Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Identification (Xác định danh tính) trong an ninh mạng

Identification (Xác định danh tính) là gì?

Identification là quá trình khai báo danh tính (claim an identity) của một chủ thể (user, process, device, service) đối với hệ thống. Ví dụ: nhập username, email, certificate subject DN, device MAC/IP, API key ID.

Đây là bước đầu tiên trong quy trình AAA (Authentication, Authorization, Accounting).

Identification vs Authentication vs Authorization

Khái niệmCâu hỏiVí dụYếu tố (Factor)
Identification (Xác định danh tính) "Bạn là ai?" Username: jdoe, Email, Cert Subject DN, Device ID Public identifier (ID)
Authentication (Xác thực) "Bạn có phải là người đó không?" Password, OTP, Private key signature, Biometric, FIDO2 key Something you know/have/are
Authorization (Phân quyền) "Bạn được làm gì?" RBAC role, ACL, Policy (OPA/Rego), ABAC attributes Permissions/Roles/Policies

Identification trong các mô hình kiểm soát truy cập

1. DAC (Discretionary Access Control)

Owner quyết định ai truy cập. Identification = User ID/UID. File system UNIX (rwx), Windows ACL.

2. MAC (Mandatory Access Control)

Hệ thống quyết định dựa trên nhãn bảo mật (Security Labels). Identification = Subject Label (Clearance) + Object Label (Classification). Ví dụ: SELinux, Bell-LaPadula, Biba.

3. RBAC (Role-Based Access Control)

Identification = User ID → gán Role → Role có Permissions. Phổ biến nhất trong doanh nghiệp.

4. ABAC (Attribute-Based Access Control)

Identification = tập hợp Attributes (user.attr, resource.attr, environment.attr). Policy engine (OPA, XACML) evaluate real-time.

5. Zero Trust / ZTNA

Identification = Device Identity (certificate, TPM attestation) + User Identity (IdP) + Context (location, time, risk score). Mỗi request đều verify.

Identity Management (IdM / IAM)

Hệ thống quản trị vòng đời danh tính:

  • Provisioning/Deprovisioning: Tạo/vô hiệu hóa account (HR-driven, SCIM).
  • Authentication: MFA, SSO, Federation (SAML/OIDC), Passwordless (FIDO2/WebAuthn).
  • Authorization: RBAC/ABAC, Fine-grained, Just-in-Time (JIT) access.
  • Governance (IGA): Access certification, SoD (Segregation of Duties), Role mining.
  • Audit/Accounting: Log mọi hoạt động identification/authz/authn.

Identity Controls (Kiểm soát danh tính)

  • Strong Authentication: MFA (phishing-resistant: FIDO2, Smart Card, Cert-based).
  • Unique Identification: Mỗi user/thiết bị có ID duy nhất, không shared account.
  • Lifecycle Management: Joiner/Mover/Leaver process tự động.
  • Privileged Access Management (PAM): Vault credential, session recording, just-in-time elevation.
  • Machine Identity: Certificate (mTLS), SPIFFE/SPIRE, API keys, Service mesh (Istio/Linkerd).

Chính sách Identification & Authentication (I&A Policy)

Theo NIST SP 800-53 (IA family):

  • IA-1: Policy & Procedures.
  • IA-2: Identification & Authentication (Organizational Users) – MFA bắt buộc cho remote/local privileged.
  • IA-3: Device Identification & Authentication (802.1X, Cert, TPM).
  • IA-4: Identifier Management (unique, reuse policy).
  • IA-5: Authenticator Management (password policy, token, cert, biometric).
  • IA-6: Authenticator Feedback (độ mờ feedback khi nhập sai).
  • IA-7: Cryptographic Module Authentication (FIPS 140).
  • IA-8: Non-Organizational Users (partner, contractor).
  • IA-9: Service Identification & Authentication (service accounts, workload identity).
  • IA-10: Adaptive Authentication (risk-based, contextual).
  • IA-11: Re-authentication (session timeout, step-up).

3 yếu tố xác thực (Authentication Factors) – gắn liền với Identification

  1. Something you Know (Kiến thức): Password, PIN, Passphrase, Security Question (yếu).
  2. Something you Have (Sở hữu): Hardware Token (YubiKey, RSA SecurID), Smartphone (Authenticator App, Push), Smart Card/PIV/CAC, FIDO2 Security Key.
  3. Something you Are (Sinh trắc): Vân tay, FaceID, Iris, Voice, Behavioral (keystroke, mouse dynamics).

MFA = kết hợp ≥2 yếu tố từ các loại khác nhau. Phishing-resistant MFA (FIDO2, Cert-based) là tiêu chuẩn vàng hiện nay.

Identification trong Network Security cụ thể

  • 802.1X / NAC: Supplicant identify bằng certificate/user+pass → RADIUS verify → Policy decision (VLAN, ACL, posture).
  • VPN / ZTNA: User + Device identity → IdP (SAML/OIDC) → Policy Engine → Access token (JWT/mTLS cert).
  • Firewall / Micro-segmentation: Identity-based rules (User/Group/Device tag) thay vì chỉ IP/Port.
  • SIEM / UEBA: Correlation dựa trên Identity (User Principal Name, Device ID) để detect anomaly.
  • API Security: Client ID + Secret / mTLS / OAuth2 / JWT claims làm identification.

Thách thức hiện nay

  • Identity Sprawl (nhiều IdP, directory, SaaS app).
  • Non-human Identity (NHI) explosion: service accounts, API keys, secrets, certificates, containers, serverless functions.
  • Credential theft (phishing, infostealer, credential stuffing).
  • Deepfake / AI-generated biometric bypass.
  • Privacy vs Security (GDPR, data minimization cho identity data).

Kết luận

Identification là ngõ vào của mọi quyết định bảo mật. Không xác định chính xác "ai/là gì" thì không thể xác thực, phân quyền, audit, hay detect anomaly hiệu quả. Chiến lược Identity-First Security (Zero Trust, IAM hiện đại, NHI management) là xu hướng tất yếu.