O autentificare tipică colectează un nume de utilizator și o parolă, dar credențialele pot include în schimb un certificat, un passkey, o cheie de securitate, o parolă de unică folosință sau alt autentificator. Unele componente identifică contul; altele dovedesc controlul asupra sa.
Componentele au nevoie de tratare diferită. Un nume de utilizator adesea nu este secret; o parolă este un secret partajat; iar un passkey dovedește deținerea unei chei private fără a trimite acea cheie serviciului. Autentificarea reușită creează în mod normal o sesiune autentificată cu propriul secret, care trebuie să rămână protejat chiar dacă nu a fost introdus pe ecranul de autentificare.
Puncte esențiale
Design de autentificareSelectați autentificatorii în funcție de asigurarea necesară, rezistența la phishing, populația de utilizatori, contextul dispozitivului și riscul de recuperare.
Stocare și transportProtejați schimburile de autentificare, stocați verificatori de parolă în loc de parole recuperabile și păstrați cheile private și alte secrete în afara jurnalelor și aplicațiilor neîncrezătoare.
Ciclu de viațăSecurizați înrolarea, legarea, resetarea, recuperarea, înlocuirea, revocarea și răspunsul la compromitere; o rezervă slabă poate submina metoda normală de autentificare.
Limitare importantă„Credențiale acceptate” nu dovedește că proprietarul legitim este prezent. Parolele, autentificatorii, canalele de recuperare sau secretele de sesiune furate pot permite unui atacator să pară un utilizator valid.