احراز هویت فرآیندی است که طی آن درستی هویت یک فرد شناسایی و تأیید می‌گردد. بنابراین زمانی که کاربر بخواهد وارد سیستم شود و یا به منبعی دسترسی پیدا کند، ابتدا باید خود را اثبات کند.
فرض کنید میخواهید از خدمات بانکی که قبلا در آن افتتاح حساب انجام دادید استفاده کنید. مثلا میخواهید انتقال وجه انجام بدهید. برای این منظور شما به یک دستگاه عابربانک مراجعه می‌کنید و کارت بانکی خود را وارد دستگاه می‌کنید و توسط اطلاعات آن کارت، بانک شناسایی می‌کند که صاحب کارت چه کسی هست؟ حال در این مرحله برای استفاده از کارت بانکی خود، باید اثبات کنید کسی که از کارت شما استفاده می‌کند خود شما هستید و این را با وارد کردن رمز ۴ رقمی خود اثبات می‌کنید. به این فرآیند وارد کردن رمز عبور برای اثبات مالکیت کارت اعتباری احراز هویت می‌گویند. و شما باید در هر نوبت که میخواهید از خدمات آن بانک استفاده کنید باید احراز هویت شوید.
تفاوت شناسایی (Identification) و احراز هویت (Authentication)
اولین گام برای معرفی یک کاربر به یک سیستم یا منبع اطلاعاتی در سامانه‌های دیجیتالی، تعریف هویت کاربر در سیستم است. هر کاربر با اطلاعاتی منحصر به فرد تحت عنوان هویت نامه در سیستم ثبت و شناسایی می‌گردد. برای مثال، در پروسه افتتاح حساب بانکی، کاربر اطلاعات هویتی خود را به بانک ارائه می‌کند و بانک براساس این اطلاعات، یک هویت منحصربه فرد برای مشتری ایجاد می‌کند.
در مثال بانک، فرض کنید شما در آن بانک افتتاح حساب انجام نداده‌اید و برای اولین بار میخواهید از خدمات آن بانک استفاده کنید. برای این منظور در مرحله افتتاح حساب شما باید هویت خود را به بانک اعلام کنید. به عبارت دیگر بانک باید بداند که شما چه کسی هستید؟ شما با حضور در شعبه بانک و ارائه مدارک شناسایی، هویت خود را معرفی می‌کنید و اصطلاحا بانک هویت شما را شناسایی می‌کند. به این فرآیند در ارائه خدمات، شناسایی مشتری یا Identification می‌گویند.
شناسایی مشتری در هر تراکنش بعد از آن نیز اتفاق می‌افتد. در مثال انتقال وجه، زمانی که شما کارت بانکی خود را وارد عابربانک می‌کنید، سیستم بانک با استفاده از اطلاعات کارت شما، هویت شما را شناسایی می‌کند (شناسایی مشتری) و با وارد کردن رمز توسط شما، می‌فهمد که کسی که از کارت شما استفاده می‌کند خود شما هستید (احراز هویت).
تشخیص تفاوت بین شناسایی و احراز هویت زیاد ساده نیست. بخصوص زمانی که این دو در یک تراکنش باشند. ممکن است این دو مترادف به نظر بیایند اما کارکردشان متفاوت است. مهمترین تفاوت بین آنها، این است که شناسایی مربوط به تدارک یک هویت است درحالی‌که احراز هویت، تحصیل اطمینان از اصل یا جعلی بودن هویت است. به بیان ساده‌تر، شناسایی شامل پروسه ثبت یک هویت و احراز هویت شامل پروسه راستی آزمایی آن هویت است.
برای مثال، هنگامی که نام کاربری خود را در صفحه ورود به سیستم وارد می‌کنید، شناسایی صورت می‌گیرد، زیرا ادعا کرده‌اید که آن شخص هستید ، در حالی که احراز هویت پس از وارد کردن رمز ورود و زدن دکمه “ورود” صورت می گیرد ، در این زمان اعتبار ادعای شما برای نام کاربری استنباط می‌شود.
طبقه بندی فاکتورهای احراز هویت یا Authentication
۱.چیزی که شما می دانید
اطلاعاتی که شما دارید و در حافظه شماست، مانند رمز عبور. در این نوع احراز هویت، تنها عاملی که برای تأیید هویت یک فرد لازم است دانستن اطلاعاتی نظیر نام کاربری و رمز عبور است. این روش علی‌رغم پیاده‌سازی آسان، امنیت بسیار پایینی دارد.
در این روش به دلیل استفاده از اطلاعات ثابت (نام کاربری و رمز عبور) ممکن است اطلاعات از راههای گوناگون در اختیار افراد سودجو قرار گیرد. انتخاب رمز عبور مناسب و حفظ آن میتواند امنیت این روش را کمی ارتقا دهد.
۲.چیزی که شما دارید
به این معناست که شما دارای یک دستگاه فیزیکی هستید که این دستگاه شما را احراز هویت می کند و شما نیازی به حفظ کردن چیزی ندارید و صرفا با داشتن این دستگاه احراز هویت خواهید شد، از نمونه های این دستگاه ها می توان به کارت های هوشمند، توکن های امنیتی و … اشاره کرد. مشکل اصلی این روش این است که ممکن است کارت خود را گم کنید یا حتی احتمال کپی برداری از کارت مورد نظر نیز وجود دارد. پس حتی با داشتن یک کارت شناسایی گم شده نیز امکان جعل هویت وجود دارد. مانند کیف پول‌های سخت‌افزاری.
۳.جایی که شما هستید
مواردی مانند آدرس فیزیکی که ترمینالی است و از آن برای درخواست ورود استفاده می‌کنید. این ترمینال میتواند شماره تلفن مکانی باشد که از آنجا تماس می‌گیرید. مانند استفاده از شماره‌تلفن ثابت جهت احراز هویت دو مرحله‌ای مشتری توسط بانک.
۴.چیزی که شما هستید
در این روش، احراز هویت مبتنی بر ویژگی‌های بیومتریک و منحصر به فرد افراد است. مواردی چون اثر انگشت، تشخیص چهره، DNA و اطلاعاتی از این دست که از آنها برای احراز هویت بهره می‌گیرد. امروزه بیشتر موبایل‌های هوشمند یا حتی دستگاه‌های حضور و غیاب سازمان‌ها از اثر انگشت یا تشخیص چهره برای احراز هویت بهره می‌برند.
۵.رفتاری که شما دارید
این روش احراز هویت هم به نوعی زیر مجموعه اطلاعات بیومتریک است که برای هر فرد منحصر به فرد است. الگوی صحبت کردن، سرعت و روش تایپ کردن و یا حرکت چشم‌ها و به طور کلی هر رفتاری که منحصر به خود شماست بررسی و تحلیل می‌شود و با استفاده از فناوری یادگیری ژرف و اطلاعاتی که از قبل از رفتار شما در سیستم ثبت شده است مقایسه می گردد. استفاده از این روش کمی پیچیده است اما این مشکل در برخی پلتفرم‌ها مانند UID حل شده است. وجه تمایز این روش امنیت بسیار بالای آن نسبت به روشهای قبل است.
برای مثال، برای ورود به حساب کاربری خود در بانک، با استفاده از ویژگی‌های بیومتریک صورت توسط پلتفرم UID احراز هویت می‌شوید. بنابراین امکان جعل ویژگی‌های منحصربفرد شما وجود ندارد و این پلتفرم تصویر زنده را از تصویر جعلی تشخیص می‌دهد. این تشخیص با استفاده از هوش مصنوعی انجام می‌پذیرد و دقت بسیار بالایی دارد.
تفاوت احراز هویت و اجازه دسترسی
زمانی که از شناسایی هویت سخن به میان می‌آید، در مورد عملکرد شناسایی و تایید شخصی است که ادعای اصل بودن هویت خود را دارد. بیشترین و معمول‌ترین مثال در این مورد، استفاده از نام کاربری و رمز عبور برای دسترسی به یک سرویس است.
با این وجود، برخی در مورد تفاوت دو مفهوم اجازه دسترسی و احراز هویت دچار سردرگمی یا اشتباه می‌شوند. اما این دو، ایده‌های کاملا مستقل از هم هستند و درک تفاوت آنها ضروری است.
احراز هویت به شناسایی و تایید ورود کاربر به حساب خود توسط سیستم گفته می‌شود. در حالی که اجازه دسترسی زمانی است که سیستم در میان جوازهای کنترل دسترسی به جست و جو می‌پردازد تا به کاربر اجازه مشاهده، ویرایش، پاکسازی یا ایجاد محتوا را صادر کند.
احراز هویت دو عاملی و چند عاملی
احراز هویت دو عاملی(۲FA)
در این روش از یک عامل “چیزی که شما می‌دانید” مانند رمز عبور و یکی از عوامل دیگر مانند “چیزی که شما هستید” برای شناسایی استفاده می‌شود. برای مثال بعد از وارد کردن رمز عبور توسط کاربر ، اثر انگشت او نیز باید تایید شود. احراز هویت دو عاملی(۲FA) یک لایه اضافی از امنیت است که برای اطمینان از اصالت کاربر استفاده می‌شود.
با ۲FA پتانسیل به خطر افتادن حساب کاربری با از دست رفتن یکی از این اطلاعات، از بین می‌رود. بنابراین حتی اگر رمز عبور کاربر دزدیده شود، شانس کلاهبرداران برای بدست آوردن اطلاعات دوم کاربر دور از دسترس است.
انواع روشهای دوعاملی
مسلما همه ۲FAها مثل هم نیستند. چند مدل از آنها به کار برده می‌شوند. بعضی از آنها نسبت به بقیه قویتر و پیچیده‌تر هستند. در هر حال استفاده از هر کدام از آنها از رمز عبور تنها، بهتر است. بیایید چند نمونه از ۲FAها را بررسی کنیم.
توکن‌های سخت‌افزاری برای دوعاملی: این روش احتمالا قدیمی‌ترین فرم ۲FA است. توکن‌های سخت افزاری کوچک هستند و هر سی ثانیه یک کد عددی تولید می‌کنند. زمانی که یک کاربر سعی می‌کند به حسابی وارد شود، نگاهی به سخت‌افزار انداخته و کد تولید شده را در سایت یا اپلیکیشن وارد می‌کنند. نمونه دیگری از توکن‌های سخت‌افزاری، به محض وصل شدن به رایانه، کد را به صورت خودکار انتقال می‌دهند.
احراز هویت دوعاملی برپایه پیام کوتاه و صوت: این روش مستقیما با گوشی کاربر تعامل دارد. سایت پس از دریافت نام کاربری و رمز عبور، از طریق پیام کوتاه، یک کد عبور منحصر به فرد یکبارمصرف(OTP) به کاربر ارسال می‌کند. مانند مورد توکن سخت‌افزاری، کاربر باید کد ارسال‌شده را وارد سایت کند. به صورت مشابه، در ۲FA برپایه صوت، به صورت خودکار با کاربر تماس گرفته شده و کد ورود یکبارمصرف در اختیار او گذاشته می‌شود. این روش هنوز در کشورهایی که گوشی هوشمند در آنها گران است یا شبکه‌های اینترنت موبایلی ضعیفی دارند، استفاده می‌شود.
ارسال اعلان‌هایی برای احراز هویت دوعاملی: به جای استفاده از توکن و دریافت کد یکبارمصرف، وبسایت‌ها و اپلیکیشن‌ها می‌توانند اعلان یا هشداری برای کاربر با مضمون اعلان هشدار برای اینکه شخصی سعی در ورود به حساب کاربری آنها دارد، بفرستند. کاربر میتواند با توجه به جزئیات هشدار، با یک کلیک کوچک، این ورود را تایید یا رد کند. این روش نیازی به رمز عبور یا کد یکبارمصرف ندارد.
به نظر این روش از روشهای قبلی بهتر است. اما باید به این نکته توجه کرد که هر شخصی که گوشی کاربر را در اختیار داشته باشد میتواند ورود را تایید یا رد کند. بنابراین این روش از امنیت بالایی برخوردار نیست.
احراز هویت چند عاملی(MFA)
برخلاف تایید هویت دوعاملی، این روش بر عامل اول یعنی “آنچه که شما می‌دانید” تاکید ندارد و عوامل مختلف را ترکیب می‌کند.
بنابراین امنیت ورود و خروج کاربر افزایش بسیار چشمگیری پیدا می‌کند. رمزهای عبور به راحتی می‌توانند در معرض خطر قرار بگیرند. MFA با ارائه روشهای چندگانه احراز یا اصالت سنجی هویت و با ترکیب چند عامل، امنیت حساب کاربری را بالا می‌برد. این روش، همزمان با استفاده از یک عامل، از عوامل دیگری نیز مانند “آنچه که شما هستید” و “رفتاری که شما دارید” استفاده می‌کند.
روشهای تایید هویت چندعاملی امروزی، به دلیل امنیت بسیار بالای دو عامل “آنچه که شما هستید” و “رفتاری که شما دارید” بر این دو عامل تمرکز دارند.
مزایای احراز هویت چندعاملی
سهولت استفاده : برای استفاده از این روش نیازی به انجام کارهای پیچیده از سوی کاربر نیست و کاربر با ویژگی‌های ذاتی و منحصربه فرد و رفتار خود احراز هویت می‌شود.
امنیت بالا: با استفاده از چند عامل منحصربه فرد کاربران، امنیت حساب آنها به میزان ۹۹.۹% می‌سد. مسلما این عدد برای کلاهبرداران و مجرمان ناخوشایند است. استفاده از ویژگی‌های بیومتریک برای ورود و خروج بخاطر امنیت بالا بسیار پرطرفدار شده است.
انجام پروسه بدون دخالت کاربر: این روش، امنیت و دسترسی یکپارچه به تمام اپلیکیشن‌ها و سایتها را بدون نیاز به خاطر سپردن چیزی به کاربر به ارمغان می‌اورد.
احراز هویت غیرحضوری (Remote Authentication)
احراز هویت با استفاده از ابزار الکترونیکی و در موارد پیشرفته همراه با استفاده از هوش مصنوعی به منظور تایید هویت کاربر، احراز هویت غیرحضوری است. احراز هویت به صورت غیرحضوری مزایای زیادی دارد که در شرایط کنونی جامعه به صورت ملموس حس می‌شود.
با توجه به شیوع بیماری کرونا و شروع قرنطینه‌های سراسری در دنیا، انجام امور مالی و اداری مردم وارد فاز جدیدی شد. مراجعه‌کنندگان و کسب و کارها به دلیل خطر ابتلا به کووید۱۹، با چالشی جدی روبرو شدند. در نتیجه اقبال جامعه به سمت احراز هویت غیرحضوری افزایش چشمگیری پیدا کرد. تاثیر این شرایط بر کشور ما به دلیل تب بازار بورس و ابلاغیه سازمان بورس جهت اعطای مجوز به شرکت‌ها جهت احراز هویت غیرحضوری چند برابر شد.
