Informasiya təhlükəsizliyi baxımından, istifadəçinin (subyektin) hər hansı sistemə ( obyektə) girişi ( və ya giriş cəhdi) 3 anlayışı özündə birləşdirir:

• Subyektin identifikasiyası (eyniləşdirilməsi);
• Subyektin autentifikasiyası;
• Subyektin avtorizasiyası;

İdentifikasiya – subyektin ( istifadəçinin ) sistemdə unikal, təkrarlanmayan məlumat vasitəsilə identifikasiyasıdır. Məsələn, AD domain istifadəçisinin adı, Gmail ünvanı – subyektin təkrarlanmayan eyniləşdirmə vasitəsidir. Praktik olaraq bu prosess autentifikasiya ilə paralel keçirildiyindən, istifadəçi tərəfindən bu prosesin fiziki müşahidəsi çox zaman mümkün olmur.

Autentifikasiya – subyekt tərəfindən təqdim edilmiş eyniləşdirmə məlumatlarının həqiqiliyinin yoxlanması prosesidir. Məsələn, subyekt tərəfindən təqdim edilən AD domain istifadəçisinin düzgün şifrəsi, həmin istifadəçi adının, müəyyən dərəcədə əminliklə, həmin subyektə məxsus olduğunun göstərir.

Avtorizasiya – yuxarıda qeyd olunan proseslərin ardından, subyektin ( istifadəçinin) obyekt üzərində öncədən müəyyən edilmiş səlahiyyətlərinin təmin olunması prosesidir. Məsələn, AD domain istifadəçisinin uğurlu autentifikasiyasından sonra müəyyən şəbəkə resuslarına daxil ola bilmə hüquqları – avtorizasiya prosesidir.

Bu 3 anlayışı aramızdan bəzilərinin hər gün istifadə etdiyi ödəniş kartlarından istifadə timsalında da göstərə bilərik :

1. Siz, ATM-dən, plastik kart vasitəsilə pul çəkmək istəyirsiniz – burada plastik kart sizin identifikasiya vasitənizdir.
2. ATM-dən əməliyyat aparmaq üçün sizdən PİN kod daxil etmək tələb olunur – plastik kart və düzgün daxil edilmiş PİN – uğurlu autentifikasiya prosesini təşkil edirlər.
3. Uğurlu autentifikasiya nəticəsində siz ATM-dən yalnız hesabınızda olan qədər, və ya bankınız tərəfində təyin edilmiş gündəlik limitiniz qədər pul çəkə bilirsiniz – bu avtorizasiya prosesidir.

Eyniləşdirmə (identifikasiya), artıq qeyd etdiyimiz kimi, kifayət qədər şəffaf proses olduğundan, ətraflı danışmayacağıq.

Autentifikasiya bir neçə faktorlarla həyata keçirilə bilər ( şifrələr, bir dəfəlik şifrələr( OTP), smart kart, token, barmaq izi və s.), ümumilikdə onları 3 kategoriya altında birləşdirilir:

• Subyektə məlum olan informasiya , məsələn, istifadəçi şifrəsi;
• Subyektə aid olan fiziki cihaz və ya avadanlıq , məsələn, smart kart, token, public key və s.
• Subyektin fiziki-bioloji xüsusiyyətləri , məsələn, barmaq izi, retina və iris scanning ( biometrika)

Göstərilən faktorların hər biri ayrılıqda da autentifikasiya prosesini həyata keçirə bilir, amma yalnız 1 faktordan istifadə zamanı ortaya çıxan bəzi riskləri nəzərə almalıyıq:

• İstifadəçinin şifrəsi onun həqiqi sahibi tərəfindən istifadəsinə təminat vermir – şifrə oğurlana və ya istifadəçi tərəfindən başqasına ötürülə bilər.
• Smart kart, token və s. istifadəçiyə məxsus alətlər də eyni şəkildə, oğurlana bilər.
• Bİometrik autentifikasiya metodlarının da öz çatışmayan cəhətləri vardir ki, bunları da bir ayrı postda təsvir edəcəyəm.

Bu səbəbdən, nisbətən daha həssas məlumatların qorunması üçün göstərilən metodların kombinasiyasından istifadə etmək məsləhət görülür ki, buna da çoxfaktorlu ( multifactor) autentifikasiya deyilir.

Çoxfaktorlu autentifikasiya, sistemə giriş zamanı 2 və daha çox autentifikasiya metodlarından istifadəni təklif edir ki bu da, həmin metodların hər hansı birinin ələ keçirildiyi təqdirdə, əlavə müdafiə vasitəsi rolunu oynayır.

Məsələn, hər hansı web səhifəyə daxil olmaq istərkən, istifadəçinin standart şifrəsindən əlavə, token, smart card vasitəsilə generasiya olunmuş bir dəfəlik şifrənin də daxil olunması tələb edilə bilər. Bu zaman, istifadəçiyə məlum olan şifrə ələ keçirilsə də, istifadəçiyə məxsus olan token və ya smart card ələ keçirilmədiyindən, sistemə daxil olmaq mümkün olmayacaqdır.