Autentiseringskrav

Autentiseringskrav er de krav et system setter for å verifisere identiteten til en bruker eller enhet før tilgang blir tillatt. Kravene beskriver hvilke metoder og mekanismer som aksepteres, hvordan identiteten skal bekreftes, og i hvilke situasjoner autentisering må gjennomføres.

Grunnlaget for autentisering er identifisering av faktorer som bekrefter identiteten. Faktorer deles vanligvis inn i kunnskap (noe brukeren vet, for eksempel et passord), eiendom (noe brukeren har, som en token eller mobiltelefon), og biometrikk (noe brukeren er, som fingeravtrykk). Moderne løsninger bruker ofte flere faktorer (multifaktorautentisering, MFA) for å redusere risiko.

Vanlige autentiseringsmetoder inkluderer passord, tidsbegrensede engangskoder, hardware tokens og sertifikater, samt biometriske data. Nye metoder som WebAuthn og FIDO2 muliggjør passordløse eller svært phishing-resistente løsninger og brukes ofte i moderne applikasjoner.

Autentisering er en del av tilgangskontroll og bør utformes med personvern og sikkerhet i tankene. Bruk av MFA, riktig håndtering av passord og sikre lagringsmetoder (for eksempel hashing og salting) er viktige. Lagring av biometriske data krever streng beskyttelse og samsvar med regler som GDPR.

Praktiske hensyn inkluderer brukervennlighet, risikoanalyse og evne til å håndtere tap, utløpte enheter og kontogjennomgang. Organisasjoner bør spesifisere klare autentiseringskrav for ulike applikasjoner og implementere fallback- og gjenopprettingsplaner.

Relevante standarder og rammeverk inkluderer NIST SP 800-63 Digital Identity Guidelines, FIDO2/WebAuthn for sterke autentiseringsløsninger, og OpenID Connect/OAuth 2.0 for identitet og pålogging i skytjenester.