web-dev-qa-db-ja.com

認証と検証一般、および生体認証

情報セキュリティの基礎、第2巻を読んでいます。 Ed。、Andress、Jason。

彼はp.25で、「本人確認は本人確認を超える一歩ですが、それでも認証には至っていません。これについては次のセクションで説明します。」次に、誰が提示されたのかを証明する文書が「認証」ではなく「検証」にすぎない場合でも、彼はさらに言及します。わかりましたが、彼は「検証」について再び詳細に説明することはありません。

P.26で彼は、「認証は、情報セキュリティの意味で、行われたアイデンティティの主張を確立するために使用する一連の方法が正しい」と述べています。わかりました。

P.31で、「バイオメトリック識別子を使用して認証トランザクションを完了する場合、基本的にユーザーに、ユーザーが本人であることを証明する証拠を提供するように求めています。これは、定義上、検証であり、認証。」今、私は迷っています。

「検証」と「認証」の違いについて詳しく調べましたが、どこが重要で、微妙な違いがあると思います。

バイオメトリクス認証には2つのタイプがあることを知っています。データがプレゼンターが言った人のデータと一致することの確認と、バイオメトリクスデータベースのすべてのエントリに対して照合の試みが行われる識別です。

登録済みの生体認証情報の提示は、認証以外の方法でどのようにできますか？

authenticationidentification
4
Raw_Input

検証とは、身元を証明する行為です。認証は、あなたが以前と同じ人物であることを証明する行為であり、必ずしもその人物が誰であるかを知る必要はありません。

re：バイオメトリクス、混乱はバイオメトリクスの性質に起因すると思います。ユーザー名/パスワード（知っているもの）は、あなたが誰であるかについては何も言いません。同じことがハードウェアトークン（あなたが持っているもの）にも当てはまります。

あなたが読んでいる本の著者は、バイオメトリクスはあなたが何かであるので、彼らは検証イベントと区別がつかないという意見です。

これは、少なくとも2つの理由で常に当てはまるわけではありません。1.生体認証を提示すると、事前登録された生体認証と比較されます。これはあなたが誰であるかについては何も言っていません、あなたが登録時に存在したのと同じ人であることだけです。 2.生体認証用に保存されたデータは、検証イベントに必要なデータよりも少ない場合があります。システムがあなたを識別できない場合、追加のサンプルを取得することはできません。これは、検証を実行している場合に可能です。

データのプライバシーを保護するためのバイオメトリクスの使用を検討してください。システムは、入力したデータを保護するために生体認証を使用する場合があるため、戻ったときにのみ表示されます。このシステムが検証プロセスを通じてバイオメトリクスをIDに関連付けない場合、バイオメトリクスは、同じプロセスに対して発行されたパスワードと同じくらいの認証要素です。

1
DodgyG33za

私の答えは純粋に推測的なものであり、私自身の解釈に基づいており、何らかの検証が必要になります。 質問に答える信頼できる情報源を知りません。私自身が間違いを犯している可能性があります。 SEコミュニティからの助けは大歓迎です。これまでのところ、次の情報源は私の解釈に同意しているようです。

私が意味するところは、信じることなくユーザーの主張されたID（つまり、提供された認証要素が正しく、誰かに対応している）を検証できることですこのアイデンティティはauthenticです（これらの要素は偽造または盗難される可能性があります）。

承認プロセス

まず、システムにidentityを通知する情報を提供します。この時点で、このIDがサービスのユーザーのIDに対応している場合、あなたはidentifiedです。アイデンティティは、通常、認証要素によって前述のアイデンティティの人に排他的に属していると想定される検証済みである必要があります。次に、これらの要素を提供する必要があります。

システムはこれらの要素が正しいことを検証する可能性があります（主張するアイデンティティと一緒に格納された要素を提供します）が、それらが本物ではないと信じています-偽造可能であるか、盗んで再利用しやすいか、または他の手がかりのためです。

authenticatedを取得したら、リモートエンドが本物の特性を保持していることを確認します（説明する場合、本物のIDですが、承認に関連する特性を確認している可能性があります）。トークンは偽造されていませんが、「意味的に有効」です。次のステップは、論理的にはauthorizationであり、本物の特性が特権を付与するかどうかを決定します。

もっと推測する

運用上、検証された要素が本物ではないと想定することは理にかなっていますか？外部の手がかりを考慮しない閉ループシステムでは、いいえ：簡単に偽造または盗難される可能性があると思われる要因を受け入れるのはなぜですか？

ただし、Google Mailなどの一部の認証システムは、IPアドレスやブラウザのユーザーエージェントなどの情報を使用し、通常はどこから接続するか暗黙的な認証要素を使用してパスワードを補完します。 PIN（theexplicit ones）。暗黙の要素が一致しない場合、Googleは正しい明示的な要素が本物ではない可能性があり、拒否する場合がありますあなたを認証します。

著者による議論は、バイオメトリクスは知識ベースの要因よりも信頼性の低い要因であるという考えに向かっているようです。これは私が議論しない意見です。 :-)

1
Steve Dodier-Lazaro