идентификация

Идентификация — это процесс определения того, с какой конкретной учетной записью, субъектом или цифровой личностью система имеет дело. Проще говоря, идентификация отвечает на вопрос: «Кто вы?» Пользователь сообщает системе некоторый идентификатор, после чего система определяет соответствующую ему цифровую сущность.

В качестве идентификатора может использоваться имя пользователя, адрес электронной почты, номер учетной записи, идентификатор устройства, номер договора или другой уникальный признак. При этом сама идентификация еще не доказывает, что человек действительно является владельцем указанной учетной записи.

Именно поэтому идентификацию важно отличать от аутентификации и авторизации. В современных системах управления цифровой идентичностью эти процессы рассматриваются как отдельные этапы. NIST, например, разделяет identity proofing, authentication и federation в своих актуальных рекомендациях по цифровой идентичности.

Как работает идентификация

Типичный процесс начинается с того, что пользователь или устройство предоставляет системе идентификатор. Система ищет соответствующую запись в своей базе данных или обращается к внешнему поставщику идентификационной информации.

Например, при входе на сайт пользователь вводит адрес электронной почты. Этот адрес позволяет системе найти учетную запись, связанную с данным идентификатором. Однако на этом этапе система еще не знает, действительно ли пользователь является владельцем этой учетной записи.

Упрощенно процесс можно представить следующим образом:

1. пользователь сообщает идентификатор;
2. система определяет соответствующую цифровую личность;
3. система выполняет проверку предъявленных учетных данных;
4. после успешной проверки определяется уровень доступа пользователя;
5. система разрешает или запрещает выполнение конкретной операции.

Идентификация, аутентификация и авторизация

Эти три термина часто используются вместе, но обозначают разные процессы.

Идентификация отвечает на вопрос «кто это?». Пользователь сообщает системе определенный идентификатор, например логин или адрес электронной почты.

Аутентификация отвечает на вопрос «действительно ли это тот, за кого пользователь себя выдает?». Для проверки применяются пароль, аппаратный ключ, одноразовый код, биометрия или другой аутентификатор.

Авторизация отвечает на вопрос «что этому пользователю разрешено делать?». После успешной аутентификации система может разрешить просмотр документов, изменение настроек, доступ к административной панели или выполнение других операций.

Таким образом, типичная последовательность выглядит так: идентификация → аутентификация → авторизация.

Пример идентификации на сайте

Рассмотрим обычную форму входа. Пользователь вводит электронную почту user@example.com и пароль.

Сначала сервер использует электронную почту как идентификатор и ищет соответствующую учетную запись. Это этап идентификации. Затем сервер проверяет пароль — происходит аутентификация. После успешной проверки система определяет права учетной записи и решает, какие разделы сайта доступны пользователю. Это уже авторизация.

Таким образом, один экран входа визуально объединяет несколько разных процессов, хотя с технической точки зрения они имеют различные задачи.

Что такое цифровая идентичность

Цифровая идентичность — это представление субъекта в конкретной цифровой системе. Важная особенность заключается в том, что цифровая идентичность не обязательно должна раскрывать реальную личность человека. NIST отмечает, что цифровая идентичность является уникальным представлением субъекта в контексте конкретной цифровой услуги, но это не означает обязательного установления его личности в реальном мире.

Например, пользователь форума может иметь уникальный идентификатор и учетную запись, но сама система форума может не знать его настоящего имени, адреса или других реальных данных.

Поэтому понятия «учетная запись», «цифровая идентичность» и «реальная личность» не всегда являются взаимозаменяемыми.

Идентификация и подтверждение личности

В системах с повышенными требованиями к безопасности применяется identity proofing — подтверждение или установление личности при создании цифровой идентичности. На этом этапе организация может проверять документы, биографические сведения, сведения из надежных источников или другие доказательства.

Например, при регистрации в финансовом сервисе одного адреса электронной почты недостаточно. Организация может потребовать документ, удостоверяющий личность, фотографию, биометрическую проверку или дополнительные сведения.

NIST рассматривает identity proofing как отдельный процесс, в рамках которого организация получает доказательства, позволяющие с определенным уровнем уверенности связать заявителя с конкретной личностью. В актуальной редакции NIST SP 800-63-4 отдельно рассматриваются identity proofing, authentication и federation.

Основные идентификаторы

В информационных системах используются разные типы идентификаторов. Наиболее распространенными являются:

• логин — имя, выбранное пользователем или назначенное системой;
• электронная почта — часто используется одновременно как контактный адрес и идентификатор;
• номер учетной записи — внутренний уникальный идентификатор клиента;
• идентификатор устройства — применяется для распознавания компьютера, телефона или другого оборудования;
• цифровой сертификат — может использоваться для идентификации в инфраструктуре открытых ключей;
• биометрический идентификатор — параметры, связанные с физическими характеристиками человека.

Идентификация в корпоративных системах

В организациях идентификация является частью системы управления доступом. Сотрудник может иметь одну цифровую идентичность, связанную сразу с несколькими корпоративными ресурсами: электронной почтой, файловым хранилищем, CRM, VPN, внутренним порталом и системами разработки.

Для централизованного управления такими учетными записями используются каталоги пользователей и системы Identity and Access Management (IAM). Они позволяют создавать и удалять учетные записи, назначать группы и роли, контролировать доступ и вести журналы событий.

При использовании единой учетной записи особенно важно правильно организовать жизненный цикл идентичности. Если сотрудник меняет должность или прекращает работу в организации, его права должны своевременно изменяться или отключаться.

Идентификация в интернете

В интернете идентификация часто происходит через учетные записи различных сервисов. Один пользователь может иметь десятки цифровых идентичностей: аккаунт электронной почты, учетную запись интернет-магазина, профиль в социальной сети, аккаунт разработчика и учетную запись облачного сервиса.

Для объединения идентификации между разными системами используются механизмы федерации. В этом случае один поставщик идентичности может подтверждать информацию о пользователе для другого сервиса.

Такой подход позволяет реализовать сценарии единого входа Single Sign-On (SSO), при которых пользователю не требуется отдельно вводить учетные данные в каждом корпоративном сервисе.

Безопасность идентификации

Надежная идентификация является фундаментом системы управления доступом, но одного идентификатора недостаточно для защиты учетной записи. Если злоумышленник узнает логин пользователя, это еще не должно давать ему возможность войти в систему.

Поэтому идентификатор обычно дополняется механизмами аутентификации. Современные системы могут использовать:

• пароли и PIN-коды;
• одноразовые коды;
• аппаратные ключи безопасности;
• криптографические учетные данные;
• биометрические факторы;
• комбинации нескольких факторов.

Дополнительная защита особенно важна для учетных записей с административными или финансовыми полномочиями. Современные рекомендации NIST рассматривают идентификацию, аутентификацию и федерацию как отдельные компоненты цифровой идентичности и предусматривают различные уровни требований в зависимости от рисков конкретной системы.

Почему идентификация важна

Без надежного механизма идентификации информационная система не сможет корректно определить, с какой учетной записью связана конкретная операция. Это затрудняет управление правами, аудит событий и расследование инцидентов.

Идентификация также позволяет разделять пользователей и их ресурсы. Например, в облачном сервисе система должна понимать, какие документы принадлежат одному пользователю, какие — другому, а какие доступны целой группе сотрудников.

При этом чем больше система зависит от цифровых идентичностей, тем важнее их жизненный цикл: регистрация, изменение атрибутов, восстановление доступа, блокировка и удаление учетной записи.

Выводы

Идентификация — это определение цифровой сущности, с которой система взаимодействует. Она позволяет сопоставить предоставленный идентификатор с конкретной учетной записью или цифровой идентичностью.

Идентификацию нельзя путать с аутентификацией: первая определяет, какую сущность пользователь заявляет, а вторая проверяет доказательства того, что пользователь действительно контролирует соответствующие учетные данные. Авторизация выполняется уже после этого и определяет разрешенные действия.

В современных системах цифровой идентичности эти процессы рассматриваются отдельно. Такой подход позволяет гибко управлять безопасностью, приватностью и уровнем доверия к различным операциям. Актуальные рекомендации NIST SP 800-63-4 объединяют требования к identity proofing, аутентификации и федерации в единой архитектуре цифровой идентичности.

FAQ

Что такое идентификация простыми словами?

Идентификация — это определение того, какая учетная запись или цифровая сущность связана с пользователем, устройством или другой стороной взаимодействия.

Чем идентификация отличается от аутентификации?

Идентификация отвечает на вопрос «кто вы?», а аутентификация проверяет, действительно ли пользователь контролирует средства, связанные с заявленной идентичностью.

Чем идентификация отличается от авторизации?

Идентификация определяет цифровую сущность, а авторизация определяет, какие действия этой сущности разрешены.

Что является идентификатором пользователя?

Идентификатором может быть логин, адрес электронной почты, номер учетной записи или другой признак, позволяющий системе найти соответствующую цифровую идентичность.

Нужно ли подтверждать реальную личность при идентификации?

Нет. В обычной интернет-системе идентификация может быть связана только с цифровой учетной записью. Подтверждение реальной личности требуется лишь тогда, когда этого требуют особенности сервиса или уровень риска.

Что такое identity proofing?

Identity proofing — это процедура установления и проверки связи между заявителем и определенной реальной или цифровой идентичностью. Она может использовать документы, биометрические данные и другие доказательства.

Что такое цифровая идентичность?

Это представление субъекта в определенной цифровой системе. Оно может содержать идентификаторы, атрибуты и другие сведения, необходимые для взаимодействия с сервисом.

Что такое SSO?

Single Sign-On — технология единого входа, позволяющая пользователю пройти аутентификацию один раз и затем получать доступ к нескольким связанным сервисам без повторного ввода учетных данных.

Почему идентификация важна для информационной безопасности?

Она позволяет системе связывать действия с конкретными цифровыми идентичностями и на этой основе применять аутентификацию, авторизацию, аудит и другие механизмы защиты.

Дополнительная информация:

• Официальные рекомендации NIST по цифровой идентичности: NIST SP 800-63-4 Digital Identity Guidelines
• Рекомендации NIST по identity proofing и регистрации: NIST SP 800-63A
• Рекомендации NIST по аутентификации: NIST SP 800-63B
• Рекомендации NIST по федерации и цифровым утверждениям: NIST SP 800-63C
• Архив предыдущей редакции Digital Identity Guidelines: NIST SP 800-63-3