autentisering

En bruker som forsøker å logge inn i en tjeneste, vil som regel selv påstå hvilken identitet han/hun har gjennom sitt brukernavn eller fødselsnummer. For å kunne autentisere brukeren, må tjenesten imidlertid vite noe mer. De vanligste formene for autentisering er ved hjelp av passord eller PIN-kode. Ettersom det bare er brukeren selv som skal kjenne til disse, kan tjenesten med rimelig trygghet anta at det faktisk er brukeren selv som forsøker å logge inn når passord eller PIN-kode blir oppgitt korrekt.

Det finnes imidlertid mange andre former for autentisering enn passord. Fingeravtrykk, engangskoder på SMS og kodebrikker er alle metoder for autentisering. Det er vanlig å dele autentiseringsmetodene inn i tre hovedgrupper:

• noe man vet – for eksempel et passord
• noe man har – for eksempel en passordkalkulator, kodegenerator eller engangskoder
• noe man er – for eksempel fingeravtrykk eller en håndskrevet signatur

For å redusere muligheten for uriktig autentisering, er det blitt vanlig å kreve flere ulike autentiseringsmetoder i samme innlogging. Dette omtales som multi-faktor autentisering eller to-faktor autentisering (dersom det er to metoder). Det er da viktig å velge metoder fra ulike grupper.

I autentisering mellom maskiner/programvare og en tjeneste er det vanlig å benytte digitale sertifikater (noe man har) eller passord (noe man vet). I denne sammenheng pleier man imidlertid å omtale passord som nøkler i stedet.

At informasjon er autentisk garanterer at den ikke er endret mellom avsender og mottaker, samt at avsender er den han/hun utgir seg for å være.

Autentisitet av innholdet i en melding sikres normalt med en sjekksum. Det vil si at man genererer en kortere kode som er unik for meldingen, og som sendes sammen med meldingen til mottaker. Mottakeren lager en egen sjekksum av meldingen ved hjelp av samme metode (algoritme). Dersom mottakerens og avsenderens sjekksum er like, vil man kunne si at meldingen ikke er endret. Ettersom det er en teoretisk mulighet å finne andre meldinger med samme sjekksum, kan man aldri være helt sikker, men sannsynligheten for dette er svært liten.

Det må imidlertid sikres at sjekksummen ikke er blitt endret sammen med endringer i meldingen. Dette kan gjøres ved at sjekksummen utveksles i en annen kommunikasjonskanal. Vanligere er det imidlertid at sjekksummen krypteres med en nøkkel som avsender og mottaker er enige om.

Man kan i mange tilfeller også bekrefte at avsender faktisk er den hen utgir seg for å være, basert på at hen kjenner den hemmelige nøkkelen som er benyttet.

Autentisiteten til en avsender og innholdet i en melding kan også garanteres ved at en melding signeres med en digital signatur. Dette er en asymmetrisk kryptoalgoritme, og omtales ofte som PKI. I disse tilfellene vil man kryptere meldingen med avsenders private nøkkel, og siden det bare er avsender som kjenner denne, vil ingen andre kunne ha sendt ut eller endret meldingen.