verificación de identidad

La garantía de identidad en el contexto de la gestión federada de identidades es la capacidad de una parte para determinar, con cierto grado de certeza, que una credencial electrónica que representa a una entidad (humana o máquina) con la que interactúa para efectuar una transacción, pertenece realmente a dicha entidad.

En el caso de que la entidad sea una persona, la garantía de identidad es el nivel de confianza que se puede depositar en la credencial presentada para que represente a la persona a quien se le emitió y no a otra. Los niveles de garantía (AL o LoA) son los niveles de confianza asociados a una credencial, medidos según la tecnología, los procesos y las políticas y prácticas relacionadas.

La verificación de identidad, en un contexto en línea, es la capacidad de una parte confiable para determinar, con cierto grado de certeza, que una declaración de identidad realizada por una entidad es realmente la identidad "verdadera" del reclamante. Las declaraciones de identidad se realizan presentando una credencial de identidad a la parte confiable . En el caso de que la entidad sea una persona, esta credencial puede adoptar diversas formas, entre ellas: (a) información de identificación personal, como nombre, dirección, fecha de nacimiento, etc.; (b) un proxy de identidad, como un nombre de usuario, un identificador de inicio de sesión (nombre de usuario) o una dirección de correo electrónico; y (c) un certificado digital X.509 .

La garantía de identidad se refiere específicamente al grado de certeza de una afirmación de identidad realizada por un proveedor de identidad al presentar una credencial de identidad a la parte que confía en ella. Para emitir esta afirmación, el proveedor de identidad debe determinar primero si el solicitante posee y controla un token apropiado, utilizando un protocolo de autenticación predefinido . Según el resultado de este procedimiento de autenticación, la afirmación que el proveedor de identidad devuelve a la parte que confía en ella le permite decidir si confía o no en que la identidad asociada con la credencial realmente "pertenece" a la persona que la presenta.

El grado de certeza que una parte que confía en una credencial de identidad puede tener sobre su verdadera identidad se conoce como nivel de garantía (AL). Un documento de 2006 del Instituto Nacional de Estándares y Tecnología de EE . UU. (NIST) describió cuatro niveles de garantía. ^{[ 1 ]} El nivel de garantía se mide por la solidez y el rigor del proceso de verificación de identidad, la seguridad del token utilizado para autenticar la declaración de identidad y los procesos de gestión que el proveedor de identidad aplica. Estos cuatro niveles fueron adoptados por los gobiernos del Reino Unido, Canadá y EE. UU. para los servicios gubernamentales electrónicos.

Para realizar negocios en línea, las entidades necesitan poder identificarse de forma remota y fiable. Sin embargo, en la mayoría de los casos, no basta con que la credencial electrónica típica (generalmente un nombre de usuario y contraseña básicos o un certificado digital) simplemente afirme "Soy quien digo ser, créanme". ​​Una parte confiable (RP) necesita saber con cierto grado de certeza que la credencial de identidad electrónica presentada representa realmente a la persona que la presenta. En el caso de credenciales autoemitidas, esto no es posible. Sin embargo, la mayoría de las credenciales de identidad electrónica son emitidas por proveedores de identidad (IdP): el administrador de la red del lugar de trabajo , un servicio de redes sociales , un administrador de juegos en línea, una entidad gubernamental o un tercero de confianza que vende certificados digitales. La mayoría de las personas tienen múltiples credenciales de múltiples proveedores. Cuatro públicos se ven afectados por la transacción y la confianza inherente a la misma:

1. Usuarios de credenciales de identidad electrónica,
2. Entidades que dependen de las credenciales emitidas por proveedores de identidad electrónica (IdP),
3. Proveedores de servicios de IdP y auditores o evaluadores que revisan los procesos comerciales de los IdP, y
4. Las partes confiables (RP) confían en las credenciales de identidad electrónica proporcionadas por los proveedores de identidad (IdP).

Los distintos proveedores de identidad (IdP) siguen políticas y procedimientos diferentes para la emisión de credenciales de identidad electrónica. En el ámbito empresarial, y especialmente en el gubernamental, cuanto más fiable sea la credencial, más estrictas serán las normas que rigen la verificación de identidad, la gestión de credenciales y el tipo de credenciales emitidas. Si bien cada IdP sigue sus propias normas, cada vez más usuarios finales (a menudo denominados suscriptores) y servicios en línea (a menudo denominados partes confiables) desean confiar en las credenciales existentes y no tener que emitir otro conjunto de nombres de usuario/contraseñas u otras credenciales para acceder a un servicio. Aquí es donde cobra importancia el concepto de identidad federada . La identidad federada proporciona a los IdP y a las partes confiables un conjunto común de convenciones de confianza en la identidad que trascienden a los proveedores de servicios de identidad, usuarios o redes individuales, de modo que una parte confiable sepa que puede confiar en una credencial emitida por el IdP 'A' con un nivel de seguridad comparable a un estándar común, que también será acordado por los IdP 'B', 'C' y 'D'.

• servicio de verificación de identidad
• No repudio
• Identidad autosoberana