Silne uwierzytelnianie użytkownika

Silne uwierzytelnianie użytkownika to sposób potwierdzania tożsamości osoby, który ma chronić poufność danych i opiera się na wykorzystaniu co najmniej dwóch różnych elementów. Pojęcie to jest zdefiniowane w ustawie „o usługach płatniczych” i odnosi się do sytuacji, w których samo użycie jednego sposobu potwierdzenia tożsamości nie jest wystarczające.

Elementy stosowane w ramach silnego uwierzytelniania muszą pochodzić z odrębnych kategorii:

• wiedza, czyli informacja znana wyłącznie użytkownikowi, na przykład hasło lub kod;
• posiadanie, czyli przedmiot albo urządzenie pozostające wyłącznie w dyspozycji użytkownika, na przykład telefon lub inny nośnik;
• cechy charakterystyczne użytkownika, czyli jego indywidualne właściwości, takie jak cecha biometryczna.

Wymóg polega nie tylko na zastosowaniu dwóch metod, ale na połączeniu co najmniej dwóch elementów należących do tych kategorii. Elementy te powinny być integralną częścią procesu uwierzytelniania, a więc rzeczywiście służyć do potwierdzenia tożsamości użytkownika. Muszą też pozostawać od siebie niezależne. Oznacza to, że naruszenie albo ujawnienie jednego elementu nie może samo w sobie podważać wiarygodności pozostałych. Przykładowo, przejęcie informacji należącej do kategorii wiedzy nie powinno automatycznie umożliwiać pominięcia elementu opartego na posiadaniu lub cesze użytkownika.

W ustawie pojęcie to wyznacza podwyższony poziom ochrony danych wykorzystywanych przy korzystaniu z usług płatniczych. Jego znaczenie praktyczne polega na ograniczeniu ryzyka, że osoba nieuprawniona uzyska dostęp do informacji lub dokona czynności, posługując się tylko jednym przejętym sposobem potwierdzenia tożsamości. Silne uwierzytelnianie tworzy zatem wielopoziomową barierę, w której bezpieczeństwo zależy od kilku niezależnych elementów, a nie od jednego hasła, urządzenia albo cechy.