Uwierzytelnianie

Uwierzytelnianie (ang. authentication, czasami „autentykacja”, rzadziej „autentyfikacja”) – proces polegający na potwierdzeniu zadeklarowanej tożsamości podmiotu biorącego udział w procesie komunikacji. Celem uwierzytelniania jest uzyskanie określonego poziomu pewności, że dany podmiot jest w rzeczywistości tym, za którego się podaje.

Na określenie tego procesu używa się również terminów „autentykacja” i „autentyfikacja” (rzadziej), które mają charakter neologizmów (na bazie terminu angielskiego) i bywają krytykowane jako formy błędne.

Proces uwierzytelniania

W większości zastosowań uzyskanie dostępu do chronionych zasobów (ang. resources) przez dany podmiot (ang. entity) odbywa się w następujących krokach:

• Identyfikacja (ang. identification) – podmiot deklaruje swoją tożsamość (identity). Na przykład:
  • w procesie logowania do serwera użytkownik wpisuje nazwę (login) (serwer jest stroną ufającą);
  • w rozmowie telefonicznej z centrum obsługi banku klient deklaruje swoje imię, nazwisko i numer konta (bank jest stroną ufającą);
  • osoba podchodząca do stanowiska pocztowego podaje swoje imię i nazwisko;
  • podczas połączenia przeglądarki z serwerem SSL, ten ostatni przedstawia certyfikat X.509 zawierający jego nazwę (przeglądarka jest stroną ufającą).

• Uwierzytelnianie (ang. authentication) – strona ufająca stosuje odpowiednią technikę uwierzytelniania (ang. authentication mechanism) w celu weryfikacji zadeklarowanej wcześniej tożsamości. Na przykład:
  • serwer prosi użytkownika o wpisanie statycznego hasła (lub wskazanie pliku klucza) i weryfikuje jego zgodność z wcześniej ustawioną wartością;
  • personel banku prosi o podanie znanego obu stronom sekretu, czyli np. ustawionego wcześniej kodu telefonicznego, daty urodzenia, nazwiska panieńskiego matki; suma poprawnych odpowiedzi daje odpowiednio wysokie prawdopodobieństwo, że dana osoba jest tą, za którą się podaje;
  • obsługa poczty prosi klienta odbierającego paczkę o dowód osobisty i weryfikuje zgodność zdjęcia;
  • przeglądarka weryfikuje podpis cyfrowy złożony pod certyfikatem serwera przez urząd certyfikacji, któremu ufa.

Po zakończeniu uwierzytelniania może jeszcze następować autoryzacja (ang. authorization), czyli potwierdzenie, czy dany podmiot jest uprawniony do uzyskania dostępu do żądanego zasobu. Na tym etapie autentyczność podmiotu jest już potwierdzona, nie musi on jednak być uprawnionym do uzyskania dostępu w żądanym zakresie. Na przykład:

• serwer sprawdza rolę użytkownika i pozwala na dostęp do listy czytelników tylko, jeśli zalogowany użytkownik ma rolę bibliotekarza;
• personel banku potwierdza, że użytkownik ma dostęp do swojego rachunku, ale żądanie stanu konta rachunku powiązanego (małżonka, firmy) weryfikuje, sprawdzając, czy zostało złożone odpowiednie pełnomocnictwo;
• pracownik poczty potwierdza, że przesyłka została nadana na dane nazwisko;
• przeglądarka sprawdza zapisane w certyfikacie serwera flagi keyUsage, weryfikując, czy został on poświadczony przez uprawniony podmiot.

Metody uwierzytelniania

W zależności od kanału komunikacyjnego stosuje się różne metody i protokoły uwierzytelniania.

• w stosunku do dokumentów papierowych – podpisy, pieczęcie, parafowanie, znak wodny (metody), poświadczenie notarialne (protokół);
• w stosunku do osób i innych istot żywych – zabezpieczenie biometryczne, dokument tożsamości, hasło, karta mikroprocesorowa (smart card), biochip, token (generator kodów);
• w stosunku do wiadomości i dokumentów elektronicznych – podpis cyfrowy, kod uwierzytelniania wiadomości (message authentication code);
• w stosunku do podmiotów w komunikacji elektronicznej – metody oparte na dowodzie posiadania hasła (kryptografia symetryczna – np. HMAC) lub klucza prywatnego (kryptografii asymetrycznej), dowód z wiedzą zerową, hasło jednorazowe.

Jedną z funkcjonalnych klasyfikacji uwierzytelniania jest podział na metody wykorzystujące:

• coś, co wiesz (something you know) – tajna informacja będąca w posiadaniu uprawnionego podmiotu, którą zna również podmiot weryfikujący, czyli na przykład hasło lub klucz prywatny;
• coś, co masz (something you have) – przedmiot będący w posiadaniu uprawnionego podmiotu, na przykład klucz (do zamka) lub token (z generatora kodów);
• coś, czym jesteś (something you are) – metody biometryczne, czyli np. sprawdzanie odcisku palca, skanu tęczówki, ale również grafologiczna analiza podpisu.

Uwierzytelnianie dwuskładnikowe

Przy umożliwianiu dostępu do danych lub systemów o szczególnie wysokiej wartości często stosuje się uwierzytelnianie dwuskładnikowe (ang. two-factor authentication), czyli łączące dwie wymienione wyżej metody. Na przykład w komunikacji elektronicznej stosowanie hasła wiąże się z ryzykiem jego przechwycenia (keylogger) lub podsłuchania (sniffer). Przestaje ono być wówczas znane wyłącznie osobie uprawnionej, zaś kradzież może pozostać niezauważona. Ryzyko to można ograniczyć, wprowadzając dodatkowy, materialny składnik uwierzytelniania, w postaci tokenu sprzętowego:

• token istnieje w jednym, unikatowym egzemplarzu, więc jego użycie wymaga fizycznego dostępu lub kradzieży, która zostanie zauważona (cecha „coś, co masz”);
• użycie tokenu wymaga dodatkowo podania hasła (np. w postaci kodu PIN), więc bez jego znajomości token będzie nieprzydatny, nawet w razie kradzieży (cecha „coś, co wiesz”).

Uwierzytelnienie dwuskładnikowe stosuje większość banków internetowych, a także platformy gier (Battle.net), usługa poczty Gmail i wiele innych. Stosowane są zarówno tokeny sprzętowe, jak i programowe generatory haseł (np. Google Authenticator) oraz hasła jednorazowe przesyłane za pomocą SMS.

Zobacz też

• autoryzacja
• przestępczość komputerowa