Identifikace, autentizace a autorizace

Tyto složité pojmy skrývají úkony, které většina uživatelů provádí automaticky každý den. Když se přihlásíte do online bankovnictví nebo e-mailu, bezpečnostní systém webu vás požádá o zadání vašich přihlašovacích údajů: přihlašovacího jména a hesla (nebo otisku prstu). Výměnou za správný pár přihlašovacího jména a hesla získáte přístup ke svým financím nebo e-mailu.

Identifikace, autentizace a autorizace

Ve skutečnosti k žádné výměně nedošlo. Postupně probíhaly tři procesy: identifikace, autentizace a autorizace. Tento článek vám pomůže pochopit, jak tyto procesy probíhají, kdy probíhají, v jakém pořadí a jak je používat k ochraně vašich osobních údajů a finančních prostředků.

Definice

• Identifikace je proces rozpoznání uživatele podle jeho identifikátoru.
• Autentizace je proces ověřování pravosti, dokazování, že uživatel je tím, za koho se vydává.
• Autorizace je udělení určitých práv.

Pro začátek budou tyto teoretické znalosti stačit. Vraťme se k příkladu s přístupem k online bankovnictví. Budeme se podrobně zabývat každou akcí uživatele a systému.

Mechanismy identifikace, autentizace a autorizace

Na webových stránkách banky se uživatel rozhodne přihlásit ke svému osobnímu účtu a provést převod peněz. Na stránce osobního účtu systém nejprve požádá o zadání identifikátoru. Může se jednat o přihlašovací údaje, křestní jméno a příjmení, e-mailovou adresu nebo číslo mobilního telefonu.

Konkrétní typ údajů, které je třeba zadat, závisí na daném zdroji. Pro získání přístupu je nutné zadat údaje, které byly zadány při registraci. Pokud bylo při registraci zadáno více typů údajů – přihlašovací jméno, e-mailová adresa a číslo mobilního telefonu, systém vám sám řekne, co přesně potřebuje.

Zadání těchto údajů je nezbytné k identifikaci osoby za monitorem jako uživatele této konkrétní banky.

Pokud uživatel zadal jako identifikátor „Alexander Petrov“ a systém nalezl ve své databázi záznam o uživateli s tímto jménem, pak identifikace skončilo.

Po identifikaci probíhá proces ověřování, ve kterém musí uživatel prokázat, že je osobou, která se zaregistrovala pod jménem Alexander Petrov.

Abyste to dokázali, musíte mít jeden z následujících typů ověřovacích údajů:

• Něco, co je pro uživatele jedinečné. Biometrické údaje: skenery obličeje, otisků prstů nebo sítnice.
• Něco, co zná pouze uživatel. Patří sem PIN kódy, hesla, grafické klíče a tajná slova.
• Něco, co uživatel má. Token, tj. kompaktní zařízení určené k zajištění bezpečnosti uživatelských informací, může v této funkci sloužit a slouží také k identifikaci majitele. Nejjednodušší tokeny nevyžadují fyzické připojení k počítači – mají displej, který zobrazuje číslo, které uživatel zadá do systému pro přihlášení; složitější se k počítačům připojují přes rozhraní USB a Bluetooth.

Nejběžnějším typem ověřovacích údajů je heslo. Proto je tak důležité správně vytvářet a ukládat hesla. Více se o tom můžete dočíst v článcích „Vytváření silných hesel“ a „Jak správně vybírat a ukládat hesla“.

Poté, co uživatel zadá heslo, systém zkontroluje, zda podmíněné heslo „Q45fp02@13“ odpovídá uživateli se jménem Alexander Petrov. Funguje to takto. autentizace.

Pokud je vše v pořádku a pár přihlašovací jméno-heslo je správný, systém poskytne uživateli přístup k jeho zdrojům a bankovním operacím, tj. oprávnění.

Popsané procesy probíhají vždy v tomto pořadí: identifikace, autentizace, autorizace. Celý řetězec ztratí smysl, pokud například web nejprve poskytne přístup k finančním prostředkům uživatele a poté ověří, zda se skutečně jedná o něj.

Procesy identifikace, autentizace a autorizace jsou typické nejen pro online bankovnictví, ale také pro e-mail, sociální sítě a další zdroje.

V reálném životě se setkáváme také s identifikací, autentizací a autorizací. Příkladem by mohl být policista kontrolující vaše doklady. Představili jste se jako Alexander Petrov a policista vás identifikoval jako Alexandra Petrova. Autentizace vyžaduje cestovní pas, který prokazuje, že Alexander Petrov vypadá stejně jako vy. Autorizace by v tomto případě znamenala, že vás policista propustí a přeje vám šťastnou cestu, tj. udělí vám právo volného pohybu.

Procesy identifikace, autentizace a autorizace jsou přítomny v mnoha oblastech. I v těch nejjednodušších dětských pohádkách. Pohádka „Vlk a sedm kůzlátků“ je ideálním příkladem pro demonstraci.

Zde kůzlata fungují jako bezpečnostní systém a identifikují každého, kdo se přiblíží ke dveřím. Autentizačním údajem jsou biometrické údaje – tenký hlas kozy. A pokud vlk neprošel ověřením napoprvé (prozradil ho jeho drsný hlas), pak na druhý pokus (poté, co se mu zkřížil hrdlo a zpíval tenkým hlasem) se ověřil jako koza a kůzlata ho „autorizovala“ do své boudy.

Ačkoli příběh končí šťastně, přístup k kůzlatům byl získán nelegálně. Vlkovi se podařilo oklamat procesy identifikace a autentizace a projít tak autorizací.

Pokud to bylo možné ve staré dětské pohádce, co pak můžeme říci o moderních vetřelcích? Abyste ochránili své peníze, osobní údaje a děti před vlkem a vetřelcem, musíte použít složitější metody ověřování.

Vícefaktorová autentizace

Vícefaktorové ověřování je metoda, při které musí uživatel prokázat, že je vlastníkem účtu nebo osobou, která se přihlašuje, pomocí dvou různých faktorů pro přístup k účtu nebo potvrzení transakce.

Mezi typy vícefaktorového ověřování je nejběžnější dvoufaktorové ověřování (2FA) – metoda, při které musí uživatel poskytnout dva různé typy ověřovacích údajů, aby získal přístup, například něco, co je známo pouze uživateli (heslo) a něco, co je pro uživatele jedinečné (otisk prstu).

Přístup k prostředkům zadáním přihlašovacího jména a hesla je jednofaktorové ověřování, protože pro přihlášení se používá pouze jeden typ ověřovacích údajů – heslo, které uživatel zná.

Jednofaktorové dvoufázové ověřování

Vzhledem k tomu, že se chytré telefony staly nedílnou součástí našich životů, staly se jedním ze způsobů, jak potvrdit identitu uživatele. Jsou to tokeny pro přístup k různým zdrojům. V tomto případě se jednorázové heslo generuje buď pomocí speciální aplikace, nebo přichází prostřednictvím SMS – to je pro uživatele nejjednodušší metoda.

1. Uživatel zadá přihlašovací jméno a heslo zadané při registraci. Pokud je tato dvojice správná (přihlašovací jméno je v databázi a shoduje se s heslem), systém odešle jednorázové heslo s omezenou dobou platnosti.
2. Uživatel zadá jednorázové heslo a pokud se shoduje s heslem, které systém odeslal, získá přístup ke svému účtu, finančním prostředkům nebo potvrdí převod peněz.

I když útočník získá přihlašovací údaje a heslo k účtu (pomocí malwaru, krádeží zápisníku s hesly nebo pomocí metod sociálního inženýrství a phishingu), systém po zadání těchto údajů odešle na propojený mobilní telefon uživatele jednorázový kód s omezenou dobou platnosti. Bez jednorázového kódu nebude podvodník schopen ukrást finanční prostředky.

Doporučení

1. Používejte pro různé účty jedinečná a silná hesla.
2. Pokud je to možné, nastavte na všech zdrojích dvoufázové jednofaktorové nebo vícefaktorové ověřování.