autentisering

Autentisering benyttes både om prosessen med å bekrefte en påstått identitet, og om prosessen med å bekrefte om informasjon er ekte og uendret.

Typer autentisering

Autentisering av identiteter kan igjen deles inn i brukerautentisering og klientautentisering avhengig av om det er en person eller maskin/programvare som skal autentiseres. Autentisering av informasjon omtales også som innholdsautentisering eller meldingsintegritet.

Som sikkerhetstjenester vil bruker- og klientautentisering omtales som autentisering, innholdsautentisering og meldingsintegritet som integritet.

Brukerautentisering

En bruker som forsøker logge inn i en tjeneste vil som regel selv påstå hvilken identitet han/hun har gjennom sitt brukernavn. For å kunne autentisere brukeren må tjenesten imidlertid vite noe mer. Vanligste form for autentisering er ved hjelp av passord eller PIN-kode. Ettersom kun brukeren selv skal vite dette, kan tjenesten med rimelig trygghet anta at det faktisk er brukeren selv som forsøker logge på når dette blir oppgitt korrekt.

Det finnes imidlertid mange andre former for autentisering enn passord. Fingeravtrykk, engangskoder og passordkalkulatorer er alle metoder for autentisering. Det er vanlig å dele autentiseringsmetodene inn i tre hovedgrupper:

  • noe man vet – for eksempel et passord
  • noe man har – for eksempel en passordkalkulator, kodegenerator eller engangskoder
  • noe man er – for eksempel fingeravtrykk eller en håndskrevet signatur

For å redusere muligheten for uriktig autentisering er det blitt vanlig å kreve flere ulike autentiseringsmetoder i samme innlogging. Dette omtales som multi-faktor autentisering eller to-faktor autentisering (dersom to metoder). Det er da viktig å velge metoder fra ulike grupper.

Klientautentisering

I autentisering mellom maskiner/programvare og en tjeneste er det vanlig å benytte digitale sertifikater (noe man har) eller passord (noe man vet). I denne sammenheng pleier man imidlertid å omtale passord som nøkler i stedet.

Innholdsautentisering

At informasjon er autentisk garanterer at den ikke er endret mellom avsender og mottaker, samt at avsender er den han/hun utgir seg for å være.

Autentisitet av innholdet i en melding sikres normalt med en sjekksum. Det vil si at man genererer en kortere kode som er unik for meldingen, og som sendes sammen med meldingen til mottaker. Mottakeren lager en egen sjekksum av meldingen ved hjelp av samme metode (algoritme). Dersom mottakerens og avsenderens sjekksum er like, vil man kunne si at meldingen ikke er endret. Ettersom det er en teoretisk mulighet å finne andre meldinger med samme sjekksum kan man aldri være helt sikker, men sannsynligheten for dette er svært liten.

Det må imidlertid sikres at sjekksummen ikke er blitt endret sammen med endringer i meldingen. Dette kan gjøres ved at sjekksummen utveksles i en annen kommunikasjonskanal. Vanligere er det imidlertid at sjekksummen krypteres med en nøkkel avsender og mottaker er enige om.

Man kan i mange tilfeller også bekrefte at avsender faktisk er den han/hun utgir seg for å være, basert på at han/hun kjenner den hemmelige nøkkelen som er benyttet.

Autentisiteten til en avsender og innholdet i en melding kan også garanteres ved at en melding signeres med en digital signatur. Dette er en asymmetrisk kryptoalgoritme, og omtales ofte som PKI. I disse tilfellene vil man kryptere meldingen med avsenders private nøkkel, og siden kun avsender kjenner denne vil ingen andre kunne ha sendt ut eller endret meldingen.

Les mer i Store norske leksikon

Kommentarer

Kommentaren din publiseres her. Fagansvarlig eller redaktør svarer når de kan.

Du må være logget inn for å kommentere.

eller registrer deg