ความจำเป็นของการยืนยันตัวตน (Need for Authentication)
Authentication เป็นกระบวนการตรวจสอบว่าผู้ใช้ Entity หรืออุปกรณ์คือผู้ที่อ้างว่าตนเป็นอยู่ อีกนัยหนึ่ง คือชุดของการตรวจสอบและการระบุตัวตน (Verification and Identification) Authentication แบ่งออกเป็น 3 ปัจจัย ดังนี้:
- ปัจจัยความรู้ (Knowledge factors) - สิ่งที่ผู้ใช้รู้ เช่น รหัสผ่าน Pass phrase หมายเลขระบุตัวตนส่วนตัว (PIN) Challenge response รูปแบบ
- ปัจจัยการครอบครอง (Ownership factors) - สิ่งที่ผู้ใช้มี เช่น สายข้อมือ บัตรประจำตัว โทเค็นความปลอดภัย โทรศัพท์มือถือที่มี Hardware token ในตัว โทเค็นซอฟต์แวร์ หรือโทรศัพท์มือถือที่เก็บ Software token
- ปัจจัยลักษณะเฉพาะตัว (Inherence factors) - สิ่งที่ผู้ใช้เป็นหรือทำ เช่น ลายนิ้วมือ รูปแบบ視网膜 ลำดับ DNA ลายเซ็น ใบหน้า เสียง สัญญาณไฟฟ้าชีวภาพเฉพาะตัว หรือตัวระบุตัวตนชีวภาพบางอย่าง
องค์กรส่วนใหญ่ใช้เว็บแอปพลิเคชันแรกของพวกเขาเพื่อให้ข้อมูลที่พร้อมใช้งานทั่วไปผ่านอินเทอร์เน็ตสาธารณะ Intranet และ Extranet การจัดการและรับซื้อทรัพยากรเว็บองค์กรอย่างประสบความสำเร็จ กลายเป็นความท้าทายที่ยากขึ้น随着 การใช้งานอินเทอร์เน็ตโตเต็มที่
องค์กรที่ต้องการให้พนักงานเข้าถึง Intranet ของพวกเขาจากระยะไกลผ่านเว็บ หรือที่ต้องการทำให้ Supply chain อัตโนมัติผ่าน Extranet ควรพิจารณาประเด็นความปลอดภัยและการบริหารจัดการที่เป็นเอกลักษณ์ของสถานการณ์เหล่านี้
องค์กรกำลังให้การเข้าถึงข้อมูลลับผ่านเว็บ ด้วยการกำหนดค่านี้ ผู้ใช้ภายในและภายนอกที่มีความต้องการและสิทธิ์ที่เปลี่ยนแปลง ควรสามารถเข้าถึงทรัพยากรหลายอย่างที่รองรับใน Intranet ขององค์กร และผู้ใช้ควรสามารถเข้าถึงข้อมูลที่พวกเขาได้รับอนุญาตเท่านั้น
เพิ่มความซับซ้อนของปัญหา บางองค์กรมีความสุขที่ได้สร้างระบบข้อมูลของพวกเขาจากศูนย์ องค์กรส่วนใหญ่ต้องการเครื่องมือที่สามารถผสมผสานเทคโนโลยีใหม่กับระบบปัจจุบันของพวกเขาเพื่อให้ความปลอดภัยแก่ทุกทรัพยากรและแอปพลิเคชันที่เข้าถึงผ่านเว็บ
มีข้อกำหนดสำคัญหลายข้อที่ควรปฏิบัติตามเพื่อจัดการข้อมูลอย่างปลอดภัยบน Intranet ขององค์กร ขั้นแรก ตัวตนของบุคคลที่ต้องการเข้าถึง Intranet ต้องเป็นของจริง
Authentication เป็นกระบวนการตรวจสอบว่าผู้ร้องขอได้รับมอบหมายตัวระบุตัวตนเฉพาะตัว และรู้ความลับ (เช่น รหัสผ่านหรือ PIN) ที่เกี่ยวข้องกับตัวระบุตัวตนนั้น
กระบวนการนี้ซับซ้อนเมื่อพนักงานหรือพันธมิตรทางธุรกิจเข้าถึงข้อมูลจากคอมพิวเตอร์หลายเครื่อง และบ่อยครั้งจากพื้นที่ระยะไกลผ่านอินเทอร์เน็ต ผู้ใช้ต้องสามารถยืนยันตัวตนจากเว็บเบราว์เซอร์หรืออุปกรณ์ไร้สาย (โทรศัพท์มือถือหรือ PDA) ได้ โดยไม่มีข้อกำหนดแอปพลิเคชันผู้ใช้
นอกจากนี้ มักมีเว็บเซิร์ฟเวอร์หลายพันเครื่องในองค์กรขนาดใหญ่ และผู้ใช้ต้องการสิทธิ์เข้าถึงสำหรับแต่ละเซิร์ฟเวอร์ที่เข้าถึง สิ่งนี้อาจนำไปสู่ปัญหาบางอย่าง เช่น ผู้ใช้ต้องจำรหัสผ่านสำหรับเซิร์ฟเวอร์บางส่วน ผู้ดูแลระบบต้องจัดการการควบคุมการเข้าถึงสำหรับแต่ละเซิร์ฟเวอร์แยกกัน และรายการอิสระหลายรายการต้องเพิ่มหรือลบเมื่อสิทธิ์เข้าถึงของผู้ใช้เปลี่ยนแปลง หรือเมื่อพนักงานเข้าร่วมหรือลาออกจากบริษัท
