Системы цифровой идентификации очень важны, когда речь идет о том, чтобы определить себя в цифровом мире, который столь же реален, как и физический мир, и на самом деле влияет на нас очень прямым образом. Именно по этой причине строительство проверка цифровой идентичности а также аутентификация цифрового идентификатора услуги больше не являются необязательной проблемой. В США существует широкий консенсус в отношении того, что цифровая идентификация и аутентификация являются основа безопасности в Интернете и быстро становятся приоритетом национальной безопасности. Стартовые версии таких служб, которые в настоящее время доступны, предоставляют службы удостоверения личности, которые используются различными системами, чтобы обеспечить некоторую форму авторизации (физическую или логическую).
Что такое цифровая идентичность
Цифровая идентификация - это информация о человеке или организации, используемой компьютерными системами для представления ее киберпространству. Проще говоря, это онлайн-эквивалент подлинной личности человека или организации.
Читать: Кража личных данных: предотвращение и защита.
Руководства по цифровой идентификации
Национальный институт стандартов и технологий (NIST) уже давно признан авторитетным справочным источником в отношении рекомендаций по проверке достоверности данных.
Недавно NIST выпустила NIST SP 800-63, который теперь называется Руководства по цифровой идентификации после нескольких месяцев общественного обзора. Этот четырехтомный пакет предоставляет технические рекомендации для организаций, которые используют услуги цифровой идентификации. Новый документ обновляет прежние стандарты и расширяет их, чтобы идентифицировать идентификацию и аутентификацию как услугу, предлагая концепции и язык, необходимые для надлежащего ухода и питания цифровых идентификаторов - то, что большинство экспертов в отрасли называют разумные расходы долларов налогоплательщика.
Впервые выпущенный в 2003 году, SP 800-63 является известным документом NIST, в котором представлены четыре уровня требований к цифровому удостоверению личности (LOA) - LOA 1, 2, 3 и 4 - как указано в M-04-04 OMB, E-Authentication Guidance для федеральных агентств.
Основной целью этого нового издания 800-63, его третьей итерации, является устранение ошибок LOA, чтобы превратить концепцию в нечто более значимое с помощью современных процессов идентификации как для частного, так и для государственного сектора.
Короче говоря, в новом документе были внесены следующие основные изменения:
Новый документ отделил LOAS в основном от компонентов, чтобы гарантировать, что любая инициатива аутентификации может быть оценена как 1, 2 или 3 для одной грани и совершенно другой класс для другой грани, а не как общее число, такое как LOA 3. В в двух словах новый SP 800-63 разбивает схему ранжирования на три сегмента:
- Регистрация и удостоверение личности (SP 800-63A)
- Аутентификация и управление жизненным циклом (SP 800-63B)
- Федерация и утверждения (SP 800-63C)
Согласно новому 800-63-3, как предлагается, будет предоставлено в основном 3 разряда: уровень уверенности в федерации (FAL), уровень достоверности аутентификации (AAL) и уровень удостоверения личности (IAL).
Уровни достоверности цифровых удостоверений (IAL):
- IAL1 - Самостоятельно; связывание заявителя с какой-либо конкретной реальной личностью не требуется.
- IAL2 - реальное существование заявленного лица подтверждается доказательствами; либо физически присутствующей, либо дистанционной проверки подлинности.
- 4ILA3 - Идентификационная проверка требует физического присутствия. Обученный и уполномоченный представитель должен определить атрибуты.
Уровень достоверности аутентификации (AAL):
- AAL1 - предлагает любую уверенность в том, что фактический истец находится под контролем аутентификатора; требуется как минимум однофакторная аутентификация.
- AAL2 - предлагает уверенную уверенность в том, что заявитель контролирует аутентификаторов; требует двух разных факторов аутентификации; требует одобренных криптографических методов.
- AAL3 - предлагает чрезвычайно сильную уверенность в том, что заявитель контролирует аутентификаторов; для аутентификации требуется подтверждение наличия ключа через криптографический протокол; нужен «жесткий» криптографический аутентификатор.
Уровень гарантии федерации (FAL):
- FAL1 - Разрешает включение RP абонентом для получения подтверждения на предъявителя.
- FAL2 - устанавливает условие, что утверждение должно быть зашифровано таким образом, чтобы единственной стороной, которая может его расшифровать, должен быть RP.
- FAL3 - требует, чтобы подписчик представил доказательство контроля криптографического ключа, на который ссылаются в утверждении, а также артефакт утверждения.
Основные изменения в отношении SP 800-63A:
- Допустимый процесс проверки идентичности обновляется.
- Расширяются опции проверки личности.
SP 800-63B
- Руководство по паролю было пересмотрено.
- Небезопасные аутентификаторы удаляются.
- Допустимое использование биометрии расширяется.
SP 800-63C
- Добавлены новые рекомендации и требования федерации.
- Файлы cookie как тип утверждения удалены.
Полная информация может быть предоставлена при nist.gov.
