نوشتار_محتوا
۵ سال، ۱۰۹ روز، ۵ ساعت و ۱۶ دقیقه - 18.222.98.29

نوشتار محتوا:فرایند احراز هویت (Authentication): تفاوت بین نسخه‌ها

(صفحه‌ای تازه حاوی « <div id="DiagramDivBase" data-ChartDimaId = "1505" style="display:none;border: solid 1px black; width:100%; height:600px"></div> '''مف...» ایجاد کرد)
 
سطر ۱: سطر ۱:
−
  <div id="DiagramDivBase" data-ChartDimaId = "1505" style="display:none;border: solid 1px black; width:100%; height:600px"></div>
+
  <div id="DiagramDivBase" data-chartdimaid="1505" style="display:none;border: solid 1px black; width:100%; height:600px"></div>
−
'''مفهوم:'''
+
'''مفهوم: فرآیند احراز هویت'''
  
−
'''والد:'''         
+
'''والد: کارت پرداخت الکترونیکی'''         
  
−
'''بعد:'''  
+
'''بعد: فرآیند'''
  
−
'''فرزند:'''
+
'''فرزند: احراز هویت چندعاملی،‌ احراز هویت دو‌عاملی، احراز هویت تک‌عاملی'''
 
----
 
----
−
{{عنوان|title=لید|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}
+
{{عنوان|title=لید|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}احراز هویت<ref>Authentication</ref> بخشی از فرآیندهای مربوط به پرداخت الکترونیکی است که در آن صحت هویت یک کاربر در زمان ورود به یک سیستم یا منبع اطلاعاتی تأیید می‌گردد. {{عنوان|title=تعریف به حد|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}احراز هویت بخشی از فرآیندهای مربوط به پرداخت الکترونیکی است که از سایر فرآیندهای مرتبط چون مجوزدهی<ref>Authorization</ref>، فرآیند تصفیه<ref>Clearing</ref> و فرایند تسویه<ref>Settlement</ref> متفاوت است. {{عنوان|title=وجوه افتراق یا شقوق مختلف|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}احراز هویت فرآیند تأیید هویت یک کاربر برای به دست آوردن نوعی گواهی‌نامه است که این گواهی‌نامه هویت یک کاربر را تأیید می‌کند. اگر گواهی‌نامه مزبور معتبر باشد، فرآیند کسب اجازه شروع می‌شود. فرآیند احراز هویت همواره به فرآیند کسب اجازه می‌انجامد. این در حالی است که در فرآیند مجوز دهی کاربرانی که هویتشان احراز شده است اجازه می یابند تا به منابع دسترسی پیدا کنند به این شرط که حق دسترسی به سیستم را داشته باشند. فرآیند مجوزدهی کمک می‌کند تا با اعطا و یا رد مجوزهای خاص برای کاربران احراز هویت‌شده، حق دسترسی‌ها کنترل شود. به عبارت دیگر هدف از احراز هویت تأیید صلاحیت است. نظیر آنچه در استفاده از نام کاربری و رمز عبور  اتفاق می‌افتد در این فرآیند نیز هویت تأیید می‌شود. این فرآیند همچنین نباید با فرآیند شناسایی<ref>Identification</ref> که در آن یک شناسه کاربری (ID) به یک انسان، یک کامپیوتر یا بخشی از یک شبکه اعطا می‌شود نیز اشتباه گرفته شود.  {{عنوان|title=فهرست مطالب|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}
−
{{عنوان|title=تعریف به حد|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}
+
 
−
   
+
===تاریخچه احراز هویت===
−
{{عنوان|title=وجوه افتراق یا شقوق مختلف|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}
+
در طول زمان احراز هویت به مرور پیچیده‌تر شده است. هنگامی که شما واقعاً تعدادی از افراد را می‌شناسید، خیلی راحت می‌توانید با نگاه کردن به آنان هویت‌شان را احراز کنید. با این حال هرچه جامعه انسانی به تکامل بیشتری رسید، انسان‌ها مجبور شدند روش‌های جدیدی را برای احراز هویت افرادی که مستقیماً آنها را نمی‌شناختند، ایجاد کنند.
−
{{عنوان|title=فهرست مطالب|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}
+
 
 +
'''دهه ۱۹۶۰ میلادی: همه چیز با پسورد شروع شد'''
 +
 
 +
پسوردها یا همان رمزهای عبور اولین روشی بود که برای احراز هویت در کامپیوترها بیش از پنجاه سال پیش مورد استفاده قرار گرفت اما خیلی زود ضعف خود را نشان داد و مسائل متعددی را موجب شد. به تدریج متخصصان کامپیوتری متوجه این نیاز می‌شدند که پسوردها به تنهایی نمی‌توانند امنیت مورد نیاز آن‌ها را تأمین کنند.
 +
 
 +
'''دهه ۱۹۷۰: حفاظت از پسوردها با «سالت هش»'''
 +
 
 +
یکی دیگر از دوره‌های کلیدی برای احراز هویت دهه ۷۰ میلادی بود، وقتی که رابرت موریس محقق آزمایشگاه بل، راهی را برای بالا بردن امنیت پسورد در سیستم عامل لینوکس کشف کرد. موریس از یک مفهوم [https://fa.wikipedia.org/wiki/%D8%B1%D9%85%D8%B2%D9%86%DA%AF%D8%A7%D8%B1%DB%8C رمزنگاری] به نام تابع هش استفاده کرد. در این روش کامپیوترها می‌توانستند بدون نیاز به ذخیره کردن پسورد واقعی، عبارات پیچیده و مبهمی (هش) را مورد تأیید قرار دهند. به طور خلاصه موریس سیستم‌های ذخیره پسورد مبتنی بر هش را در دهه ۷۰ توسعه داد که سیستم‌های احراز هویت را نسبت به قبل امن‌تر می‌کرد.
 +
 
 +
'''میانه دهه ۱۹۷۰: سطوح رمزنگاری کلید عمومی'''
 +
 
 +
علاوه بر هش‌ها، فناوری‌های رمزنگاری دیگری نیز وجود داشتند که برای احراز هویت مفید قلمداد می‌شدند. یکی از این تکنولوژی‌ها رمزنگاری کلید عمومی یا رمزنگاری نامتقارن بود. بدون وارد شدن به مسائل ریاضی که در پشت این موضوع قرار دارد، به طور مختصر این فناوری دو کلید را شامل می‌شود: کلید عمومی که شما می‌توانید با خیال راحت آن را با دیگران برای شناساندن خودتان به اشتراک بگذارید و یک کلید خصوصی که شما از آن برای تأیید هویت خودتان استفاده می‌کنید. یک گواهی دیجیتال (که گواهی هویت هم خوانده می‌شود) اساساً گواهی کلید عمومی شماست که توسط کلید خصوصی‌تان امضا شده است. این گواهی‌ها می‌تواند به عنوان فاکتورهای احراز هویت مورد استفاده قرار گیرد تا هویت آنلاین را معتبر سازد.
 +
 
 +
'''دهه ۱۹۸۰: ظهور پسوردهای یک بار مصرف (OTP)'''
 +
 
 +
هر چه سیستم‌های دیجیتالی بیشتر از پسوردها برای تأمین امنیت خود استفاده می‌کردند، هکرها نیز راه‌های بیشتری برای سوء استفاده از آن‌ها می‌یافتند. لذا اهالی صنعت دیجیتال به طور مستمر در جستجوی روش‌های جدید احراز هویت بودند تا امنیت سیستم‌های خود را افزایش دهند. در همین راستا پسوردهای یک بار مصرف ابداع شدند. از سال 1980 به بعد ما شاهد استانداردهای متفاوتی از OTP بودیم که در نهایت استاندارد OAuth رواج بیشتری پیدا کرد. در همین دوره بود که احراز هویت‌های دو یا چند عامله(2FA و MFA) نیز ظهور پیدا کردند. این دو نوع احراز هویت در کنار OTP به طور گسترده‌ای در کنار پسوردهای قدیمی مورد استفاده قرار گرفتند.
 +
 
 +
'''دهه ۱۹۹۰: زیرساخت کلید عمومی'''
 +
 
 +
زیرساخت کلید عمومی (PKI) مجموعه‌ فناوری‌ها و استانداردهایی است که ساخت، ذخیره‌سازی و توزیع کلیدها و گواهی‌های دیجیتال را مدیریت می‌کند. این زیرساخت اغلب به مراکز صدور گواهی متصل است که به منظور بررسی یک کلید عمومی منحصر بفرد متعلق به نهاد خاص مورد استفاده قرار می‌گیرد. زیرساخت کلید عمومی، گواهی‌های دیجیتال را که حاصل نگاشت کلیدهای عمومی به هویت افراد است، ایجاد کرده و این گواهی‌ها را در یک مخزن مرکزی، به‌طور امن نگهداری می‌کند و اگر لازم باشد، آن‌ها را باطل می‌کند.
 +
 
 +
'''میانه دهه ۱۹۹۰: کپچا'''<ref>CAPTCHAs</ref>
 +
 
 +
در اواسط دهه ۹۰ محققان تکنیک‌هایی را ابداع کردند تا بتوانند در محیط‌های دیجیتال انسان‌ها را از کامپیوترها تشخیص دهند. آن‌ها این تکنیک را کپچا نامیدند که از سرواژه‌های انگلیسی این عبارت ساخته شد: «آزمون همگانی کاملاً خودکار شده تورینگ برای مجزا کردن انسان و کامپیوتر». شما نمی‌توانید از کپچا برای احراز هویت افراد استفاده کنید اما می‌توانید به کمک آن از حملات هکرهایی که در صدد احراز هویت تقلبی هستند، در امان بمانید.
 +
 
 +
'''دهه ۲۰۰۰: تصویب احراز هویت چندعاملی (MFA)'''
 +
 
 +
زمان برای به کارگیری احراز هویت چندعاملی فرا رسیده بود. این نوع از احراز هویت از دهه ۸۰ به بعد به طور مستمر در حال تکامل بود اما در واقع در دهه ۲۰۰۰ بود که به محبوبیت رسید. همانطور که احتمالاً می‌دانید ما از فاکتورهای مختلفی برای احراز هویت استفاده می‌کنیم. این فاکتورها به سه دسته تقسیم می‌شوند: چیزی که شما «می‌دانید»، «دارید» یا «هستید». «چیزی که شما می‌دانید» نظیر رنگ مورد علاقه‌تان، یک پسورد، یک پین، یا یک رمز عبور یک بار مصرف. «چیزی که شما دارید» مانند یک سخت‌افزار خاص، یک گواهی دیجیتال، یک کارت هوشمند یا دستگاهی که حاوی گواهی دیجیتال است. و در نهایت «چیزی که شما هستید» نظیر چهره، عنبیه، اثرانگشت یا ضربان قلب. MFA روشی است که دو یا چند فاکتور احراز هویت را با یکدیگر ترکیب می‌کند تا شما بتوانید به صورت قوی‌تری افرادی که با آنها در ارتباط هستید را شناسایی و احراز هویت کنید. 2FA زیرمجموعه‌ای از MFA است که تنها دو فاکتور را در نظر می‌گیرد.
 +
 
 +
'''دهه ۲۰۱۰: عصر گوشی‌های هوشمند'''
 +
 
 +
در دهه ۲۰۱۰ بود که گوشی‌های هوشمند وارد بازار شدند و آینده احراز هویت را شکل دادند. ماهیت همه‌جا حاضر گوشی‌های هوشمند دو روش احراز هویتی که تا پیش از این کمتر مورد توجه قرار گرفته بودند را برجسته کرد: بیومتریک و 2FA.
 +
 
 +
امروز: احراز هویت چندعاملی قوی برای همه
 +
 
 +
دوره حاضر را به دلیل پایین آمدن هزینه و پیچیدگی می‌توان عصر MFA برای همه نام‌گذاری کرد. گوشی‌های هوشمند کلید اصلی پذیرش MFA برای مشتریان تلقی می‌شوند که با استفاده از آن‌ها می‌توان از راهکارهای مختلف احراز هویت از جمله گزینه‌های بیومتریک استفاده کرد. با استفاده از روش‌های مختلفی که احراز هویت چندعاملی در پیش روی ما قرار می‌دهد، هر فرد می‌تواند با استفاده از پسورد، یک توکن و حتی گزینه‌های بیومتریک احراز هویت قدرتمندی انجام دهد.
 +
 
 +
===هویت دیجیتال===
 +
هویت دیجیتال یک هویت آنلاین یا شبکه‌ای است که توسط یک فرد، سازمان یا دستگاه الکترونیکی در فضای سایبری مورد استفاده قرار می‌گیرد. هویت دیجیتال همانند همتای غیردیجیتال آن، دارای ویژگی‌ها و اطلاعاتی است که در زیر آمده است:
 +
 
 +
*نام کاربری و رمز عبور
 +
*فعالیت‌های جستجوی آنلاین، نظیر تراکنش‌های الکترونیکی
 +
*تاریخ تولد
 +
*شماره تأمین اجتماعی
 +
*سوابق پزشکی
 +
*سوابق خرید یا رفتار
 +
 
 +
===احراز هویت و تضمین اطلاعات===
 +
در حوزه سیستم‌های کامپیوتری، احراز هویت فرآیندی است که هویت یک کاربر را تأیید و تضمین می‌کند. احراز هویت یکی از پنج ستون تضمین اطلاعات است. چهار ستون دیگر تمامیت، در دسترس بودن، محرمانگی و عدم انکار است. 
 +
 
 +
احراز هویت هنگامی که یک کاربر در صدد دسترسی به اطلاعات است آغاز می‌شود. در ابتدا کاربر باید حق دسترسی و هویت خود را اثبات کند. هنگام ورود به سیستم کامپیوتر، کاربران معمولاً نام کاربری و رمز عبور خود را به منظور احراز هویت وارد می‌کنند. این شیوه باید برای هر کاربر اجرا شود تا احراز هویت حاصل شود.
 +
 
 +
===هدف از احراز هویت===
 +
بسیاری از شرکت‌ها از احراز هویت برای اعتبارسنجی کاربرانی که به وب‌سایتشان وارد می‌شوند، استفاده می‌کنند. بدون اقدامات امنیتی مناسب، ممکن است داده‌های کاربران نظیر شماره [[نوشتار تعریف:کارت اعتباری (Credit Card)|کارت‌های اعتباری]] و [[نوشتار تعریف:کارت بدهی (Debit Card)|کارت بدهی]] و همچنین شماره‌های تأمین اجتماعی به دست مجرمان سایبری بیفتد. سازمان‌ها همچنین از احراز هویت برای کنترل دسترسی کاربران به شبکه‌ها و منابع سازمانی استفاده می‌کنند و همچنین می‌توانند سطح دسترسی ماشین‌ها و سرورها را شناسایی و کنترل کنند. شرکت‌ها همچنین روش‌های احراز هویت را به کار می‌گیرند تا کارکنانی که دورکاری می‌کنند بتوانند به طور امن به اپلیکیشن‌ها و شبکه‌ها دسترسی پیدا کنند. برای شرکت‌ها و دیگر سازمان‌های بزرگ، احراز هویت ممکن است با استفاده از یک سیستم شناسایی یگانه<ref>single sign-on</ref> انجام شود که دسترسی به سیستم‌های مرتبط دیگر را صرفاً با همان احراز هویت اولیه فراهم کند. 
 +
 
 +
مؤسسات مالی که محصولات و خدمات مبتنی بر اینترنت به مشتریان خود ارائه می‌کنند، باید از روش‌های مؤثری برای احراز هویت مشتریان استفاده کنند. تکنیک‌های احراز هویتی که توسط مؤسسات مالی به کار گرفته می‌شود باید متناسب با ریسک و خطراتی باشد که محصولات و خدمات ارائه شده به همراه دارند. هر کجا ارزیابی ریسک نشان بدهد که استفاده از احراز هویت تک عاملی ناکافی است، مؤسسات مالی باید احراز هویت چندعاملی، امنیت لایه‌ای و دیگر کنترل‌هایی که به طور منطقی ریسک را کاهش می‌دهد را به کار گیرند. مؤسسات مالی باید به طور دوره‌ای اقدامات زیر را انجام دهند:
 +
 
 +
*از برنامه امنیتی اطلاعات‌شان اطمینان حاصل کنند: شناسایی و ارزیابی ریسک‌های مرتبط با محصولات و خدمات مبتنی بر اینترنت و شناسایی اقدامات کاهش‌دهنده ریسک که شامل قدرت احراز هویت متناسب با محصولات و خدمات ارائه شده می‌شود. همچنین اندازه‌گیری و ارزیابی تلاش‌ها برای آگاه کردن مشتریان هم جزئی از این اقدامات است.
 +
*در صورت لزوم، برنامه امنیتی اطلاعات‌شان را با توجه به تغییرات مرتبط با فناوری، میزان حساسیت اطلاعات مشتریان و یا تهدیدهای داخلی و خارجی نسبت به اطلاعات، تنظیم کنند.
 +
*استراتژی‌های کاهش‌دهنده ریسک متناسب را به کار گیرند.
 +
 
 +
===شیوه‌های احراز هویت===
 +
روش‌های احراز هویت به شرح زیر هستند:
 +
 
 +
'''توکن'''
 +
 
 +
مالک ابتدا خود را به توکن احراز هویت می‌کند و سپس توکن، مالک را برای استفاده از یک سیستم اطلاعاتی احراز هویت می‌کند. بنابراین توکنی که در احراز هویت الکترونیکی مورد استفاده قرار می‌گیرد، محرمانه است و باید از آن محافظت شود. مثلاً یک توکن ممکن است یک کلید رمزنگاری شده باشد که توسط یک پسورد محافظت شده است. یک هکر یا فرد متقلب برای سوء استفاده از توکن باید کلید رمزنگاری شده را سرقت کند و همچنین پسورد را بداند.
 +
 
 +
'''پسوردها و احراز هویت مبتنی بر پین (PIN)''' 
 +
 
 +
پسوردها و پین‌ها در روش «چیزهایی که شما می‌دانید» طبقه‌بندی می‌شوند. ترکیبی از اعداد، نمادها و موارد دیگر که قوی‌تر از پسوردهایی هستند که صرفاً از حروف تشکیل شده‌اند. همچنین در انطباق با پروتکل امنیت لایه انتقال (TLS) و لایه سوکت‌های امن (SSL) یک کانال رمزنگاری شده در طول فرآیند انتقال اطلاعات ایجاد می‌شود و از اطلاعات محافظت می‌کند. در حال حاضر بیشتر حملات امنیتی بر روی سیستم‌های احراز هویت مبتنی بر پسورد انجام می‌شود.
 +
 
 +
'''احراز هویت دو عاملی (2FA)'''
 +
 
 +
احراز هویت دو عاملی یک لایه محافظتی دیگر را به فرایند احراز هویت اضافه می‌کند. سیستم‌های احراز هویت دو عاملی اغلب از کاربران می‌خواهند که کد تاییدی را که به شماره تلفن همراهی که پیش از این ثبت شده، پیامک شده یا کدی که توسط یک اپلیکیشن احراز هویت تولید شده را وارد کنند.
 +
 
 +
'''احراز هویت چندعاملی (MFA)'''
 +
 
 +
احراز هویت چندعاملی مستلزم آن است که کاربران با بیش از یک عامل (شامل عوامل بیومتریک نظیر اثر انگشت یا شناخت چهره، یک فاکتور مالکیتی نظیر یک کلید امنیتی، یا رمزی که توسط یک اپلیکیشن احراز هویت تولید شده) احراز هویت شوند.     
 +
 
 +
'''رمز عبور یک بار مصرف'''
 +
 
 +
رمز عبور یک بار مصرف یک رشته از کاراکترها شامل اعداد یا حروف است که به صورت اتوماتیک تولید می‌شود. این رمزهای عبور فقط برای یک بار وارد شدن به سیستم یا انجام یک تراکنش استفاده می‌شوند. این نوع پسوردها اغلب برای کاربران جدید یا برای کاربرانی که رمز عبور خود را فراموش کرده‌اند و در صدد هستند تا به سیستم وارد شده و پسورد خود را تغییر دهند، مورد استفاده قرار می‌گیرند.
 +
 
 +
'''احراز هویت سه عاملی'''
 +
 
 +
احراز هویت سه عاملی نوعی از احراز هویت چندعاملی است که از سه فاکتور احراز هویت استفاده می‌کند. در این نوع احراز هویت معمولاً ترکیبی از یک فاکتور دانشی (پسورد) به همراه یک فاکتور مالکیتی (توکن امنیتی) و فاکتور ذاتی (بیومتریک) مورداستفاده قرار می‌گیرد.
 +
 
 +
'''بیومتریک‌ها'''
 +
 
 +
در حالیکه برخی سیستم‌های احراز هویت می‌توانند برای شناسایی منحصراً از فاکتورهای بیومتریک استفاده کنند، اما این فاکتورهای فیزیولوژیک معمولاً به عنوان فاکتور دوم و یا سوم احراز هویت مورد استفاده قرار می‌گیرند.
 +
 
 +
'''احراز هویت موبایلی'''
 +
 
 +
احراز هویت موبایلی فرایند تأیید کاربران از طریق دستگاه‌هایشان است و یا فرایند تأیید خود دستگاه‌هاست و به کاربران این امکان را می‌دهد تا از هر کجا به صورت امن به سیستم‌ها و منابع مختلف دسترسی داشته باشند. فرایند احراز هویت موبایلی جزئی از احراز هویت چندعاملی است که می‌تواند شامل رمزعبورهای یک بار مصرف، احراز هویت بیومتریک و یا تأیید کیوآرکد شود.
 +
 
 +
'''احراز هویت پیوسته'''
 +
 
 +
با به‌کارگیری احراز هویت پیوسته، به‌جای اینکه یک کاربر هر بار وارد سیستم شده و یا از آن خارج شود، یک اپلیکیشن به طور پیوسته امتیاز احراز هویت را محاسبه می‌کند و تشخیص می‌دهد که صاحب یک حساب همان شخصی است که دستگاه برای اوست.
 +
 
 +
'''احراز هویت''' API
 +
 
 +
روش‌های استانداردی که API را احراز هویت می‌کنند به این شرح هستند: احراز هویت پایه HTTP، کلیدهای API و OAuth.
 +
 
 +
===نقش فناوری بلاکچین در آینده احراز هویت===
 +
کاربرد فناوری [https://fa.wikipedia.org/wiki/%D8%B2%D9%86%D8%AC%DB%8C%D8%B1%D9%87_%D8%A8%D9%84%D9%88%DA%A9%DB%8C بلاکچین] هنوز در مراحل اولیه قرار دارد اما به سرعت در حال پیشرفت است. بلاکچین برای بسیاری از بخش‌ها نظیر خرده‌فروشی، بانکداری، رأی‌گیری، بیمه و ...مفید است. یکی از جنبه‌های کاربرد بلاکچین، در نظر گرفتن آن به عنوان یک ابزار احراز هویت است. چه می‌شد اگر می‌توانستید با استفاده از فناوری بلاکچین ثابت کنید که دقیقاً همان شخصی هستید که هویت دیجیتالتان آن را ارائه می‌کند؟ آیا این راحت نخواهد بود که در جاهای مختلفی نظیر بانک، ادارات دولتی، فرودگاه‌ها و هر جایی که نیاز به اثبات هویت دارید، این نوع احراز هویت صورت گیرد؟ بلاکچین از یک جفت کلید برای کاربران استفاده می‌کند که هویتشان را ثبت کنند. اطلاعات شخصی به صورت هش ذخیره می‌شوند که می‌تواند برای چندین شناسه مرتبط با هویت، نظیر نام، شماره هویتی یکتا، شماره تأمین اجتماعی، اثر انگشت یا دیگر اطلاعات بیومتریک مورد استفاده قرار گیرند. پس از آن کاربر می‌تواند از یک طرف سوم شناخته‌شده درخواست کند که هش‌ها را تأیید و اعلام کند که اطلاعات موجود در بلاکچین صحیح است. بنابراین اکنون هر فردی که هویت کاربران را برای هر نوع مکانیسم شناسایی و احراز هویتی درخواست کند، آن‌ها می‌توانند از هش‌های بلوکی که قبلاً توسط یک طرف سوم شناخته شده مورد تأیید قرار گرفته استفاده کنند. با این حال چالش‌هایی در خصوص موضوعاتی که نیاز به سطح اعتماد بالایی بین طرفین دارد، به وجود می‌آید. مشکل دیگری که احراز هویت از طریق بلاکچین با آن رو به روست، لزوم درگیر شدن چندین شرکت‌کننده مستقل با عمل پردازش بلاکچین است که سودی برای آنها در بر ندارد. در خصوص بیت کوین این موضوع با پاداش گرفتن شرکت‌کنندگان در فرایندها حل شده است اما چگونه می‌توان فرآیند مشابهی را برای بلاکچینی در نظر گرفت که تنها احراز هویت می‌کند و پاداشی در کار نیست؟ اگر بلاکچین بتواند بر این گونه چالش‌ها در آینده نزدیک غلبه پیدا کند، احتمالاً ابزار بزرگی برای احراز هویت در جهان خواهد شد. یک هویت دیجیتالی برای تمام خدمات در سراسر دنیا با بالاترین سطح از قدرت، امنیت و حمایت بلاکچین، امکان‌پذیر است.
 +
 
 +
===سامانه‌های احراز هویت در ایران===
 +
'''شاهکار'''
 +
 
 +
سامانه شاهکار، سامانه‌ای برای احراز هویت کاربران اینترنت در ایران است که توسط سازمان تنظیم و مقررات ارتباطات رادیویی تولید شده است. شاهکار وظیفه احراز هویت سرویس‌هایی از قبیل سیم‌کارت‌ها، خطوط ثابت تلفن و اشتراک‌های اینترنت، PAP و SAP، Mobile Wi-Fi و غیره را دارد و در راستای هدف افزایش امنیت در این سرویس‌ها راه‌اندازی شده است. در این سامانه کد ملی کاربر با شماره تلفن همراه او برای محرز کردن هویت تطبیق داده می‌شود.
 +
 
 +
'''شاکیلید'''
 +
 
 +
یکی از چالش‌های بانک‌ها در رابطه با ارائه خدمات الکترونیکی این است که چگونه می‌توانند سرویسی را به مشتری ارائه دهند؛ بدون اینکه به‌صورت فیزیکی او را درگیر کنند. در محصول شاکیلید شرکت آدانیک پلتفرمی شکل گرفته که روی آن خدمات احراز هویت بین بانک‌ها و کسب‌وکارها صورت می‌گیرد. هسته اصلی سامانه کیلید، امضای دیجیتال است؛ در واقع سامانه کیلید ابزاری برای شناسایی مشتری و سپس امضای دیجیتال است و از تلفن همراه به‌عنوان توکن استفاده می‌کند.
 +
 
 +
'''سرویس مانا'''
 +
 
 +
در بسیاری از فرایندهای پرداخت مجازی شماره همراه انجام‌دهنده تراکنش‌های مالی با شماره همراه ثبت شده و تخصیص یافته به کد ملی دارنده کارت بانکی مبدأ تراکنش، یکسان نیست. بانک مرکزی برای حل این مشکل سرویس مانا را برای احراز هویت کاربران آنلاین راه‌اندازی کرده است. این سرویس؛ شماره کارت، کد ملی و شماره موبایل کاربر را از او می‌گیرد، در ادامه از طریق سامانه شاهکار، تطابق مالکیت شماره موبایل با کد ملی کنترل شده و بررسی می‌شود که آیا شماره موبایل به همان کد ملی متعلق است یا خیر، سپس شماره کارت با کد ملی و شماره موبایل ثبت شده در بانک، مورد سنجش قرار می‌گیرد.
 +
 
 +
'''سامانه نهاب'''
 +
 
 +
از آنجایی برخی از بانک‌ها پایگاه داده مشخص و واحدی برای شناسایی مشتریانشان در اختیار نداشته‌اند، بانک مرکزی اجرای پروژه‌ای با عنوان نهاب را در دستور کار خود قرار داد. سامانه ملی «نهاب» یک سیستم یکپارچه حاوی اطلاعات هویتی مشتریان است که تخصیص شماره شناسایی منحصربه‌فرد برای هر یک از افراد جامعه را در شبکه بانکی میسر ساخته است. نهاب می‌تواند با اتصال آنلاین به پایگاه داده سازمان ثبت احوال، ثبت اسناد و خودکار کردن عملیات، موجب تسریع در روند ارائه خدمات و اعتبارسنجی دقیق می‌شود.
 +
 
 +
'''سامانه سجام'''
 +
 
 +
سامانه جامع ثبت اطلاعات مشتریان «سجام»، مسئولیت خودکار فرآیند جمع‌آوری و مدیریت اطلاعات فعالان بازار بورس و اوراق بهادار را بر عهده دارد. در سجام اطلاعات هویتی ثبت احوال، اطلاعات بانکی، اطلاعات پستی، آدرس و ایمیل و تلفن اخذ و راستی‌آزمایی می‌شود. با آغاز به کار این سامانه، دیگر از سهامداران فرمی برای احراز هویت دریافت نمی‌شود و در مقابل سرمایه‌گذاران با ثبت‌نام در این سامانه می‌توانند به کلیه خدمات بازار سرمایه دسترسی داشته باشند.
 +
 
 
{{عنوان|title=جستارهای وابسته|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}
 
{{عنوان|title=جستارهای وابسته|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}
−
{{عنوان|title=پانویس/ پاورقی|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}
+
{{عنوان|title=پانویس/ پاورقی|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}<references />
−
{{عنوان|title=منابع|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}<references />
+
{{عنوان|title=منابع|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}
  
 +
*<span dir="rtl" lang="en"><nowiki>http://www.differencebetween.net/technology/difference-between-authentication-and-authorization/</nowiki></span>
 +
*<span dir="rtl" lang="en"><nowiki>https://www.geekwire.com/2018/digital-authentication-human-beings-history-trust/</nowiki></span>
 +
*<span dir="rtl" lang="en"><nowiki>https://www.techopedia.com/definition/23915/digital-identity</nowiki></span>
 +
*<span dir="rtl" lang="en"><nowiki>https://www.techopedia.com/definition/342/authentication</nowiki></span>
 +
*<span dir="rtl" lang="en"><nowiki>https://searchsecurity.techtarget.com/definition/authentication</nowiki></span>
 +
*<span dir="rtl" lang="en"><nowiki>https://www.ffiec.gov/pdf/authentication_guidance.pdf</nowiki></span>
 +
*<span dir="rtl" lang="en"><nowiki>https://searchsecurity.techtarget.com/definition/authentication</nowiki></span>
 +
*<span dir="rtl" lang="en"><nowiki>https://hackernoon.com/blockchain-for-authentication-benefits-and-challenges-94a93f034f40</nowiki></span>
 +
*<span dir="rtl" lang="en"><nowiki>https://way2pay.ir/151592</nowiki></span>
 
{{عنوان|title=پیوند به بیرون|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}
 
{{عنوان|title=پیوند به بیرون|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}
 
{{عنوان|title=الگوهای ناوبری|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}
 
{{عنوان|title=الگوهای ناوبری|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}
 
{{عنوان|title=رده|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}
 
{{عنوان|title=رده|image=WikiMabnaa-icom.png|style=right: -3px;padding-top:-10px;}}

نسخهٔ ‏۳۰ ژوئیهٔ ۲۰۱۹، ساعت ۱۶:۲۴

مفهوم: فرآیند احراز هویت

والد: کارت پرداخت الکترونیکی

بعد: فرآیند

فرزند: احراز هویت چندعاملی،‌ احراز هویت دو‌عاملی، احراز هویت تک‌عاملی

لید

احراز هویت[۱] بخشی از فرآیندهای مربوط به پرداخت الکترونیکی است که در آن صحت هویت یک کاربر در زمان ورود به یک سیستم یا منبع اطلاعاتی تأیید می‌گردد.

تعریف به حد

احراز هویت بخشی از فرآیندهای مربوط به پرداخت الکترونیکی است که از سایر فرآیندهای مرتبط چون مجوزدهی[۲]، فرآیند تصفیه[۳] و فرایند تسویه[۴] متفاوت است.

وجوه افتراق یا شقوق مختلف

احراز هویت فرآیند تأیید هویت یک کاربر برای به دست آوردن نوعی گواهی‌نامه است که این گواهی‌نامه هویت یک کاربر را تأیید می‌کند. اگر گواهی‌نامه مزبور معتبر باشد، فرآیند کسب اجازه شروع می‌شود. فرآیند احراز هویت همواره به فرآیند کسب اجازه می‌انجامد. این در حالی است که در فرآیند مجوز دهی کاربرانی که هویتشان احراز شده است اجازه می یابند تا به منابع دسترسی پیدا کنند به این شرط که حق دسترسی به سیستم را داشته باشند. فرآیند مجوزدهی کمک می‌کند تا با اعطا و یا رد مجوزهای خاص برای کاربران احراز هویت‌شده، حق دسترسی‌ها کنترل شود. به عبارت دیگر هدف از احراز هویت تأیید صلاحیت است. نظیر آنچه در استفاده از نام کاربری و رمز عبور اتفاق می‌افتد در این فرآیند نیز هویت تأیید می‌شود. این فرآیند همچنین نباید با فرآیند شناسایی[۵] که در آن یک شناسه کاربری (ID) به یک انسان، یک کامپیوتر یا بخشی از یک شبکه اعطا می‌شود نیز اشتباه گرفته شود.

فهرست مطالب

تاریخچه احراز هویت

در طول زمان احراز هویت به مرور پیچیده‌تر شده است. هنگامی که شما واقعاً تعدادی از افراد را می‌شناسید، خیلی راحت می‌توانید با نگاه کردن به آنان هویت‌شان را احراز کنید. با این حال هرچه جامعه انسانی به تکامل بیشتری رسید، انسان‌ها مجبور شدند روش‌های جدیدی را برای احراز هویت افرادی که مستقیماً آنها را نمی‌شناختند، ایجاد کنند.

دهه ۱۹۶۰ میلادی: همه چیز با پسورد شروع شد

پسوردها یا همان رمزهای عبور اولین روشی بود که برای احراز هویت در کامپیوترها بیش از پنجاه سال پیش مورد استفاده قرار گرفت اما خیلی زود ضعف خود را نشان داد و مسائل متعددی را موجب شد. به تدریج متخصصان کامپیوتری متوجه این نیاز می‌شدند که پسوردها به تنهایی نمی‌توانند امنیت مورد نیاز آن‌ها را تأمین کنند.

دهه ۱۹۷۰: حفاظت از پسوردها با «سالت هش»

یکی دیگر از دوره‌های کلیدی برای احراز هویت دهه ۷۰ میلادی بود، وقتی که رابرت موریس محقق آزمایشگاه بل، راهی را برای بالا بردن امنیت پسورد در سیستم عامل لینوکس کشف کرد. موریس از یک مفهوم رمزنگاری به نام تابع هش استفاده کرد. در این روش کامپیوترها می‌توانستند بدون نیاز به ذخیره کردن پسورد واقعی، عبارات پیچیده و مبهمی (هش) را مورد تأیید قرار دهند. به طور خلاصه موریس سیستم‌های ذخیره پسورد مبتنی بر هش را در دهه ۷۰ توسعه داد که سیستم‌های احراز هویت را نسبت به قبل امن‌تر می‌کرد.

میانه دهه ۱۹۷۰: سطوح رمزنگاری کلید عمومی

علاوه بر هش‌ها، فناوری‌های رمزنگاری دیگری نیز وجود داشتند که برای احراز هویت مفید قلمداد می‌شدند. یکی از این تکنولوژی‌ها رمزنگاری کلید عمومی یا رمزنگاری نامتقارن بود. بدون وارد شدن به مسائل ریاضی که در پشت این موضوع قرار دارد، به طور مختصر این فناوری دو کلید را شامل می‌شود: کلید عمومی که شما می‌توانید با خیال راحت آن را با دیگران برای شناساندن خودتان به اشتراک بگذارید و یک کلید خصوصی که شما از آن برای تأیید هویت خودتان استفاده می‌کنید. یک گواهی دیجیتال (که گواهی هویت هم خوانده می‌شود) اساساً گواهی کلید عمومی شماست که توسط کلید خصوصی‌تان امضا شده است. این گواهی‌ها می‌تواند به عنوان فاکتورهای احراز هویت مورد استفاده قرار گیرد تا هویت آنلاین را معتبر سازد.

دهه ۱۹۸۰: ظهور پسوردهای یک بار مصرف (OTP)

هر چه سیستم‌های دیجیتالی بیشتر از پسوردها برای تأمین امنیت خود استفاده می‌کردند، هکرها نیز راه‌های بیشتری برای سوء استفاده از آن‌ها می‌یافتند. لذا اهالی صنعت دیجیتال به طور مستمر در جستجوی روش‌های جدید احراز هویت بودند تا امنیت سیستم‌های خود را افزایش دهند. در همین راستا پسوردهای یک بار مصرف ابداع شدند. از سال 1980 به بعد ما شاهد استانداردهای متفاوتی از OTP بودیم که در نهایت استاندارد OAuth رواج بیشتری پیدا کرد. در همین دوره بود که احراز هویت‌های دو یا چند عامله(2FA و MFA) نیز ظهور پیدا کردند. این دو نوع احراز هویت در کنار OTP به طور گسترده‌ای در کنار پسوردهای قدیمی مورد استفاده قرار گرفتند.

دهه ۱۹۹۰: زیرساخت کلید عمومی

زیرساخت کلید عمومی (PKI) مجموعه‌ فناوری‌ها و استانداردهایی است که ساخت، ذخیره‌سازی و توزیع کلیدها و گواهی‌های دیجیتال را مدیریت می‌کند. این زیرساخت اغلب به مراکز صدور گواهی متصل است که به منظور بررسی یک کلید عمومی منحصر بفرد متعلق به نهاد خاص مورد استفاده قرار می‌گیرد. زیرساخت کلید عمومی، گواهی‌های دیجیتال را که حاصل نگاشت کلیدهای عمومی به هویت افراد است، ایجاد کرده و این گواهی‌ها را در یک مخزن مرکزی، به‌طور امن نگهداری می‌کند و اگر لازم باشد، آن‌ها را باطل می‌کند.

میانه دهه ۱۹۹۰: کپچا[۶]

در اواسط دهه ۹۰ محققان تکنیک‌هایی را ابداع کردند تا بتوانند در محیط‌های دیجیتال انسان‌ها را از کامپیوترها تشخیص دهند. آن‌ها این تکنیک را کپچا نامیدند که از سرواژه‌های انگلیسی این عبارت ساخته شد: «آزمون همگانی کاملاً خودکار شده تورینگ برای مجزا کردن انسان و کامپیوتر». شما نمی‌توانید از کپچا برای احراز هویت افراد استفاده کنید اما می‌توانید به کمک آن از حملات هکرهایی که در صدد احراز هویت تقلبی هستند، در امان بمانید.

دهه ۲۰۰۰: تصویب احراز هویت چندعاملی (MFA)

زمان برای به کارگیری احراز هویت چندعاملی فرا رسیده بود. این نوع از احراز هویت از دهه ۸۰ به بعد به طور مستمر در حال تکامل بود اما در واقع در دهه ۲۰۰۰ بود که به محبوبیت رسید. همانطور که احتمالاً می‌دانید ما از فاکتورهای مختلفی برای احراز هویت استفاده می‌کنیم. این فاکتورها به سه دسته تقسیم می‌شوند: چیزی که شما «می‌دانید»، «دارید» یا «هستید». «چیزی که شما می‌دانید» نظیر رنگ مورد علاقه‌تان، یک پسورد، یک پین، یا یک رمز عبور یک بار مصرف. «چیزی که شما دارید» مانند یک سخت‌افزار خاص، یک گواهی دیجیتال، یک کارت هوشمند یا دستگاهی که حاوی گواهی دیجیتال است. و در نهایت «چیزی که شما هستید» نظیر چهره، عنبیه، اثرانگشت یا ضربان قلب. MFA روشی است که دو یا چند فاکتور احراز هویت را با یکدیگر ترکیب می‌کند تا شما بتوانید به صورت قوی‌تری افرادی که با آنها در ارتباط هستید را شناسایی و احراز هویت کنید. 2FA زیرمجموعه‌ای از MFA است که تنها دو فاکتور را در نظر می‌گیرد.

دهه ۲۰۱۰: عصر گوشی‌های هوشمند

در دهه ۲۰۱۰ بود که گوشی‌های هوشمند وارد بازار شدند و آینده احراز هویت را شکل دادند. ماهیت همه‌جا حاضر گوشی‌های هوشمند دو روش احراز هویتی که تا پیش از این کمتر مورد توجه قرار گرفته بودند را برجسته کرد: بیومتریک و 2FA.

امروز: احراز هویت چندعاملی قوی برای همه

دوره حاضر را به دلیل پایین آمدن هزینه و پیچیدگی می‌توان عصر MFA برای همه نام‌گذاری کرد. گوشی‌های هوشمند کلید اصلی پذیرش MFA برای مشتریان تلقی می‌شوند که با استفاده از آن‌ها می‌توان از راهکارهای مختلف احراز هویت از جمله گزینه‌های بیومتریک استفاده کرد. با استفاده از روش‌های مختلفی که احراز هویت چندعاملی در پیش روی ما قرار می‌دهد، هر فرد می‌تواند با استفاده از پسورد، یک توکن و حتی گزینه‌های بیومتریک احراز هویت قدرتمندی انجام دهد.

هویت دیجیتال

هویت دیجیتال یک هویت آنلاین یا شبکه‌ای است که توسط یک فرد، سازمان یا دستگاه الکترونیکی در فضای سایبری مورد استفاده قرار می‌گیرد. هویت دیجیتال همانند همتای غیردیجیتال آن، دارای ویژگی‌ها و اطلاعاتی است که در زیر آمده است:

  • نام کاربری و رمز عبور
  • فعالیت‌های جستجوی آنلاین، نظیر تراکنش‌های الکترونیکی
  • تاریخ تولد
  • شماره تأمین اجتماعی
  • سوابق پزشکی
  • سوابق خرید یا رفتار

احراز هویت و تضمین اطلاعات

در حوزه سیستم‌های کامپیوتری، احراز هویت فرآیندی است که هویت یک کاربر را تأیید و تضمین می‌کند. احراز هویت یکی از پنج ستون تضمین اطلاعات است. چهار ستون دیگر تمامیت، در دسترس بودن، محرمانگی و عدم انکار است.

احراز هویت هنگامی که یک کاربر در صدد دسترسی به اطلاعات است آغاز می‌شود. در ابتدا کاربر باید حق دسترسی و هویت خود را اثبات کند. هنگام ورود به سیستم کامپیوتر، کاربران معمولاً نام کاربری و رمز عبور خود را به منظور احراز هویت وارد می‌کنند. این شیوه باید برای هر کاربر اجرا شود تا احراز هویت حاصل شود.

هدف از احراز هویت

بسیاری از شرکت‌ها از احراز هویت برای اعتبارسنجی کاربرانی که به وب‌سایتشان وارد می‌شوند، استفاده می‌کنند. بدون اقدامات امنیتی مناسب، ممکن است داده‌های کاربران نظیر شماره کارت‌های اعتباری و کارت بدهی و همچنین شماره‌های تأمین اجتماعی به دست مجرمان سایبری بیفتد. سازمان‌ها همچنین از احراز هویت برای کنترل دسترسی کاربران به شبکه‌ها و منابع سازمانی استفاده می‌کنند و همچنین می‌توانند سطح دسترسی ماشین‌ها و سرورها را شناسایی و کنترل کنند. شرکت‌ها همچنین روش‌های احراز هویت را به کار می‌گیرند تا کارکنانی که دورکاری می‌کنند بتوانند به طور امن به اپلیکیشن‌ها و شبکه‌ها دسترسی پیدا کنند. برای شرکت‌ها و دیگر سازمان‌های بزرگ، احراز هویت ممکن است با استفاده از یک سیستم شناسایی یگانه[۷] انجام شود که دسترسی به سیستم‌های مرتبط دیگر را صرفاً با همان احراز هویت اولیه فراهم کند.

مؤسسات مالی که محصولات و خدمات مبتنی بر اینترنت به مشتریان خود ارائه می‌کنند، باید از روش‌های مؤثری برای احراز هویت مشتریان استفاده کنند. تکنیک‌های احراز هویتی که توسط مؤسسات مالی به کار گرفته می‌شود باید متناسب با ریسک و خطراتی باشد که محصولات و خدمات ارائه شده به همراه دارند. هر کجا ارزیابی ریسک نشان بدهد که استفاده از احراز هویت تک عاملی ناکافی است، مؤسسات مالی باید احراز هویت چندعاملی، امنیت لایه‌ای و دیگر کنترل‌هایی که به طور منطقی ریسک را کاهش می‌دهد را به کار گیرند. مؤسسات مالی باید به طور دوره‌ای اقدامات زیر را انجام دهند:

  • از برنامه امنیتی اطلاعات‌شان اطمینان حاصل کنند: شناسایی و ارزیابی ریسک‌های مرتبط با محصولات و خدمات مبتنی بر اینترنت و شناسایی اقدامات کاهش‌دهنده ریسک که شامل قدرت احراز هویت متناسب با محصولات و خدمات ارائه شده می‌شود. همچنین اندازه‌گیری و ارزیابی تلاش‌ها برای آگاه کردن مشتریان هم جزئی از این اقدامات است.
  • در صورت لزوم، برنامه امنیتی اطلاعات‌شان را با توجه به تغییرات مرتبط با فناوری، میزان حساسیت اطلاعات مشتریان و یا تهدیدهای داخلی و خارجی نسبت به اطلاعات، تنظیم کنند.
  • استراتژی‌های کاهش‌دهنده ریسک متناسب را به کار گیرند.

شیوه‌های احراز هویت

روش‌های احراز هویت به شرح زیر هستند:

توکن

مالک ابتدا خود را به توکن احراز هویت می‌کند و سپس توکن، مالک را برای استفاده از یک سیستم اطلاعاتی احراز هویت می‌کند. بنابراین توکنی که در احراز هویت الکترونیکی مورد استفاده قرار می‌گیرد، محرمانه است و باید از آن محافظت شود. مثلاً یک توکن ممکن است یک کلید رمزنگاری شده باشد که توسط یک پسورد محافظت شده است. یک هکر یا فرد متقلب برای سوء استفاده از توکن باید کلید رمزنگاری شده را سرقت کند و همچنین پسورد را بداند.

پسوردها و احراز هویت مبتنی بر پین (PIN)

پسوردها و پین‌ها در روش «چیزهایی که شما می‌دانید» طبقه‌بندی می‌شوند. ترکیبی از اعداد، نمادها و موارد دیگر که قوی‌تر از پسوردهایی هستند که صرفاً از حروف تشکیل شده‌اند. همچنین در انطباق با پروتکل امنیت لایه انتقال (TLS) و لایه سوکت‌های امن (SSL) یک کانال رمزنگاری شده در طول فرآیند انتقال اطلاعات ایجاد می‌شود و از اطلاعات محافظت می‌کند. در حال حاضر بیشتر حملات امنیتی بر روی سیستم‌های احراز هویت مبتنی بر پسورد انجام می‌شود.

احراز هویت دو عاملی (2FA)

احراز هویت دو عاملی یک لایه محافظتی دیگر را به فرایند احراز هویت اضافه می‌کند. سیستم‌های احراز هویت دو عاملی اغلب از کاربران می‌خواهند که کد تاییدی را که به شماره تلفن همراهی که پیش از این ثبت شده، پیامک شده یا کدی که توسط یک اپلیکیشن احراز هویت تولید شده را وارد کنند.

احراز هویت چندعاملی (MFA)

احراز هویت چندعاملی مستلزم آن است که کاربران با بیش از یک عامل (شامل عوامل بیومتریک نظیر اثر انگشت یا شناخت چهره، یک فاکتور مالکیتی نظیر یک کلید امنیتی، یا رمزی که توسط یک اپلیکیشن احراز هویت تولید شده) احراز هویت شوند.

رمز عبور یک بار مصرف

رمز عبور یک بار مصرف یک رشته از کاراکترها شامل اعداد یا حروف است که به صورت اتوماتیک تولید می‌شود. این رمزهای عبور فقط برای یک بار وارد شدن به سیستم یا انجام یک تراکنش استفاده می‌شوند. این نوع پسوردها اغلب برای کاربران جدید یا برای کاربرانی که رمز عبور خود را فراموش کرده‌اند و در صدد هستند تا به سیستم وارد شده و پسورد خود را تغییر دهند، مورد استفاده قرار می‌گیرند.

احراز هویت سه عاملی

احراز هویت سه عاملی نوعی از احراز هویت چندعاملی است که از سه فاکتور احراز هویت استفاده می‌کند. در این نوع احراز هویت معمولاً ترکیبی از یک فاکتور دانشی (پسورد) به همراه یک فاکتور مالکیتی (توکن امنیتی) و فاکتور ذاتی (بیومتریک) مورداستفاده قرار می‌گیرد.

بیومتریک‌ها

در حالیکه برخی سیستم‌های احراز هویت می‌توانند برای شناسایی منحصراً از فاکتورهای بیومتریک استفاده کنند، اما این فاکتورهای فیزیولوژیک معمولاً به عنوان فاکتور دوم و یا سوم احراز هویت مورد استفاده قرار می‌گیرند.

احراز هویت موبایلی

احراز هویت موبایلی فرایند تأیید کاربران از طریق دستگاه‌هایشان است و یا فرایند تأیید خود دستگاه‌هاست و به کاربران این امکان را می‌دهد تا از هر کجا به صورت امن به سیستم‌ها و منابع مختلف دسترسی داشته باشند. فرایند احراز هویت موبایلی جزئی از احراز هویت چندعاملی است که می‌تواند شامل رمزعبورهای یک بار مصرف، احراز هویت بیومتریک و یا تأیید کیوآرکد شود.

احراز هویت پیوسته

با به‌کارگیری احراز هویت پیوسته، به‌جای اینکه یک کاربر هر بار وارد سیستم شده و یا از آن خارج شود، یک اپلیکیشن به طور پیوسته امتیاز احراز هویت را محاسبه می‌کند و تشخیص می‌دهد که صاحب یک حساب همان شخصی است که دستگاه برای اوست.

احراز هویت API

روش‌های استانداردی که API را احراز هویت می‌کنند به این شرح هستند: احراز هویت پایه HTTP، کلیدهای API و OAuth.

نقش فناوری بلاکچین در آینده احراز هویت

کاربرد فناوری بلاکچین هنوز در مراحل اولیه قرار دارد اما به سرعت در حال پیشرفت است. بلاکچین برای بسیاری از بخش‌ها نظیر خرده‌فروشی، بانکداری، رأی‌گیری، بیمه و ...مفید است. یکی از جنبه‌های کاربرد بلاکچین، در نظر گرفتن آن به عنوان یک ابزار احراز هویت است. چه می‌شد اگر می‌توانستید با استفاده از فناوری بلاکچین ثابت کنید که دقیقاً همان شخصی هستید که هویت دیجیتالتان آن را ارائه می‌کند؟ آیا این راحت نخواهد بود که در جاهای مختلفی نظیر بانک، ادارات دولتی، فرودگاه‌ها و هر جایی که نیاز به اثبات هویت دارید، این نوع احراز هویت صورت گیرد؟ بلاکچین از یک جفت کلید برای کاربران استفاده می‌کند که هویتشان را ثبت کنند. اطلاعات شخصی به صورت هش ذخیره می‌شوند که می‌تواند برای چندین شناسه مرتبط با هویت، نظیر نام، شماره هویتی یکتا، شماره تأمین اجتماعی، اثر انگشت یا دیگر اطلاعات بیومتریک مورد استفاده قرار گیرند. پس از آن کاربر می‌تواند از یک طرف سوم شناخته‌شده درخواست کند که هش‌ها را تأیید و اعلام کند که اطلاعات موجود در بلاکچین صحیح است. بنابراین اکنون هر فردی که هویت کاربران را برای هر نوع مکانیسم شناسایی و احراز هویتی درخواست کند، آن‌ها می‌توانند از هش‌های بلوکی که قبلاً توسط یک طرف سوم شناخته شده مورد تأیید قرار گرفته استفاده کنند. با این حال چالش‌هایی در خصوص موضوعاتی که نیاز به سطح اعتماد بالایی بین طرفین دارد، به وجود می‌آید. مشکل دیگری که احراز هویت از طریق بلاکچین با آن رو به روست، لزوم درگیر شدن چندین شرکت‌کننده مستقل با عمل پردازش بلاکچین است که سودی برای آنها در بر ندارد. در خصوص بیت کوین این موضوع با پاداش گرفتن شرکت‌کنندگان در فرایندها حل شده است اما چگونه می‌توان فرآیند مشابهی را برای بلاکچینی در نظر گرفت که تنها احراز هویت می‌کند و پاداشی در کار نیست؟ اگر بلاکچین بتواند بر این گونه چالش‌ها در آینده نزدیک غلبه پیدا کند، احتمالاً ابزار بزرگی برای احراز هویت در جهان خواهد شد. یک هویت دیجیتالی برای تمام خدمات در سراسر دنیا با بالاترین سطح از قدرت، امنیت و حمایت بلاکچین، امکان‌پذیر است.

سامانه‌های احراز هویت در ایران

شاهکار

سامانه شاهکار، سامانه‌ای برای احراز هویت کاربران اینترنت در ایران است که توسط سازمان تنظیم و مقررات ارتباطات رادیویی تولید شده است. شاهکار وظیفه احراز هویت سرویس‌هایی از قبیل سیم‌کارت‌ها، خطوط ثابت تلفن و اشتراک‌های اینترنت، PAP و SAP، Mobile Wi-Fi و غیره را دارد و در راستای هدف افزایش امنیت در این سرویس‌ها راه‌اندازی شده است. در این سامانه کد ملی کاربر با شماره تلفن همراه او برای محرز کردن هویت تطبیق داده می‌شود.

شاکیلید

یکی از چالش‌های بانک‌ها در رابطه با ارائه خدمات الکترونیکی این است که چگونه می‌توانند سرویسی را به مشتری ارائه دهند؛ بدون اینکه به‌صورت فیزیکی او را درگیر کنند. در محصول شاکیلید شرکت آدانیک پلتفرمی شکل گرفته که روی آن خدمات احراز هویت بین بانک‌ها و کسب‌وکارها صورت می‌گیرد. هسته اصلی سامانه کیلید، امضای دیجیتال است؛ در واقع سامانه کیلید ابزاری برای شناسایی مشتری و سپس امضای دیجیتال است و از تلفن همراه به‌عنوان توکن استفاده می‌کند.

سرویس مانا

در بسیاری از فرایندهای پرداخت مجازی شماره همراه انجام‌دهنده تراکنش‌های مالی با شماره همراه ثبت شده و تخصیص یافته به کد ملی دارنده کارت بانکی مبدأ تراکنش، یکسان نیست. بانک مرکزی برای حل این مشکل سرویس مانا را برای احراز هویت کاربران آنلاین راه‌اندازی کرده است. این سرویس؛ شماره کارت، کد ملی و شماره موبایل کاربر را از او می‌گیرد، در ادامه از طریق سامانه شاهکار، تطابق مالکیت شماره موبایل با کد ملی کنترل شده و بررسی می‌شود که آیا شماره موبایل به همان کد ملی متعلق است یا خیر، سپس شماره کارت با کد ملی و شماره موبایل ثبت شده در بانک، مورد سنجش قرار می‌گیرد.

سامانه نهاب

از آنجایی برخی از بانک‌ها پایگاه داده مشخص و واحدی برای شناسایی مشتریانشان در اختیار نداشته‌اند، بانک مرکزی اجرای پروژه‌ای با عنوان نهاب را در دستور کار خود قرار داد. سامانه ملی «نهاب» یک سیستم یکپارچه حاوی اطلاعات هویتی مشتریان است که تخصیص شماره شناسایی منحصربه‌فرد برای هر یک از افراد جامعه را در شبکه بانکی میسر ساخته است. نهاب می‌تواند با اتصال آنلاین به پایگاه داده سازمان ثبت احوال، ثبت اسناد و خودکار کردن عملیات، موجب تسریع در روند ارائه خدمات و اعتبارسنجی دقیق می‌شود.

سامانه سجام

سامانه جامع ثبت اطلاعات مشتریان «سجام»، مسئولیت خودکار فرآیند جمع‌آوری و مدیریت اطلاعات فعالان بازار بورس و اوراق بهادار را بر عهده دارد. در سجام اطلاعات هویتی ثبت احوال، اطلاعات بانکی، اطلاعات پستی، آدرس و ایمیل و تلفن اخذ و راستی‌آزمایی می‌شود. با آغاز به کار این سامانه، دیگر از سهامداران فرمی برای احراز هویت دریافت نمی‌شود و در مقابل سرمایه‌گذاران با ثبت‌نام در این سامانه می‌توانند به کلیه خدمات بازار سرمایه دسترسی داشته باشند.

جستارهای وابسته

پانویس/ پاورقی

  1. ↑ Authentication
  2. ↑ Authorization
  3. ↑ Clearing
  4. ↑ Settlement
  5. ↑ Identification
  6. ↑ CAPTCHAs
  7. ↑ single sign-on

منابع

  • http://www.differencebetween.net/technology/difference-between-authentication-and-authorization/
  • https://www.geekwire.com/2018/digital-authentication-human-beings-history-trust/
  • https://www.techopedia.com/definition/23915/digital-identity
  • https://www.techopedia.com/definition/342/authentication
  • https://searchsecurity.techtarget.com/definition/authentication
  • https://www.ffiec.gov/pdf/authentication_guidance.pdf
  • https://searchsecurity.techtarget.com/definition/authentication
  • https://hackernoon.com/blockchain-for-authentication-benefits-and-challenges-94a93f034f40
  • https://way2pay.ir/151592

پیوند به بیرون

الگوهای ناوبری

رده

برگرفته از «https://www.bankipedia.ir/index.php?title=نوشتار_محتوا:فرایند_احراز_هویت_(Authentication)&oldid=2451»