитная печать на упаковках, этикетках и табличках может быть подделана. [21]
В своем руководстве по технологиям борьбы с подделками [22] Обсерватория EUIPO по нарушениям прав интеллектуальной собственности классифицирует основные технологии борьбы с подделками, представленные на рынке в настоящее время, на пять основных категорий: электронные, маркировочные, химико-физические, механические и технологии для цифровых носителей. [23]
Продукты или их упаковка могут включать в себя переменный QR-код . QR-код сам по себе легко проверить, но он обеспечивает слабый уровень аутентификации, поскольку не обеспечивает защиты от подделок, если данные сканирования не анализируются на системном уровне для обнаружения аномалий. [24] Для повышения уровня безопасности QR-код можно объединить с цифровым водяным знаком или шаблоном обнаружения копирования , которые устойчивы к попыткам копирования и могут быть аутентифицированы с помощью смартфона.
Защищенное устройство хранения ключей может использоваться для аутентификации в потребительской электронике, сетевой аутентификации, управления лицензиями, управления цепочками поставок и т. д. Как правило, для аутентифицируемого устройства требуется некое беспроводное или проводное цифровое соединение либо с хост-системой, либо с сетью. Тем не менее, аутентифицируемый компонент не обязательно должен быть электронным по своей природе, поскольку чип аутентификации может быть механически прикреплен и считан через разъем к хосту, например, аутентифицированный чернильница для использования с принтером. Для продуктов и услуг, к которым могут применяться эти защищенные сопроцессоры, они могут предложить решение, которое может быть гораздо сложнее подделать, чем большинство других вариантов, и в то же время его легче проверить. [2]
Упаковка и маркировка могут быть спроектированы так, чтобы помочь снизить риски поддельных потребительских товаров или кражи и перепродажи продуктов. [25] [26] Некоторые конструкции упаковки сложнее копировать, а некоторые имеют пломбы, указывающие на кражу. Поддельные товары, несанкционированные продажи (диверсия), замена материалов и фальсификация могут быть сокращены с помощью этих технологий защиты от подделки. Упаковки могут включать пломбы аутентификации и использовать защитную печать, чтобы помочь указать, что упаковка и содержимое не являются поддельными; они также подвержены подделке. Упаковки также могут включать противокражные устройства, такие как красящие пакеты, метки RFID или метки электронного наблюдения за товарами [27] , которые могут быть активированы или обнаружены устройствами в точках выхода и требуют специальных инструментов для деактивации. Технологии защиты от подделки, которые могут использоваться с упаковкой, включают:
Литературная подделка может включать имитацию стиля известного автора. Если доступна оригинальная рукопись , машинописный текст или запись, то сам носитель (или его упаковка — что угодно, от коробки до заголовков электронных писем ) может помочь доказать или опровергнуть подлинность документа. Однако текст, аудио и видео можно скопировать на новые носители, возможно, оставив только само информационное содержание для использования при аутентификации. Были изобретены различные системы, позволяющие авторам предоставлять читателям средства для надежной аутентификации того, что данное сообщение исходит от них или было передано ими. Они включают такие факторы аутентификации, как:
Противоположная проблема — обнаружение плагиата , когда информация от другого автора выдается за собственную работу человека. Распространенным методом доказательства плагиата является обнаружение другой копии того же или очень похожего текста, которая имеет другую атрибуцию. В некоторых случаях чрезмерно высокое качество или несоответствие стиля могут вызвать подозрение в плагиате.
В грамотности аутентификация — это процесс, в котором читатели подвергают сомнению правдивость аспекта литературы, а затем проверяют эти вопросы с помощью исследования. Основной вопрос для аутентификации литературы — верит ли кто-то в это? В связи с этим проект аутентификации — это, таким образом, деятельность по чтению и письму, в которой учащиеся документируют соответствующий процесс исследования ( [28] ). Он развивает критическую грамотность учащихся. Материалы документации по литературе выходят за рамки повествовательных текстов и, вероятно, включают в себя информационные тексты, первоисточники и мультимедиа. Процесс обычно включает как интернет, так и практические библиотечные исследования. При аутентификации исторической художественной литературы, в частности, читатели учитывают степень, в которой основные исторические события, а также изображаемая культура (например, язык, одежда, еда, гендерные роли) правдоподобны для данного периода. [4]
Исторически отпечатки пальцев использовались как наиболее авторитетный метод аутентификации, но судебные дела в США и других странах вызвали фундаментальные сомнения относительно надежности отпечатков пальцев. [29] За пределами правовой системы отпечатки пальцев также легко подделываются , и главный чиновник по компьютерной безопасности British Telecom отметил, что «немногие» считыватели отпечатков пальцев еще не были обмануты тем или иным обманом. [30] Гибридные или двухуровневые методы аутентификации предлагают убедительное [ по мнению кого? ] решение, такое как закрытые ключи, зашифрованные отпечатком пальца внутри USB-устройства.
В контексте компьютерных данных были разработаны криптографические методы, которые невозможно подделать, если ключ создателя не был скомпрометирован. То, что создатель (или кто-либо другой, кроме злоумышленника ) знает (или не знает) о компрометации, не имеет значения. Однако неизвестно, являются ли эти криптографические методы аутентификации доказуемо безопасными, поскольку непредвиденные математические разработки могут сделать их уязвимыми для атак в будущем. Если это произойдет, это может поставить под сомнение большую часть аутентификации в прошлом. В частности, контракт с цифровой подписью может быть поставлен под сомнение, когда будет обнаружена новая атака на криптографию, лежащую в основе подписи. [ необходима цитата ]
Процесс авторизации отличается от процесса аутентификации. В то время как аутентификация — это процесс проверки того, что «вы тот, за кого себя выдаете», авторизация — это процесс проверки того, что «вам разрешено делать то, что вы пытаетесь сделать». Хотя авторизация часто происходит сразу после аутентификации (например, при входе в компьютерную систему), это не означает, что авторизация предполагает аутентификацию: анонимный агент может быть авторизован для ограниченного набора действий. [31]
Одним из известных способов использования аутентификации и авторизации является контроль доступа . Компьютерная система, которая должна использоваться только авторизованными лицами, должна пытаться обнаружить и исключить неавторизованных. Поэтому доступ к ней обычно контролируется путем настаивания на процедуре аутентификации для установления с некоторой степенью уверенности личности пользователя, предоставляя привилегии, установленные для этой личности.
{{cite book}}
: CS1 maint: другие ( ссылка )