Autentiseringsløp

Autentiseringsløp er sekvensen av trinn et datasystem følger for å verifisere en brukers identitet før tilgang til en ressurs gis. Hovedformålet er å sikre at den som ber om tilgang, virkelig er den påståtte identiteten, og å etablere en sikker brukersesjon. Løpet involverer ofte en klientapplikasjon, en identitetsleverandør og en ressursbeskytter.

Karakteristiske roller inkluderer klienten (applikasjonen som ber om tilgang), identitetsleverandøren (IdP) som autentiserer brukeren, og ressursserveren som beskytter ressursen. Typisk forløp: brukeren ber om tilgang, klienten omdirigerer til IdP, brukeren autentiserer seg, IdP utsteder en attest eller token, og klienten bruker denne til å få tilgang eller opprette en sesjon hos ressursserveren.

Metoder og arkitekturer varierer. Tradisjonell passordbasert innlogging bruker noe brukeren vet, ofte supplert med multifaktorautentisering (MFA). Passordløs autentisering kan benytte lenker, biometriske faktorer eller sikkerhetsnøkler (FIDO2/WebAuthn). Federated autentisering gjør at brukeren autentiserer seg hos en ekstern IdP ved hjelp av standarder som OAuth 2.0, OpenID Connect og SAML 2.0, og får tilgang til flere tjenester uten å logge inn separat hos hver enkelt.

Security og brukervennlighet er viktige hensyn. Transportlaget bør være kryptert (TLS). MFA og phishing-resistense trenger sterkere faktorer som hardware-nøkler eller biometri. Rollen til PKCE er viktig i offentlige klienter for å forhindre register- og tokentyveri. God praksis inkluderer riktig sesjonsstyring, kortvarige tilgangstokens, og sikre mekanismer for utlogging og gjenoppretting av konto.

Autentiseringsløp er en del av identitets- og tilgangsstyring (IAM). Relevante standarder inkluderer SAML 2.0, OAuth 2.0, OpenID Connect og WebAuthn/FIDO2. Løsninger bør designes med prinsipper om minste privilegium, tilgjengelighet og tydelig dokumenterte policyer for faktortyper og tokenlevetid. Se også IAM og tilgangskontroll.