Autentifikācija un autorizācija ir divi vārdi, ko lieto drošības pasaulē. Tie var izklausīties līdzīgi, bet ir pilnīgi atšķirīgi viens no otra. Autentifikācija tiek izmantota, lai autentificētu kādas personas identitāti, savukārt autorizācija ir veids, kā piešķirt kādam atļauju piekļūt noteiktam resursam. Šie ir divi drošības pamatjēdzieni, un tāpēc tie ir rūpīgi jāsaprot. Šajā tēmā mēs apspriedīsim, kas ir autentifikācija un autorizācija un kā tās atšķiras viena no otras.
Kas ir autentifikācija?
- Autentifikācija ir personas identitātes noteikšanas process, pārliecinoties, ka šī persona ir tāda pati kā tā, par ko tā pieprasa.
- To izmanto gan serveris, gan klients. Serveris izmanto autentifikāciju, kad kāds vēlas piekļūt informācijai, un serverim ir jāzina, kas piekļūst informācijai. Klients to izmanto, ja vēlas zināt, ka tas ir tas pats serveris, par kuru tas apgalvo.
- Servera autentifikāciju galvenokārt veic, izmantojot lietotājvārds un parole. Var izmantot arī citus servera autentifikācijas veidus kartes, tīklenes skenēšana, balss atpazīšana un pirkstu nospiedumi.
- Autentifikācija nenodrošina, kādus uzdevumus procesa ietvaros viena persona var veikt, kādus failus tā var skatīt, lasīt vai atjaunināt. Tas galvenokārt nosaka, kas patiesībā ir persona vai sistēma.
Autentifikācijas faktori
Atkarībā no drošības līmeņiem un lietojumprogrammas veida ir dažādi autentifikācijas faktoru veidi:
Viena faktora autentifikācija ir vienkāršākais autentifikācijas veids. Tam ir nepieciešams tikai lietotājvārds un parole, lai lietotājs varētu piekļūt sistēmai.
Saskaņā ar nosaukumu tā ir divu līmeņu drošība; tāpēc, lai autentificētu lietotāju, ir nepieciešama divpakāpju verifikācija. Tam nav nepieciešams tikai lietotājvārds un parole, bet arī unikāla informācija, ko zina tikai konkrētais lietotājs, piemēram kā pirmais skolas nosaukums, iecienītākais galamērķis . Papildus tam tā var arī verificēt lietotāju, nosūtot OTP vai unikālu saiti uz lietotāja reģistrēto numuru vai e-pasta adresi.
Šis ir visdrošākais un progresīvākais autorizācijas līmenis. Tam nepieciešami divi vai vairāk nekā divi drošības līmeņi no dažādām un neatkarīgām kategorijām. Šo autentifikācijas veidu parasti izmanto finanšu organizācijās, bankās un tiesībaizsardzības iestādēs. Tas nodrošina, ka no trešās puses vai hakeriem tiek novērsti jebkādi datu atklājēji.
Slavenās autentifikācijas metodes
1. Uz paroli balstīta autentifikācija
pastnieks
Tas ir vienkāršākais autentifikācijas veids. Tam nepieciešama konkrētā lietotājvārda parole. Ja parole sakrīt ar lietotājvārdu un abas detaļas atbilst sistēmas datu bāzei, lietotājs tiks veiksmīgi autentificēts.
2. Autentifikācija bez paroles
haralds baldrs
Izmantojot šo paņēmienu, lietotājam nav nepieciešama parole; tā vietā viņš saņem OTP (vienreizējo paroli) vai saiti uz viņa reģistrētā mobilā tālruņa numura vai tālruņa numura. Var teikt arī uz OTP balstītu autentifikāciju.
3. 2FA/MFA
2FA/MFA vai 2-faktoru autentifikācija/daudzfaktoru autentifikācija ir augstāks autentifikācijas līmenis. Tas prasa papildu PIN vai drošības jautājumus, lai tas varētu autentificēt lietotāju.
4. Vienotā pierakstīšanās
kā palaist skriptu Linux
Vienotā pierakstīšanās vai SSO ir veids, kā iespējot piekļuvi vairākām lietojumprogrammām ar vienu akreditācijas datu kopu. Tas ļauj lietotājam pierakstīties vienreiz, un tas tiks automātiski pierakstīts visās citās tīmekļa lietotnēs no tā paša centralizētā direktorija.
5. Sociālā autentifikācija
Sociālajai autentifikācijai nav nepieciešama papildu drošība; tā vietā tā pārbauda lietotāju ar esošajiem pieejamā sociālā tīkla akreditācijas datiem.
Kas ir autorizācija?
- Autorizācija ir process, kurā kādam tiek dota atļauja kaut ko darīt. Tas nozīmē, ka tas ir veids, kā pārbaudīt, vai lietotājam ir atļauja izmantot resursu vai nē.
- Tas nosaka, kādiem datiem un informācijai lietotājs var piekļūt. To sauc arī kā AuthZ.
- Autorizācija parasti darbojas ar autentifikāciju, lai sistēma varētu zināt, kas piekļūst informācijai.
- Lai piekļūtu informācijai, kas pieejama internetā, ne vienmēr ir nepieciešama autorizācija. Dažiem datiem, kas pieejami internetā, var piekļūt bez jebkādas atļaujas, piemēram, varat lasīt par jebkuru tehnoloģiju no šeit .
Autorizācijas metodes
RBAC jeb uz lomu balstīta piekļuves kontroles tehnika tiek piešķirta lietotājiem atbilstoši viņu lomai vai profilam organizācijā. To var ieviest sistēmai-sistēmai vai lietotājam-sistēmai.
JSON tīmekļa marķieris jeb JWT ir atvērts standarts, ko izmanto, lai droši pārsūtītu datus starp pusēm JSON objekta veidā. Lietotāji tiek pārbaudīti un autorizēti, izmantojot privāto/publisko atslēgu pāri.
SAML apzīmē Drošības apgalvojuma iezīmēšanas valoda. Tas ir atvērts standarts, kas pakalpojumu sniedzējiem nodrošina autorizācijas akreditācijas datus. Šie akreditācijas dati tiek apmainīti, izmantojot digitāli parakstītus XML dokumentus.
Tas palīdz klientiem pārbaudīt galalietotāju identitāti, pamatojoties uz autentifikāciju.
OAuth ir autorizācijas protokols, kas ļauj API autentificēties un piekļūt pieprasītajiem resursiem.
Atšķirību diagramma starp autentifikāciju un autorizāciju
| Autentifikācija | Autorizācija |
|---|---|
| Autentifikācija ir lietotāja identificēšanas process, lai nodrošinātu piekļuvi sistēmai. | Autorizācija ir process, kurā tiek piešķirta atļauja piekļūt resursiem. |
| Šajā gadījumā lietotājs vai klients un serveris tiek pārbaudīti. | Tajā tiek pārbaudīts, vai lietotājam ir atļauts izmantot noteiktās politikas un noteikumus. |
| Parasti to veic pirms autorizācijas. | Parasti tas tiek darīts, kad lietotājs ir veiksmīgi autentificēts. |
| Tam nepieciešama lietotāja pieteikšanās informācija, piemēram, lietotājvārds un parole utt. | Tam nepieciešamas lietotāja privilēģijas vai drošības līmenis. |
| Dati tiek nodrošināti, izmantojot Token ID. | Dati tiek nodrošināti, izmantojot piekļuves marķierus. |
| Piemērs: Pieteikšanās informācijas ievadīšana ir nepieciešama, lai darbinieki varētu autentificēties, lai piekļūtu organizācijas e-pastiem vai programmatūrai. | Piemērs: Kad darbinieki ir veiksmīgi autentificējušies, viņi var piekļūt noteiktām funkcijām un strādāt ar tām tikai atbilstoši savām lomām un profiliem. |
| Autentifikācijas akreditācijas datus lietotājs var daļēji mainīt atbilstoši prasībām. | Lietotājs nevar mainīt autorizācijas atļaujas. Atļaujas lietotājam piešķir sistēmas īpašnieks/pārzinis, un viņš tās var tikai mainīt. |
Secinājums
Saskaņā ar iepriekš minēto diskusiju mēs varam teikt, ka autentifikācija pārbauda lietotāja identitāti, un autorizācija pārbauda lietotāja piekļuvi un atļaujas. Ja lietotājs nevar pierādīt savu identitāti, viņš nevar piekļūt sistēmai. Un, ja esat autentificēts, pierādot pareizo identitāti, bet neesat pilnvarots veikt noteiktu funkciju, jūs nevarēsit tai piekļūt. Tomēr abas drošības metodes bieži tiek izmantotas kopā.