Sikkerhetsnivå
Sikkerhetsnivå i digital adgangskontroll er ulike grader av sikkerhet som kan oppnås. Nivåene er gitt av hvordan og i hvilken grad innloggingen er basert på andre verifiserbare systemer, fysiske og virtuelle nøkler, og historikken til internt og eksternt system.
Nivåene er definert litt forskjellige etter om en bruker skal identifiseres eller autentiseres. Nivå 1 til 3 kan ved autentisering brukes uten at kontoens er knyttet til en kjent identitet, men ved identifisering må kontoens identitet være kjent.
Det brukes ofte fem nivåer
- Sikkerhetsnivå 0 – Innlogging uten henvisning til andre systemer
- Brukernavn og passord er egendefinert av brukeren, og det er ingen sikker identifisering av brukeren. I et slikt system kan brukeren kun autentiseres utfra historikk i systemet.
- Sikkerhetsnivå 1 – Innlogging med tildelt brukernavn og gjenbrukbart passord
- Brukeren er identifisert av systemeier som tildeler brukernavn (identitet), men passordet gjenbrukes, og dermed svekkes sikkerheten. I et slikt system er det ofte lagt begrensinger på hva en bruker kan endre.
- Sikkerhetsnivå 2 – Innlogging med tildelt brukernavn og engangspassord
- Brukeren er identifisert av systemeier som tildeler brukernavn, og engangspassordet (sikkerhetskoden) brukes kun en gang. Sikkerhetskodene kan være fra kodebrev, passordkalkulator, eller app på mobil. Dette gir god sikkerhet.
- Sikkerhetsnivå 3 – Innlogging med brukerspesifikt digitalt sertifikat
- Bruker er identifisert av systemeier via innhold som signeres med det digitale sertifikatet. Sertifikatet kan gjenbrukes. Selv om dette ofte oppfattes som et høyere nivå enn engangspassord, så tilsvarer det i praksis bare ekstra lange slike.
- Sikkerhetsnivå 4 – Innlogging med tildelt brukernavn og engangspassord etter oppmøte
- Brukeren er identifisert av systemeier som tildeler brukernavn, og sikkerhetskoden (passordet) brukes kun en gang. Engangspassordene kan være fra kodebrev, passordkalkulator, eller app på mobil, som er fysisk overlevert til identifisert bruker etter oppmøte. Dette gir meget god sikkerhet.
Varianter er blant annet at brukeren alltid skal være identifisert ved oppmøte. Da utgår sikkerhetsnivå 0 og 4, og det finnes kun tre distinkte nivåer.
Nivå 2 og 3 er begge noe brukeren har, til forskjell fra nivå 1 som er noe brukeren vet. Hvis det brukes flerfaktorautentisering så vil det forutsette at sikkerhetskoder brukes sammen med passord, det vil si at det brukes både noe brukeren har og vet.