Authenticatieprotocollen

Authenticatieprotocollen zijn mechanismen die verifiëren dat een entiteit, zoals een persoon, apparaat of dienst, daadwerkelijk is wie hij zegt te zijn bij het openen van een systeem of applicatie. Ze zorgen voor identiteitstoegang en vormen een basislaag naast autorisatie, die bepaalt welke acties de entiteit mag uitvoeren na verificatie. Authenticatie kan plaatsvinden met meerdere factoren, zoals kennis (wachtwoorden), bezit (tokens, smartcards) en inherente kenmerken (biometrie).

Veelgebruikte authenticatieprotocollen en -stijlen zijn onder andere open standaarden voor web- en netwerktoepassingen. OpenID Connect (authenticatielaag boven OAuth 2.0) en SAML 2.0 leveren assertions van identiteit voor single sign-on. Kerberos wordt veel gebruikt binnen bedrijfsnetwerken voor wederzijdse verificatie. Voor netwerktoegang worden RADIUS en EAP gebruikt, vaak in WLAN-omgevingen. Voor machine- en serviceauthenticatie komen TLS met clientcertificaten en SSH-authenticatie veel voor.

Een veelvoorkomende werkwijze is de uitwisseling van een verificatieclaim of token. De gebruiker voert credentials in, de identiteitsprovider verifieert deze en geeft een verifieerbaar token of SAML-/JWT-assertie terug. Dit token bevat informatie over de identiteit en, bij OpenID Connect, scopes en vervaldatum. De ontvanger valideert het token en verleent toegang op basis daarvan.

Beveiligingspraktijken omvatten meervoudige-factor-authenticatie, korte tokenlevensduur, PKI- en TLS-afdwinging, geheimhoudingsbeheer en regelmatige rotatie van sleutels. Het voorkomen van verlies van tokens, bescherming tegen phishing en sterke vernieuwingsprocessen zijn cruciaal. Daarnaast is revocation en logging belangrijk voor incidentrespons en forensisch onderzoek.

Authenticatieprotocollen worden ondersteund door normen en organisaties zoals IETF, OASIS en de OpenID Foundation. De keuze hangt af van context, interoperabiliteit en beveiligingsvereisten, waarbij vaak een combinatie van federatie (SAML/OIDC) en netwerktoegangstechnieken (RADIUS, EAP) wordt toegepast.