Автентифікація та авторизація – два слова, які використовуються у світі безпеки. Вони можуть звучати схоже, але повністю відрізняються один від одного. Автентифікація використовується для автентифікації чиєїсь особи, тоді як авторизація – це спосіб надати комусь дозвіл на доступ до певного ресурсу. Це два основні терміни безпеки, тому їх потрібно зрозуміти. У цій темі ми обговоримо, що таке автентифікація та авторизація та чим вони відрізняються один від одного.
Що таке автентифікація?
- Автентифікація — це процес ідентифікації чиєїсь особи шляхом впевненості, що ця особа є такою ж, якою вона претендує.
- Він використовується як сервером, так і клієнтом. Сервер використовує автентифікацію, коли хтось хоче отримати доступ до інформації, і сервер повинен знати, хто має доступ до інформації. Клієнт використовує його, коли хоче знати, що це той самий сервер, яким він себе видає.
- Автентифікація на сервері здійснюється здебільшого за допомогою ім'я користувача та пароль. Інші способи автентифікації сервером також можна виконати за допомогою картки, сканування сітківки ока, розпізнавання голосу та відбитки пальців.
- Автентифікація не гарантує, які завдання в рамках процесу може виконувати одна особа, які файли вона може переглядати, читати або оновлювати. Здебільшого він визначає, ким насправді є особа чи система.
Фактори автентифікації
Відповідно до рівнів безпеки та типу програми існують різні типи факторів автентифікації:
Однофакторна автентифікація є найпростішим способом автентифікації. Потрібно лише ім’я користувача та пароль, щоб дозволити користувачеві отримати доступ до системи.
Відповідно до назви, це дворівнева безпека; отже, для автентифікації користувача потрібна двоетапна перевірка. Для цього не потрібні лише ім’я користувача та пароль, а й унікальна інформація, яку знає лише конкретний користувач, наприклад як назва першої школи, улюблене місце . Окрім цього, він також може перевірити користувача, надіславши одноразовий пароль або унікальне посилання на зареєстрований номер або адресу електронної пошти користувача.
Це найбезпечніший і просунутий рівень авторизації. Для цього потрібні два або більше двох рівнів безпеки з різних незалежних категорій. Цей тип аутентифікації зазвичай використовується у фінансових організаціях, банках і правоохоронних органах. Це гарантує усунення будь-яких розкривачів даних від третьої сторони або хакерів.
Відомі методи автентифікації
1. Аутентифікація на основі пароля
Це найпростіший спосіб аутентифікації. Для цього потрібен пароль для конкретного імені користувача. Якщо пароль збігається з іменем користувача та обидві деталі збігаються з базою даних системи, користувача буде успішно автентифіковано.
2. Аутентифікація без пароля
У цій техніці користувачеві не потрібен пароль; замість цього він отримує OTP (одноразовий пароль) або посилання на свій зареєстрований номер мобільного телефону або номер телефону. Це також можна сказати, що автентифікація на основі OTP.
3. 2FA/MFA
2FA/MFA або 2-факторна автентифікація/багатофакторна автентифікація є вищим рівнем автентифікації. Для автентифікації користувача потрібні додаткові PIN-код або питання безпеки.
4. Єдиний вхід
Єдиний вхід або SSO це спосіб дозволити доступ до кількох програм за допомогою одного набору облікових даних. Це дозволяє користувачеві ввійти один раз, і він автоматично ввійде в усі інші веб-програми з того самого централізованого каталогу.
5. Соціальна автентифікація
Соціальна автентифікація не вимагає додаткового захисту; замість цього він перевіряє користувача за наявними обліковими даними для доступної соціальної мережі.
Що таке авторизація?
- Авторизація — це процес надання комусь дозволу на виконання певних дій. Це означає, що це спосіб перевірити, чи має користувач дозвіл на використання ресурсу чи ні.
- Він визначає, до яких даних та інформації може отримати доступ один користувач. Він також називається AuthZ.
- Авторизація зазвичай працює з автентифікацією, щоб система могла знати, хто має доступ до інформації.
- Авторизація не завжди потрібна для доступу до інформації, доступної в Інтернеті. Деякі дані, доступні в Інтернеті, можна отримати без будь-якого дозволу, наприклад, ви можете читати про будь-які технології тут .
Методи авторизації
RBAC або техніка керування доступом на основі ролей надається користувачам відповідно до їхньої ролі чи профілю в організації. Він може бути реалізований як система-система, так і користувач-система.
Веб-токен JSON або JWT — це відкритий стандарт, який використовується для безпечної передачі даних між сторонами у формі об’єкта JSON. Користувачі перевіряються та авторизуються за допомогою пари закритий/відкритий ключ.
SAML означає Мова розмітки твердження безпеки. Це відкритий стандарт, який надає облікові дані для авторизації постачальникам послуг. Обмін цими обліковими даними здійснюється через XML-документи з цифровим підписом.
Це допомагає клієнтам перевірити особу кінцевих користувачів на основі аутентифікації.
OAuth — це протокол авторизації, який дозволяє API автентифікувати та отримувати доступ до запитаних ресурсів.
Таблиця відмінностей між автентифікацією та авторизацією
| Аутентифікація | Авторизація |
|---|---|
| Автентифікація — це процес ідентифікації користувача для надання доступу до системи. | Авторизація — це процес надання дозволу на доступ до ресурсів. |
| При цьому користувач або клієнт і сервер перевіряються. | При цьому перевіряється, чи дозволено користувачеві через визначені політики та правила. |
| Зазвичай це виконується до авторизації. | Зазвичай це робиться після успішної автентифікації користувача. |
| Для цього потрібні дані для входу користувача, такі як ім’я користувача та пароль тощо. | Для цього потрібні привілеї користувача або рівень безпеки. |
| Дані надаються через ідентифікатори маркерів. | Дані надаються через маркери доступу. |
| приклад: Введення даних для входу є необхідним для того, щоб співробітники могли автентифікуватися для доступу до організаційної електронної пошти або програмного забезпечення. | приклад: Після успішної автентифікації співробітники можуть отримати доступ до певних функцій і працювати з ними лише відповідно до своїх ролей і профілів. |
| Облікові дані автентифікації можуть бути частково змінені користувачем відповідно до вимог. | Дозволи авторизації не можуть бути змінені користувачем. Дозволи надаються користувачеві власником/адміністратором системи, і він може лише змінити їх. |
Висновок
Згідно з наведеним вище обговоренням, можна сказати, що автентифікація перевіряє особу користувача, а авторизація перевіряє доступ і дозволи користувача. Якщо користувач не може підтвердити свою особу, він не може отримати доступ до системи. І якщо ви пройшли автентифікацію, підтвердивши правильну особу, але ви не авторизовані для виконання певної функції, ви не зможете отримати до неї доступ. Однак обидва методи захисту часто використовуються разом.