User verification — autentifikator yoki tizimning operatsiyani bajarayotgan shaxs qonuniy foydalanuvchi ekanini mahalliy sir, biometrika yoki boshqa dalil orqali tekshirish jarayonidir. Atama ayniqsa FIDO va WebAuthn muhitida autentifikator PIN, qurilma paroli yoki biometrikani tekshirganini bildiradi. Bu user presence bilan bir xil emas: tugmani bosish odam hozirligini ko‘rsatishi mumkin, lekin qaysi foydalanuvchi ekanini tasdiqlamasligi mumkin.
Mahalliy tekshiruv
Platform authenticator barmoq izi yoki yuzni qurilmaning xavfsiz qismida tekshirishi mumkin. Biometrik template odatda relying partyga yuborilmaydi. Server faqat autentifikator user verification bajarganini cryptographic assertion flagi va imzo orqali ko‘radi. Shu tariqa sayt foydalanuvchining raw biometrik ma’lumotini olmaydi.
Roaming security keyda user verification PIN orqali bajarilishi mumkin. PIN server account paroli emas; u autentifikatorni mahalliy unlock qiladi. Protocol PINni oddiy matn ko‘rinishida relying partyga bermasligi kerak. Noto‘g‘ri urinish limiti brute force’ni cheklaydi va qurilma bloklanishi uchun recovery jarayoni bo‘ladi.
Presence bilan farqi
User presence fizik gesture talab qiladi: sensorni tegizish yoki tugmani bosish. Bu malware’ning foydalanuvchi bilmasdan uzluksiz imzo so‘rashini kamaytiradi. Biroq umumiy kompyuterdagi istalgan kishi tugmani bosa oladi. User verification esa autentifikator ro‘yxatdan o‘tgan shaxsni tanishga urinadi.
Har amal uchun bir xil daraja shart emas. Past xavfli login presence bilan, to‘lov tasdig‘i esa verification bilan bajarilishi mumkin. Relying party WebAuthn so‘rovida talab darajasini belgilaydi va qaytgan assertionda haqiqiy flagni tekshiradi; faqat client UI xabariga ishonmaydi.
Ro‘yxatga olish va bog‘lash
Credential registration paytida qaysi authenticator va verification usuli qabul qilingani qayd etiladi. Attestation qurilma xususiyatlari haqida signal berishi mumkin, lekin har deploymentda majburiy emas. Accountga yangi authenticator qo‘shish mavjud kuchli sessiya yoki qayta autentifikatsiya bilan himoyalanadi.
Biometrika o‘zgarsa yoki yangi barmoq qurilmaga qo‘shilsa, server buni har doim bevosita bilmaydi. Platformaning local enrollment siyosati threat modelga ta’sir qiladi. Yuqori xavfli tizim device management holati yoki enterprise attestation kabi qo‘shimcha signal ishlatishi mumkin.
Fallback va recovery
Foydalanuvchi biometrikani ishlata olmasligi, sensor buzilishi yoki PINni unutishi mumkin. Muqobil verification yo‘li mavjud bo‘ladi, ammo u asosiy usuldan ancha zaif bo‘lsa hujumchi doim fallbackni tanlaydi. Recovery code, boshqa ro‘yxatdan o‘tgan authenticator yoki tekshirilgan support jarayoni risk asosida qo‘llanadi.
Account recovery hodisasi foydalanuvchiga xabar qilinadi va yangi credential qo‘shilganda mavjud sessiyalarni qayta ko‘rib chiqish mumkin. Help desk operatoriga autentifikator sirini yoki biometrikani ko‘rish huquqi berilmaydi.
Maxfiylik va UX
Relying party “biometrika muvaffaqiyatli” degan aniq turdan ko‘ra user verification flagini olishi privacy uchun ma’qul. Tizim foydalanuvchiga qaysi qurilma va account uchun tasdiqlayotganini aniq ko‘rsatadi. Phishingga chidamli credential origin bilan kriptografik bog‘langan bo‘lsa, soxta sayt haqiqiy sayt uchun assertion ola olmaydi.
False rejection va accessibility metrikalari kuzatiladi. Faqat biometrikaga majburlash o‘rniga teng kuchli PIN yoki boshqa accessible usul beriladi. Verification natijasi qisqa muddatga amal qilishi mumkin; juda uzoq sessiya yuqori xavfli keyingi amal uchun step-up talab qiladi.
Bog‘liq tushunchalar
WebAuthn, FIDO2, User presence, Platform authenticator, Biometric verification, Security key, Step-up authentication