Digitale identitetssystemer er av stor betydning når det gjelder å definere ens selv i den digitale verden, som er like ekte som den fysiske verden og faktisk påvirker oss på en svært direkte måte. Dette er grunnen til at byggingen av digital identitetssikkerhet og digital identifikasjonsautentisering tjenester er ikke lenger et valgfritt problem. Det er en bred konsensus i USA at digital identitet og autentisering er grunnlag av elektronisk sikkerhet og blir raskt en nasjonal sikkerhetsprioritet. Startversjonen av slike tjenester som for øyeblikket er tilgjengelig, gir identitetssikringstjenester som brukes av ulike systemer for å gi noen form for autorisasjon (fysisk eller logisk).
Hva er digital identitet
En digital identitet er informasjonen om en person eller en organisasjon som brukes av datasystemer for å representere den til cyberspace. Enkelt sagt er det online som tilsvarer den virkelige identiteten til personen eller organisasjonen.
Lese: Online Identity Theft: Forebygging og beskyttelse.
Retningslinjer for digital identitet
Statens institutt for standarder og teknologi (NIST) har lenge blitt anerkjent som en autoritativ referanse kilde angående autentiseringssikringsveiledning.
NIST nylig utgitt NIST SP 800-63, nå kalt Retningslinjer for digital identitet etter måneder med offentlig gjennomgang. Denne pakken med fire volumer gir tekniske retningslinjer for organisasjoner som benytter digitale identitetstjenester. Det nye dokumentet oppdaterer de tidligere standardene og utvider dem for å adressere identitet og godkjenning som en tjeneste, og tilbyr konseptene og språket som er avgjørende for riktig omsorg og fôring av digitale identiteter - noe de fleste eksperter i bransjen kaller en forsiktig utgift av skattebetalers dollar.
SP 800-63 ble først utgitt i 2003, og er NISTs berømte dokument som introduserte de fire nivåene av digitale identitetsretningslinjer (LOA) - LOA 1, 2, 3 og 4 - som angitt av OMBs M-04-04, E-Authentication Guidance for de føderale byråer.
Hovedformålet med denne nye utgaven av 800-63, den tredje iterasjonen, er å løse feilene i LOAs for å gjøre konceptet til noe mer meningsfullt ved hjelp av moderne identitetsprosesser for både privat og offentlig sektor.
Kort sagt har det nye dokumentet innført følgende store endringer:
Det nye dokumentet koblet LOASene i stor grad til komponentdeler for å sikre at ethvert godkjenningsinitiativ kunne graderes som en 1, 2 eller 3 for en fasett og helt annen klasse for den andre fasetten, i stedet for et teppe nummer som LOA 3. I en nøtteskall, den nye SP 800-63 bryter rangeringsordningen inn i tre segmenter:
- Registrering og identitetsbevisning (SP 800-63A)
- Autentisering og livssyklusstyring (SP 800-63B)
- Forbund og påstander (SP 800-63C)
Under den nye 800-63-3, som foreslått, vil det i utgangspunktet tre ranger gis: Federation Assurance Level (FAL), Authentication Assurance Level (AAL) og Identity Assurance Level (IAL).
Digital Identity Assurance Nivåer (IAL):
- IAL1 - Selvsagt; å koble søkeren til en bestemt identitet i virkeligheten er ikke nødvendig.
- IAL2 - Den påståtte identitetens virkelige eksistens er støttet av bevis; enten fysisk tilstedeværende eller ekstern identitetssikkerhet.
- 4ILA3 - Identitetssikkerhet krever fysisk tilstedeværelse. En utdannet og autorisert representant bør identifisere attributter.
Autentiseringssikringsnivå (AAL):
- AAL1 - Gir noen forsikring om at den faktiske søkeren har kontroll over godkjenningen trenger minst en enkeltfaktorautentisering.
- AAL2 - Gir sterk tillit til saksøkerens kontroll over autentisatorer; krever to forskjellige autentiseringsfaktorer; krever godkjente kryptografiske teknikker.
- AAL3 - Tilbyr ekstremt sterk selvtillit om saksøkerens kontroll over autentisatorer; et bevis på å ha en nøkkel via kryptografisk protokoll er nødvendig for autentisering; trenger også en "hard" kryptografisk autentiserer.
Federation Assurance Level (FAL):
- FAL1 - Tillater aktivering av RP av abonnenten for å motta en bærer påstand.
- FAL2 - Angir betingelsen om at påstanden skal krypteres på en måte at den eneste parten som kan dekryptere den, burde være RP.
- FAL3 - Kreves at abonnenten presenterer bevis for kontroll av kryptografisk nøkkel som refereres i påstanden, samt påstandsartifacten.
De viktigste endringene med hensyn til SP 800-63A:
- Den tillatte identitetsprosesseringsprosessen blir revidert.
- Personlige proofing-alternativer utvides.
SP 800-63B
- Passord veiledning har blitt gjennomgått.
- Usikre autentisatorer fjernes.
- Tillatbar bruk av biometri er utvidet.
SP 800-63C
- Nye føderasjons anbefalinger og krav legges til.
- Cookies som en påstandstype er fjernet.
De fulle detaljene kan bli hatt på nist.gov.
