אימות זהות – הבדלי גרסאות

תוכן שנמחק תוכן שנוסף

בשורה

גרסה מ־23:37, 18 באוגוסט 2022

שגיאות פרמטריות בתבנית:מקורות
פרמטרי חובה [ נושא ] חסרים

באבטחת מידע וקריפטוגרפיה, אימות (באנגלית: Authentication) היא פעולה שנועדה לאשר תקפות פיסת מידע שישות כלשהי טוענת לאמיתותה^[1]. האימות כרוך לרוב בצורה אחת או יותר של אמצעי זיהוי כמו תעודה מזהה, בדיקת הרשאה או בדיקת אותנטיות אתר אינטרנט באמצעות תעודת מפתח ציבורי. אימות יכול להיות גם תיארוך ממצא ארכאולוגי, אישור בעלות על נכס או יצירה או אישור שמוצר עומד בהבטחות היצרן המופיעות על האריזה או בתעודת האחריות.

אימות מתחלק לשלוש קטגוריות עיקריות^[2]:

ידיעה. משהו שהטוען יודע (כגון סיסמה, מספר זיהוי אישי או מענה על אתגר).
שייכות. משהו ברשותו או בבעלותו של הטוען (כגון תעודה מזהה, כרטיס מגנטי, אסימון אבטחה או טלפון נייד עליו מותקן יישומון אבטחה).
זהות. זיהוי ביומטרי של הטוען. ישנם שני סוגים של זיהוי ביומטרי: תכונה פיזית של הטוען (כמו חתימת יד, טביעת אצבע, זיהוי פנים, סריקת רשתית או דגימת DNA), או פעולה של הטוען (כגון זיהוי קול, זיהוי כתב יד או דינמיקת הקשה (אנ')).

פעולת אימות אלקטרונית שמתבצעת בהיקף רחב החל מהרבע האחרון של המאה העשרים היא זו המשמשת למשיכת כספים ממכשיר בנק אוטומטי. לזיהוי המושך משמש שילוב של שני אמצעים: כרטיס מגנטי שעליו מוטבע זיהוי של המושך, והקשה של סיסמה הידועה רק למושך. גנבה של רק אחד משני אמצעים אלה אינה מאפשרת התחזות.

אימות רב-שלבי

ערך מורחב – אימות רב-שלבי
כאשר רמת הודאות הנחוצה עבור האימות נמוכה, נהוג להסתפק באמצעי זיהוי אחד בלבד. לדוגמה, בשעון נוכחות משתמשים בדרך כלל בכרטיס מגנטי בלבד עבור האימות. בכניסה לאתרי אינטרנט רבים, ובכלל זה ויקיפדיה, די בהקלדת זיהוי משתמש וסיסמה, ואין צורך באמצעי זיהוי פיזי. אך כאשר נחוץ אימות ברמת ודאות יותר גבוהה, ניתן להשתמש באימות רב-שלבי שבו משלבים מספר אמצעי אימות השייכים לשתיים או יותר מהקטגוריות המנויות. לדוגמה, בהתחברות לחשבון גוגל ניתן להשתמש באימות דו שלבי הדורש מהמשתמש להקליד סיסמה (קטגוריית ידיעה) ובנוסף להפגין ידיעת מספר אקראי שנוצר באמצעות אפליקציית אבטחה (קטגוריית שייכות).

אימות על ידי סיסמה

אמצעי האימות הנפוץ ביותר הוא אימות על ידי סיסמה^[3]. היתרון בשימוש בסיסמאות הוא שהן זולות וניתנות להפצה בקלות. מנגד, ישנם מספר חסרונות בשימוש בסיסמאות:

לעיתים קרובות ניתן להשיג את סיסמת המשתמש על ידי שימוש בהנדסה חברתית.
כאשר ישנו מכשיר המגיע עם סיסמת ברירת מחדל, משתמשים רבים משאירים אותה כסיסמה קבועה.
משתמשים רבים מגדירים את אותה סיסמה עבור שירותים שונים. במקרה כזה אם תוקף השיג את הסיסמה בשירות אחד, הוא יכול להתחבר גם לשאר השירותים.

בעיה נוספת הכרוכה בשימוש בסיסמאות היא אחסון הסיסמאות. כאשר מאחסנים את הסיסמאות בקובץ אחד נוצרת לנו בעיה של נקודת כשל יחידה (אנ'). ניתן לפתור זאת על ידי שימוש בגיבוב ו"ניפוח סיסמה (salting)^[4].

אימות ביומטרי

ערך מורחב – זיהוי ביומטרי

על מנת להשתמש במאפיין ביומטרי לאימות זהות, על המאפיין לעמוד במספר תנאים^[5]:

אוניברסליות. המאפיין צריך להיות משהו אוניברסלי שיש לכולם. לדוגמה, צבע שיער הוא מאפיין שאינו אוניברסלי משום שלאנשים קרחים אין שיער.
ייחודיות. המאפיין צריך להיות ייחודי לכל משתמש. לדוגמה, סוג דם הוא מאפיין שאינו ייחודי משום שלאנשים רבים יש את אותו סוג דם.
קביעות. המאפיין צריך להיות קבוע לאורך זמן. לדוגמה, משקלו של המשתמש אינו מאפיין קבוע, משום שהוא משתנה לאורך זמן.
מדידות. המאפיין צריך להיות מדיד.

היתרון באימות ביומטרי הוא שהמאפיין המשמש לאימות נמצא כל הזמן על המשתמש. מנגד, ישנם מספר חסרונות^[6]:

אימות ביומטרי מסובך ויקר בהשוואה לשיטות אימות אחרות.
מאפיינים ביומטריים המשמשים לאימות אינם ניתנים להחלפה. אם תוקף הצליח לזייפם, אין למשתמש אפשרות לשנות אותם.
המדידות של המאפיינים הביומטריים משתנות בעקבות תנאים חיצוניים, ולכן צריך לקבוע גבול שבו הזיהוי יחזיר תשובה חיובית גם כאשר המדידה רחוקה מהמדידות השמורות במערכת. אם יוגדר גבול רחב, הדבר יגרום לזיהוי שגוי. אך מנגד אם יוגדר גבול צר, הזיהוי יחזיר מידי פעם תשובה שלילית גם עבור המשתמש.

ראו גם

הערות שוליים

^ RFC 4949 (עמ' 25)
^ Stallings, William and Brown, Lawrie, Computer Security: Principles and Practice, USA: Prentice Hall Press, 2014, עמ' 75
^ Stallings, William and Brown, Lawrie, Computer Security: Principles and Practice, USA: Prentice Hall Press, 2014, עמ' 78-80
^ Stallings, William and Brown, Lawrie, Computer Security: Principles and Practice, USA: Prentice Hall Press, 2014, עמ' 80
^ Anil K. Jain, Biometric Recognition: Overview and Recent Advances, Berlin, Heidelberg: Springer Berlin Heidelberg, עמ' 13–19, ISBN 978-3-540-76724-4
^ Stallings, William and Brown, Lawrie, Computer Security: Principles and Practice, USA: Prentice Hall Press, 2014, עמ' 96-99, 105

ערך זה הוא קצרמר בנושא מחשבים. אתם מוזמנים לתרום לוויקיפדיה ולהרחיב אותו.

[1] RFC 4949 (עמ' 25)

[2] Stallings, William and Brown, Lawrie, Computer Security: Principles and Practice, USA: Prentice Hall Press, 2014, עמ' 75

[3] Stallings, William and Brown, Lawrie, Computer Security: Principles and Practice, USA: Prentice Hall Press, 2014, עמ' 78-80

[4] Stallings, William and Brown, Lawrie, Computer Security: Principles and Practice, USA: Prentice Hall Press, 2014, עמ' 80

[5] Anil K. Jain, Biometric Recognition: Overview and Recent Advances, Berlin, Heidelberg: Springer Berlin Heidelberg, עמ' 13–19, ISBN 978-3-540-76724-4

[6] Stallings, William and Brown, Lawrie, Computer Security: Principles and Practice, USA: Prentice Hall Press, 2014, עמ' 96-99, 105

[1]

[2]

[3]

[4]

[5]

[6]

@@ שורה 1: / שורה 1: @@
 {{מקורות|רמה=אין}}
-ב[[אבטחת מידע]] ו[[קריפטוגרפיה]], '''אימות''' (באנגלית: Authentication) היא פעולה, שנועדה לאשר תקפות פיסת מידע שישות כלשהי טוענת לאמיתותה<ref>{{קישור כללי|כתובת=https://datatracker.ietf.org/doc/html/rfc4949|כותרת=RFC 4949}}</ref>. בניגוד לזיהוי, שמתייחס להצהרה באשר לזהותו של אדם או ישות כלשהי באמצעות חפץ או טענה, כדי למנוע [[התחזות]], האימות הוא בעצם התהליך שבאמצעותו מוודאים את נכונות ואמיתות הטענה. האימות כרוך לרוב בצורה אחת או יותר של אמצעי זיהוי כמו [[תעודה מזהה]], בדיקת [[אבטחת מידע#הרשאות|הרשאה]] או בדיקת אותנטיות [[אתר אינטרנט]] באמצעות [[מפתח ציבורי#תשתית מפתח ציבורי|תעודת מפתח ציבורי]]. אימות יכול להיות גם [[תיארוך]] [[ממצא ארכאולוגי]], אישור [[בעלות]] על נכס או [[יצירה]] או אישור שמוצר עומד בהבטחות היצרן המופיעות על האריזה או בתעודת האחריות.
+ב[[אבטחת מידע]] ו[[קריפטוגרפיה]], '''אימות''' (באנגלית: Authentication) היא פעולה שנועדה לאשר תקפות פיסת מידע שישות כלשהי טוענת לאמיתותה<ref>{{קישור כללי|כתובת=https://datatracker.ietf.org/doc/html/rfc4949|כותרת=RFC 4949|עמודים=25}}</ref>. האימות כרוך לרוב בצורה אחת או יותר של אמצעי זיהוי כמו [[תעודה מזהה]], בדיקת [[אבטחת מידע#הרשאות|הרשאה]] או בדיקת אותנטיות [[אתר אינטרנט]] באמצעות [[מפתח ציבורי#תשתית מפתח ציבורי|תעודת מפתח ציבורי]]. אימות יכול להיות גם [[תיארוך]] [[ממצא ארכאולוגי]], אישור [[בעלות]] על נכס או [[יצירה]] או אישור שמוצר עומד בהבטחות היצרן המופיעות על האריזה או בתעודת האחריות.
 <!-- ב[[אבטחת מידע]], '''אימות''' (באנגלית: authentication) היא הדרך לזהות את הפונה ממנו מגיע מסר למערכת ממוחשבת, כך שתימנע אפשרות של [[התחזות]] ותסכל [[התקפת אדם שבתווך]]. זיהוי זה משמש למטרות שונות:
@@ שורה 8: / שורה 8: @@
 * לצורך משפטי: באמצעות [[חתימה אלקטרונית]] ניתן להוכיח בבית המשפט שמכתב מסוים אכן נשלח על ידי המשתמש שחתום עליו, וכך ניתן לחתום על חוזים דרך רשת ה[[אינטרנט]], ללא פגישה אישית עם החותם.
  -->
-אימות מתחלק לארבע קטגוריות עיקריות<ref>{{צ-ספר|מחבר=Stallings, William and Brown, Lawrie|שם=Computer Security: Principles and Practice|מקום הוצאה=USA|מו"ל=Prentice Hall Press|שנת הוצאה=2014|עמ=75}}</ref>:
+אימות מתחלק לשלוש קטגוריות עיקריות<ref>{{צ-ספר|מחבר=Stallings, William and Brown, Lawrie|שם=Computer Security: Principles and Practice|מקום הוצאה=USA|מו"ל=Prentice Hall Press|שנת הוצאה=2014|עמ=75}}</ref>:
 #'''ידיעה'''. משהו שהטוען '''יודע''' (כגון [[סיסמה]], [[סיסמה#מספר זיהוי אישי|מספר זיהוי אישי]] או מענה על [[פרוטוקול אתגר מענה|אתגר]]).
-#'''שייכות'''. משהו ברשותו או בבעלותו של הטוען (כגון תעודה מזהה, [[כרטיס מגנטי]], [[אסימון אבטחה]] המוטמע במכשיר נייד או [[טלפון נייד]] עליו מותקן [[אפליקציית מובייל|יישומון]] אבטחה).
+#'''שייכות'''. משהו ברשותו או בבעלותו של הטוען (כגון תעודה מזהה, [[כרטיס מגנטי]], [[אסימון אבטחה]] או [[טלפון נייד]] עליו מותקן [[אפליקציית מובייל|יישומון]] אבטחה).
-#'''זהות'''. תכונה פיזית של הטוען (כמו [[חתימה|חתימת יד]], [[טביעת אצבע]], [[זיהוי ביומטרי]] כמו [[מערכת זיהוי תווי פנים|זיהוי פנים]], סריקת [[רשתית]] או דגימת [[DNA]]).
+#'''זהות'''. [[זיהוי ביומטרי]] של הטוען. ישנם שני סוגים של זיהוי ביומטרי: '''תכונה פיזית''' של הטוען (כמו [[חתימה|חתימת יד]], [[טביעת אצבע]], [[מערכת זיהוי תווי פנים|זיהוי פנים]], סריקת [[רשתית]] או דגימת [[DNA]]), או '''פעולה''' של הטוען (כגון [[מערכת זיהוי דיבור|זיהוי קול]], [[זיהוי ממוחשב של כתב יד|זיהוי כתב יד]] או [[דינמיקת הקשה]] {{אנ|Keystroke dynamics}}).
+פעולת אימות אלקטרונית שמתבצעת בהיקף רחב החל מהרבע האחרון של [[המאה העשרים]] היא זו המשמשת למשיכת כספים מ[[כספומט|מכשיר בנק אוטומטי]]. לזיהוי המושך משמש שילוב של שני אמצעים: כרטיס מגנטי שעליו מוטבע זיהוי של המושך, והקשה של [[סיסמה]] הידועה רק למושך. גנבה של רק אחד משני אמצעים אלה אינה מאפשרת התחזות.
-#'''פעולה'''. זיהוי על סמך פעולה של הטוען (כגון [[מערכת זיהוי דיבור|זיהוי קול]], [[זיהוי ממוחשב של כתב יד|זיהוי כתב יד]] או [[דינמיקת הקשה]] {{אנ|Keystroke dynamics}}.
+== אימות רב-שלבי ==
-כאשר נחוץ אימות ברמת ודאות יותר גבוהה, נעשה שימוש ב[[אימות דו-שלבי]] או [[אימות רב-שלבי]] שבו משלבים מספר אמצעי אימות השייכים לשתים או יותר מהקטגוריות המנויות. כמו אימות דו שלבי של [[גוגל (חברה)|גוגל]] שכאשר מופעל דורש מהמשתמש להקליד סיסמה (קטגוריה ראשונה) ולהפגין ידיעת מספר אקראי שנוצר באמצעות אפליקציית אבטחה (קטגוריה שנייה).
+{{הפניה לערך מורחב|אימות רב-שלבי}}כאשר רמת הודאות הנחוצה עבור האימות נמוכה, נהוג להסתפק באמצעי זיהוי אחד בלבד. לדוגמה, ב[[שעון נוכחות]] משתמשים בדרך כלל בכרטיס מגנטי בלבד עבור האימות. בכניסה לאתרי אינטרנט רבים, ובכלל זה [[ויקיפדיה]], די בהקלדת זיהוי משתמש וסיסמה, ואין צורך באמצעי זיהוי פיזי. אך כאשר נחוץ אימות ברמת ודאות יותר גבוהה, ניתן להשתמש ב[[אימות רב-שלבי]] שבו משלבים מספר אמצעי אימות השייכים לשתיים או יותר מהקטגוריות המנויות. לדוגמה, בהתחברות לחשבון [[גוגל (חברה)|גוגל]] ניתן להשתמש באימות דו שלבי הדורש מהמשתמש להקליד סיסמה (קטגוריית ידיעה) ובנוסף להפגין ידיעת מספר אקראי שנוצר באמצעות אפליקציית אבטחה (קטגוריית שייכות).
+== אימות על ידי סיסמה ==
-פעולת אימות אלקטרונית שמתבצעת בהיקף רחב החל מהרבע האחרון של [[המאה העשרים]] היא זו המשמשת למשיכת כספים ממכשיר בנק אוטומטי. לזיהוי המושך משמש שילוב של שני אמצעים: כרטיס מגנטי שעליו מוטבע זיהוי של המושך, והקשה של [[סיסמה]] הידועה רק למושך. גנבה של רק אחד משני אמצעים אלה אינה מאפשרת התחזות.
+אמצעי האימות הנפוץ ביותר הוא אימות על ידי סיסמה<ref>Stallings, William and Brown, Lawrie, '''Computer Security: Principles and Practice''', USA: Prentice Hall Press, 2014, עמ' 78-80</ref>. היתרון בשימוש בסיסמאות הוא שהן זולות וניתנות להפצה בקלות. מנגד, ישנם מספר חסרונות בשימוש בסיסמאות:
+* לעיתים קרובות ניתן להשיג את סיסמת המשתמש על ידי שימוש בהנדסה חברתית.
-במקרים שפעולת האימות היא פחות קריטית, נהוג להסתפק באמצעי זיהוי אחד בלבד. ב[[שעון נוכחות]] די, בדרך כלל, בהעברת הכרטיס המגנטי, ואין צורך ללוות זאת בסיסמה. בכניסה לאתרי אינטרנט רבים, ובכלל זה [[ויקיפדיה]], די בהקלדת זיהוי משתמש וסיסמה, ואין צורך באמצעי זיהוי פיזי.
+* כאשר ישנו מכשיר המגיע עם סיסמת ברירת מחדל, משתמשים רבים משאירים אותה כסיסמה קבועה.
+* משתמשים רבים מגדירים את אותה סיסמה עבור שירותים שונים. במקרה כזה אם תוקף השיג את הסיסמה בשירות אחד, הוא יכול להתחבר גם לשאר השירותים.
+בעיה נוספת הכרוכה בשימוש בסיסמאות היא אחסון הסיסמאות. כאשר מאחסנים את הסיסמאות בקובץ אחד נוצרת לנו בעיה של {{קישור שפה|2=Single point of failure|3=נקודת כשל יחידה}}. ניתן לפתור זאת על ידי שימוש ב[[פונקציית גיבוב קריפטוגרפית|גיבוב]] ו"[[סיסמה#ניפוח סיסמה (Salting)|ניפוח סיסמה]] (salting)<ref>Stallings, William and Brown, Lawrie, '''Computer Security: Principles and Practice''', USA: Prentice Hall Press, 2014, עמ' 80</ref>.
-כרטיס מגנטי הוא אמצעי אבטחה נפוץ, אך ניתן לזייפו. כאשר נחוץ זיהוי ברמת ודאות גבוהה, ניתן להחליף את הכרטיס המגנטי ב[[זיהוי ביומטרי]], שאותו קשה יותר לזייף. זיהוי ביומטרי הוא זיהוי על-פי תכונות ביולוגיות של המשתמש, כגון [[טביעת אצבע]], [[סריקת רשתית]] או [[בדיקת סמני DNA|בדיקת דנ"א]].
+== אימות ביומטרי ==
+{{הפניה לערך מורחב|זיהוי ביומטרי}}
+על מנת להשתמש במאפיין ביומטרי לאימות זהות, על המאפיין לעמוד במספר תנאים<ref>{{צ-ספר|שם=Biometric Recognition: Overview and Recent Advances|קישור=http://dx.doi.org/10.1007/978-3-540-76725-1_2|מו"ל=Springer Berlin Heidelberg|מקום הוצאה=Berlin, Heidelberg|ISBN=978-3-540-76724-4|עמ=13–19|מחבר=Anil K. Jain}}</ref>:
+# '''אוניברסליות'''. המאפיין צריך להיות משהו אוניברסלי שיש לכולם. לדוגמה, צבע שיער הוא מאפיין שאינו אוניברסלי משום שלאנשים קרחים אין שיער.
+# '''ייחודיות'''. המאפיין צריך להיות ייחודי לכל משתמש. לדוגמה, [[סוג דם]] הוא מאפיין שאינו ייחודי משום שלאנשים רבים יש את אותו סוג דם.
+# '''קביעות'''. המאפיין צריך להיות קבוע לאורך זמן. לדוגמה, [[משקל גוף האדם|משקלו של המשתמש]] אינו מאפיין קבוע, משום שהוא משתנה לאורך זמן.
+# '''מדידות'''. המאפיין צריך להיות [[מדידה והערכה|מדיד]].
+היתרון באימות ביומטרי הוא שהמאפיין המשמש לאימות נמצא כל הזמן על המשתמש. מנגד, ישנם מספר חסרונות<ref>Stallings, William and Brown, Lawrie, '''Computer Security: Principles and Practice''', USA: Prentice Hall Press, 2014, עמ' 96-99, 105</ref>:
+* אימות ביומטרי מסובך ויקר בהשוואה לשיטות אימות אחרות.
+* מאפיינים ביומטריים המשמשים לאימות אינם ניתנים להחלפה. אם תוקף הצליח לזייפם, אין למשתמש אפשרות לשנות אותם.
+* המדידות של המאפיינים הביומטריים משתנות בעקבות תנאים חיצוניים, ולכן צריך לקבוע גבול שבו הזיהוי יחזיר תשובה חיובית גם כאשר המדידה רחוקה מהמדידות השמורות במערכת. אם יוגדר גבול רחב, הדבר יגרום לזיהוי שגוי. אך מנגד אם יוגדר גבול צר, הזיהוי יחזיר מידי פעם תשובה שלילית גם עבור המשתמש.
 ==ראו גם==
+* [[בקרת גישה]]
 * [[דלת אחורית]]
 * [[אימות מסרים]]

	ערך ללא מקורות
	בערך זה אין מקורות ביבליוגרפיים כלל, לא ברור על מה מסתמך הכתוב וייתכן שמדובר במחקר מקורי. אנא עזרו לשפר את אמינות הערך באמצעות הבאת מקורות לדברים ושילובם בגוף הערך בצורת קישורים חיצוניים והערות שוליים. אם אתם סבורים כי ניתן להסיר את התבנית, ניתן לציין זאת בדף השיחה.