autentiseringprosess

Autentiseringsprosessen har som formål å bekrefte identiteten til en enhet eller bruker som prøver å få tilgang til et system eller en tjeneste. Formålet er å avgjøre om påstandene om identitet er gyldige og derfor om personen eller enheten kan få tilgang.

Den består vanligvis av identifikasjon, autentisering og autorisasjon. Identifikasjonen innebærer at systemet mottar en identitetspåstand, for eksempel et brukernavn. Autentisering er selve beviset på identiteten, som kan gjøres via noe brukeren vet (passord), noe brukeren har (token eller smartkort), eller noe brukeren er (biometri). Autorisasjon skjer etter vellykket autentisering og bestemmer hvilke ressurser og handlinger som er tillatt.

I praksis etableres ofte en sesjon eller et tilgangstoken etter autentisering, slik at klienten kan få tilgang til beskyttede ressurser uten å gjenta autentiseringen ved hver forespørsel.

Vanlige metoder og standarder inkluderer passordbasert autentisering, tofaktorautentisering (faktorene noe du vet, noe du har, noe du er), og moderne mekanismer som OAuth 2.0, OpenID Connect og SAML for utveksling av identitetsinformasjon mellom identitetsleverandører og applikasjoner. Sikker kommunikasjon skjer vanligvis over TLS, og passord bør lagres sikkert med hashing og salting.

Risikofaktorer inkluderer phishing, gjenbruk av påloggingsinformasjon og svake passord. For å redusere risiko anbefales prinsippet om minste privilegium, regelmessig evaluering av autentiseringspolicyer og overvåking av uvanlig påloggingsaktivitet.