La fiducia nell'identità è il livello attuale di fiducia che un sistema assegna a un utente o a una sessione. Non è solo il risultato di un accesso; è un giudizio continuo costruito a partire da fattori come lo stato del dispositivo, la posizione, il metodo di autenticazione, i cambi di operatore e il comportamento della sessione. Nella progettazione della sicurezza moderna, quella fiducia dovrebbe cambiare man mano che emergono nuove prove.
Questo è importante perché gli aggressori spesso cercano di indebolire i segnali d'identità dopo il login iniziale. Ad esempio, uno scambio SIM può trasferire un numero di telefono a un dispositivo controllato dall'aggressore, rendendo meno affidabili i codici SMS e i flussi di recupero. Se un sistema mantiene un'alta fiducia dopo il porting di un numero, la sostituzione del dispositivo o una improvvisa perdita di servizio, potrebbe consentire che reimpostazioni della password, modifiche dell'MFA o azioni sensibili procedano. I difensori usano la fiducia nell'identità per attivare una verifica aggiuntiva, bloccare tentativi di recupero rischiosi e preferire autenticatori resistenti al phishing come passkey o chiavi di sicurezza.