Autentificare

Autentificarea (cuvântul provine din limba greacă, unde αυθεντικός, autenticos, înseamnă real, veritabil) este procesul de stabilire dacă un obiect sau o afirmație sunt adevărate, așa cum cineva pretinde. Exemple: modul de autentificare folosit la această Wikipedie; stabilirea identității unei persoane la ghișeul unei bănci.

În domeniul Tehnologiei Informației IT pentru această procedură se mai folosesc și termenii englezi login (scris uneori în două cuvinte: log in) și logon (log on). Odată autentificat, utilizatorul are voie să execute și comenzile/tranzacțiile/aplicațiile care cer autentificare, în cadrul unei sesiuni autentificate. Când autentificarea utilizatorului nu mai e necesară, Avesta poate închide sesiunea prin comanda/procedura numită în general logoff (log off) sau logout (log out), dar poate de obicei continua lucrul în regim neautentificat.

Descriere generală

În domeniul siguranței la calculatoare, autentificarea este procesul de verificare a identității (digitale) a unui participant la comunicație, de obicei prin indicarea unui cod de utilizator mai mult sau mai puțin public (în engleză: user-ID, care se citește [ pron. iuzăr ai di ] ) și a unei parole secrete (password).

În astfel de situații „utilizatorul” este de cele mai multe ori o persoană fizică, dar uneori este foarte practic ca și un program sau chiar un calculator să primească un cod de utilizator propriu și o parolă, cu ajutorul cărora el se poate autentifica, de exemplu în cadrul unei rețele de calculatoare.

Desigur că, pe lângă această metodă de autentificare simplă constând din cod de utilizator și parolă, există și alte metode, mai sofisticate dar și mult mai sigure. Ele se utilizează în domenii deosebit de riscante, ca de exemplu la tranzacțiile bancare prin Internet, comunicațiile militare, ale poliției, comunicațiile de afaceri externe între state ș.a.

Autentificarea nu trebuie confundată cu autorizarea; în general întâi are loc autentificarea cuiva, și numai dacă ea reușește, utilizatorului respectiv i se acordă și drepturile de folosință (autorizarea) cuvenite lui, pe baza unor reguli prestabilite. La sisteme care necesită mai multe drepturi diferite de folosință este chiar și mai important ca autentificarea să funcționeze corect, astfel ca nimeni să nu-și depășească îndreptățirile primite pe baza ei.

Un alt domeniu unde autentificarea poate juca un rol important este în industrie, la împachetarea și etichetarea produselor, pentru a arăta veridicitatea calității conținutului pachetelor, spre a asigura pe consumator, fără a deschide pachetul, că de ex. licența, drepturile de producător (autor) sau calitatea produsului ambalat sunt exact cele cerute și așteptate (de client).

Sistemele de autentificare oferă răspunsuri la interogări de genul:

Cine este utilizatorul, calculatorul, sau producătorul? Care anume este produsul?
Este adevărat că utilizatorul este chiar acela care pretinde a fi?

Sistemele de autentificare pot fi de mai multe tipuri:

Simplu (nesecurizat) - unde parola este transmisă în formă textuală în clar, fără cifrare/codificare
Complicat (sofisticat) – ca de ex. la sistemele Kerberos

În toate cazurile sistemele de autentificare depind de o informație, cunoscută (disponibilă) individului care se autentifică, precum și sistemului de autentificare – un secret partajat.

Această informație poate fi o parolă clasică, unele proprietăți fizice individuale (amprente, pattern-uri retinale-vasculare etc.) sau unele date derivate (de exemplu la sistemele smartcard). Pentru verificarea identității utilizatorilor sistemul de autentificare îi cere de obicei utilizatorului să furnizeze informația sa unică (parolă, amprente); în cazul în care sistemul de autentificare poate să verifice faptul că secretul partajat a fost prezentat în mod corect, utilizatorul este considerat autentificat.

Autentificarea tradițională (nesecurizată)

Autentificarea tradițională

Cea mai simplă, și din păcate încă destul de comună, metodă de autentificare este metoda de autentificare tradițională.

În acest model, informațiile despre numele de utilizator (user name sau și user-ID) și parole (password) pentru fiecare utilizator autentificabil sunt stocate local pe un server. Utilizatorii trimit numele de utilizator și parola în clar (plain text) sistemului, care la rândul său compară informația de autentificare cu baza de date locală. În cazul în care numele de utilizator și parola se potrivesc, utilizatorul este autentificat.

Acesta este în principiu modelul folosit la autentificări cu login pe tradiționalele sisteme multiutilizator, unde a fost reprodus de nenumărate ori pe diverse pachete de aplicații.

Acest model are următoarele puncte slabe:

În multe cazuri, parolele utilizatorilor sunt stocate în clar pe un server. Oricine are acces la baza de date a serverului are acces la suficientă informație pentru a impersona un utilizator autentificabil.
În cazurile în care parolele utilizatorilor sunt stocate codificat (encrypted) pe server, parolele în clar sunt probabil trimise prin rețele nesigure de la client la server. Oricine are acces la această porțiune de rețea poate prelua aceste date personale (numele de utilizator și parola, chiar codificate) și să le utilizeze ulterior pentru a falsifica autentificarea în sistem.
Fiecare sistem separat trebuie să dețină o copie a informației de autentificare a utilizatorului. Ca rezultat, utilizatorii trebuie să-și actualizeze parolele pe fiecare sistem la care se autentifică; pentru comoditate utilizatorii aleg parole mai simple, ceea ce este riscant.
Autentificarea nu este refolosibilă. Utilizatorii trebuie să se autentifice pe fiecare sistem sau aplicație pe care ei doresc să îl/o acceseze. Ca rezultat, utilizatorii trebuie să reintroducă parolele, iar aceasta are efectul că utilizatorii vor tinde să utilizeze o parolă mai simplă, pentru comoditate.
Un sistem care impersonează sistemul real (prin IP spoofing), pe care utilizatorul nu-l poate distinge de serverul autentic, deschide posibilitatea pentru serverul impostor să colecteze informația personală (nume de utilizator și parola), care va putea fi apoi folosită la autentificare pe serverul real.

Vezi și

Legături externe

Labirintul parolelor, 13 iunie 2004, Evenimentul zilei
Why passwords have never been weaker—and crackers have never been stronger, Aug 21 2012, Dan Goodin, Ars Technica
Anatomy of a hack: How crackers ransack passwords like “qeadzcwrsfxv1331”, May 28 2013, Dan Goodin, Ars Technica