====== Authentication (Autentizace) ======

**Authentication** je proces ověření deklarované identity. Cílem je zajistit, aby osoba nebo systém přistupující ke zdroji byl skutečně oprávněným subjektem. 

V IT terminologii je zásadní neplést si tento pojem s **Autorizací**:
  * **Autentizace:** "Kdo jsi?" (Ověření identity).
  * **Autorizace:** "Co smíš dělat?" (Ověření přístupových práv).



----

====== Tři faktory autentizace ======

Tradičně se metody autentizace dělí do tří základních kategorií (faktorů) podle toho, na čem jsou založeny:

===== 1. Faktor znalosti (Something you know) =====
To, co uživatel nosí v hlavě. Nejpoužívanější, ale také nejzranitelnější metoda.
  * Příklady: Heslo, PIN, kontrolní otázka, gesto na displeji.

===== 2. Faktor vlastnictví (Something you have) =====
Fyzický předmět, který má uživatel u sebe.
  * Příklady: Hardwarový token (YubiKey), chytrá karta, mobilní telefon (příjem SMS kódu), certifikát na USB disku.

===== 3. Faktor inherence (Something you are) =====
Biometrické údaje, které jsou neoddělitelnou součástí těla uživatele.
  * Příklady: Otisk prstu, sken oční duhovky, rozpoznání obličeje, analýza hlasu.



----

====== Moderní přístupy k autentizaci ======

===== Vícefaktorová autentizace (MFA / 2FA) =====
Znamená kombinaci alespoň dvou různých faktorů (např. heslo + kód z mobilu). Pokud útočník ukradne heslo, stále nemá přístup k fyzickému zařízení, což dramaticky zvyšuje bezpečnost.

===== SSO (Single Sign-On) =====
Umožňuje uživateli přihlásit se jednou do centrálního systému a získat přístup ke všem propojeným aplikacím bez nutnosti znovu zadávat heslo (např. přihlášení do firemního e-mailu, intranetu a HR systému jedním účtem).

===== Passwordless (Bezheslová autentizace) =====
Moderní směr, který eliminuje hesla úplně. Využívá kryptografii veřejného klíče (např. standard **FIDO2 / Passkeys**). Uživatel se ověří lokálně na svém zařízení (otiskem prstu) a zařízení pak bezpečně potvrdí identitu serveru.

----

====== Technické uložení a protokoly ======

V systémech se autentizační údaje (hesla) nikdy nesmí ukládat v čitelné podobě (plain text). Používají se kryptografické funkce:
  * **Hashing:** Heslo se převede na unikátní řetězec (hash). Při přihlášení se porovnávají hashe, nikoliv hesla.
  * **Salt (Sůl):** Náhodná data přidaná k heslu před zahashováním, která brání útokům pomocí duplicitních tabulek (Rainbow tables).

===== Standardní protokoly: =====
  * **LDAP:** Často používán v rámci Active Directory pro správu uživatelů v sítích.
  * **OAuth 2.0 / OpenID Connect (OIDC):** Standardy pro moderní webové a mobilní aplikace (umožňují např. "Přihlásit se přes Google").
  * **Kerberos:** Síťový protokol používaný pro bezpečné ověřování v rámci doménových struktur (Windows).
  * **SAML:** Používán zejména pro výměnu autentizačních dat mezi různými doménami (časté u SSO).



----

====== Časté útoky na autentizaci ======

  * **Brute Force:** Hádání hesla zkoušením všech kombinací.
  * **Phishing:** Podvodné vylákání přihlašovacích údajů od uživatele.
  * **Credential Stuffing:** Útočník zkouší uniklá hesla z jedné služby v jiných službách.
  * **Man-in-the-Middle (MitM):** Útočník zachytí autentizační data během přenosu.

----
//Související pojmy: Authorization, MFA, Password, Biometrics, OAuth, Hashing, Passkey.//