Może dotyczyć osoby, urządzenia, usługi lub procesu. Pomyślny wynik ustanawia kontekst uwierzytelnienia dla sesji lub transakcji; nie decyduje o tym, do czego uwierzytelniony podmiot może mieć dostęp.
Uwierzytelnianie cyfrowe powinno być projektowane jako cykl życia, a nie tylko ekran logowania. Rejestracja i wiązanie uwierzytelników ustanawiają relację, rutynowa weryfikacja sprawdza kontrolę nad uwierzytelnikiem, a odzyskiwanie, wymiana, unieważnianie i zarządzanie sesjami utrzymują tę pewność w czasie. Wymagana siła powinna odzwierciedlać szkodę, jaką mogłoby spowodować podszywanie się.
Najważniejsze punkty
Typowe dowodyHasła, klucze kryptograficzne, klucze bezpieczeństwa, kody jednorazowe, karty inteligentne, poświadczenia związane z urządzeniem i biometria używana do aktywacji uwierzytelnika.
Jakość protokołuOdporność na zgadywanie, odtwarzanie (replay), przechwytywanie, podszywanie się pod weryfikatora, phishing i zautomatyzowane ataki różni się znacząco między metodami.
Kontrole operacyjneChroń rejestrację (enrollment), odzyskiwanie, zmiany uwierzytelników, metody zapasowe, sekrety weryfikatora i uwierzytelnione sesje równie starannie jak rutynowe logowanie.
Istotne ograniczenieUwierzytelnienie nie dowodzi, że każdy przechowywany atrybut jest poprawny, że punkt końcowy jest bezpieczny, że sesja pozostaje pod kontrolą podmiotu ani że jakiekolwiek żądane działanie jest autoryzowane.