Autentifikavimas ir įgaliojimas yra du žodžiai, vartojami saugumo pasaulyje. Jie gali skambėti panašiai, bet visiškai skiriasi vienas nuo kito. Autentifikavimas naudojamas kieno nors tapatybei patvirtinti, o leidimas yra būdas suteikti kam nors leidimą pasiekti tam tikrą išteklį. Tai yra du pagrindiniai saugumo terminai, todėl juos reikia gerai suprasti. Šioje temoje aptarsime, kas yra autentifikavimas ir autorizavimas bei kaip jie skiriasi vienas nuo kito.
Kas yra autentifikavimas?
- Autentifikavimas yra kieno nors tapatybės nustatymo procesas, užtikrinantis, kad asmuo yra tas pats, dėl ko jis reikalauja.
- Jį naudoja ir serveris, ir klientas. Serveris naudoja autentifikavimą, kai kas nors nori pasiekti informaciją, o serveris turi žinoti, kas pasiekia informaciją. Klientas jį naudoja, kai nori žinoti, kad tai yra tas pats serveris, kuriuo jis teigia esantis.
- Serverio autentifikavimas dažniausiai atliekamas naudojant vartotojo vardą ir slaptažodį. Taip pat galima atlikti kitus serverio autentifikavimo būdus kortelės, tinklainės nuskaitymai, balso atpažinimas ir pirštų atspaudai.
- Autentifikavimas neužtikrina, kokias proceso užduotis gali atlikti vienas asmuo, kokius failus jis gali peržiūrėti, skaityti ar atnaujinti. Jis dažniausiai identifikuoja, kas iš tikrųjų yra asmuo ar sistema.
Autentifikavimo veiksniai
Atsižvelgiant į saugos lygius ir programos tipą, yra įvairių tipų autentifikavimo faktoriai:
javascript įspėjimo laukelis
Vieno veiksnio autentifikavimas yra paprasčiausias autentifikavimo būdas. Tam tereikia vartotojo vardo ir slaptažodžio, kad vartotojas galėtų pasiekti sistemą.
Pagal pavadinimą tai yra dviejų lygių saugumas; todėl norint patvirtinti vartotoją reikia patvirtinimo dviem veiksmais. Tam reikia ne tik vartotojo vardo ir slaptažodžio, bet ir unikalios informacijos, kurią žino tik konkretus vartotojas, pvz kaip pirmasis mokyklos pavadinimas, mėgstamiausia kelionės vieta . Be to, jis taip pat gali patvirtinti vartotoją išsiųsdamas vienkartinį kodą arba unikalią nuorodą vartotojo registruotame numeryje arba el. pašto adresu.
Tai yra saugiausias ir pažangiausias autorizacijos lygis. Tam reikalingi du ar daugiau nei du saugumo lygiai iš skirtingų ir nepriklausomų kategorijų. Šis autentifikavimo būdas dažniausiai naudojamas finansinėse organizacijose, bankuose ir teisėsaugos institucijose. Taip užtikrinama, kad trečioji šalis ar įsilaužėliai pašalins bet kokius duomenų atskleidėjus.
Įžymūs autentifikavimo būdai
1. Slaptažodžiu pagrįstas autentifikavimas
Tai paprasčiausias autentifikavimo būdas. Tam reikalingas konkretaus vartotojo vardo slaptažodis. Jei slaptažodis sutampa su vartotojo vardu ir abu duomenys atitinka sistemos duomenų bazę, vartotojas bus sėkmingai autentifikuotas.
2. Autentifikavimas be slaptažodžio
Taikant šią techniką, vartotojui nereikia jokio slaptažodžio; vietoj to jis gauna OTP (vienkartinį slaptažodį) arba nuorodą į savo registruotą mobiliojo telefono numerį arba telefono numerį. Taip pat galima sakyti, kad autentifikavimas OTP pagrindu.
3. 2FA/MFA
2FA / MFA arba 2 faktorių autentifikavimas / kelių veiksnių autentifikavimas yra aukštesnis autentifikavimo lygis. Tam reikia papildomų PIN kodo arba saugos klausimų, kad būtų galima autentifikuoti vartotoją.
4. Vienkartinis prisijungimas
operacinės sistemos pavyzdžiai
Vienkartinis prisijungimas arba SSO yra būdas įgalinti prieigą prie kelių programų naudojant vieną kredencialų rinkinį. Tai leidžia vartotojui prisijungti vieną kartą ir jis bus automatiškai prisijungęs prie visų kitų žiniatinklio programų iš to paties centralizuoto katalogo.
5. Socialinis autentifikavimas
Socialinis autentifikavimas nereikalauja papildomo saugumo; Vietoj to, jis patikrina vartotoją su esamais galimo socialinio tinklo kredencialais.
Kas yra autorizacija?
- Įgaliojimas yra procesas, suteikiantis asmeniui teisę ką nors padaryti. Tai reiškia, kad tai būdas patikrinti, ar vartotojas turi leidimą naudoti išteklius, ar ne.
- Ji apibrėžia, kokius duomenis ir informaciją gali pasiekti vienas vartotojas. Tai taip pat sakoma kaip AuthZ.
- Autorizacija paprastai veikia su autentifikavimu, kad sistema galėtų žinoti, kas pasiekia informaciją.
- Prieigai prie internete prieinamos informacijos ne visada reikalingas leidimas. Kai kuriuos duomenis, pasiekiamus internetu, galima pasiekti be jokio leidimo, pavyzdžiui, galite skaityti apie bet kokias technologijas čia .
Autorizacijos metodai
RBAC arba vaidmenimis pagrįsta prieigos valdymo technika suteikiama vartotojams atsižvelgiant į jų vaidmenį ar profilį organizacijoje. Jis gali būti įdiegtas sistemai arba vartotojui sistemai.
JSON žiniatinklio prieigos raktas arba JWT yra atviras standartas, naudojamas saugiai perduoti duomenis tarp šalių JSON objekto forma. Vartotojai tikrinami ir įgalioti naudojant privataus/viešojo rakto porą.
SAML reiškia Saugumo patvirtinimo žymėjimo kalba. Tai atviras standartas, suteikiantis paslaugų teikėjams įgaliojimus. Šiais kredencialais keičiamasi naudojant skaitmeniniu būdu pasirašytus XML dokumentus.
Tai padeda klientams autentifikavimo pagrindu patikrinti galutinių vartotojų tapatybę.
OAuth yra autorizacijos protokolas, leidžiantis API autentifikuoti ir pasiekti prašomus išteklius.
Autentifikavimo ir autorizacijos skirtumų diagrama
| Autentifikavimas | Autorizacija |
|---|---|
| Autentifikavimas yra vartotojo identifikavimo procesas, suteikiantis prieigą prie sistemos. | Autorizacija yra leidimo pasiekti išteklius suteikimo procesas. |
| Šiuo metu tikrinamas vartotojas arba klientas ir serveris. | Tai patikrinama, ar vartotojui leidžiama pagal apibrėžtą politiką ir taisykles. |
| Paprastai tai atliekama prieš suteikiant leidimą. | Paprastai tai daroma sėkmingai atpažinus vartotoją. |
| Tam reikia vartotojo prisijungimo duomenų, tokių kaip vartotojo vardas, slaptažodis ir kt. | Tam reikia vartotojo privilegijų arba saugumo lygio. |
| Duomenys pateikiami per žetonų ID. | Duomenys pateikiami per prieigos žetonus. |
| Pavyzdys: Įvesti prisijungimo duomenis būtina, kad darbuotojai galėtų autentifikuoti save, kad galėtų pasiekti organizacijos el. pašto adresus ar programinę įrangą. | Pavyzdys: Sėkmingai patvirtinę savo tapatybę darbuotojai gali pasiekti tam tikras funkcijas ir atlikti jas tik pagal savo vaidmenis ir profilius. |
| Autentifikavimo kredencialus vartotojas gali iš dalies pakeisti pagal reikalavimą. | Vartotojas negali keisti autorizavimo leidimų. Leidimus vartotojui suteikia sistemos savininkas/valdytojas, ir jis gali juos tik pakeisti. |
Išvada
Remiantis aukščiau pateikta diskusija, galime pasakyti, kad autentifikavimas patvirtina vartotojo tapatybę, o įgaliojimas patvirtina vartotojo prieigą ir leidimus. Jei vartotojas negali įrodyti savo tapatybės, jis negali prisijungti prie sistemos. Ir jei esate autentifikuotas įrodęs teisingą tapatybę, bet neturite teisės atlikti konkrečios funkcijos, negalėsite to pasiekti. Tačiau abu saugumo metodai dažnai naudojami kartu.