Atât autentificarea, cât și autorizarea au semnificații diferite. Dar, este normal să ne gândim că acestea sunt sinonime. De fapt, sunt procese de securitate care au scopuri diferite. În esență, autentificarea verifică identitatea utilizatorului care dorește să acceseze o resursă. Pe de altă parte, autorizarea validează dacă utilizatorul are într-adevăr permisiunea de a-l accesa sau de a îndeplini vreo funcție . Astăzi în acest articol vom explica în detaliu diferențele dintre autentificare și autorizare, astfel încât aceste două concepte atât de importante în securitatea computerului să vă fie clare.
Autentificare și autorizare: clarificarea conceptelor
Este important să începeți cu esențialul, adică să definiți ce înseamnă fiecare lucru. Autentificare este procesul de identificare a utilizatorilor și de a se asigura că sunt cine spun ei.
Care ar putea fi o dovadă de autentificare? Cea mai folosită este parola. Dacă utilizatorul cunoaște perechea de credințe (nume de utilizator și parolă), sistemul va înțelege că identitatea utilizatorului respectiv este validă. În consecință, veți putea accesa resursa sau setul de resurse dorite.
Există o tendință vizibilă către metode de autentificare suplimentare, pentru a evita doar utilizarea parolelor. Una dintre aceste metode de autentificare suplimentare sunt OTP (OTP - One Time Passcodes), care sunt serii alfanumerice care ajung prin mesaj text (SMS), e-mail sau o generăm cu o aplicație de autentificare precum Google Authenticator, Authy sau Latch. OTP este utilizat pentru autentificarea MFA, adică multi-factor. Este un pas suplimentar care ne oferă o securitate mai mare atunci când autentificăm un utilizator.
O altă aplicație de autentificare mai modernă este SSO sau O singură logare unde un utilizator poate accesa toate resursele sistemului de care are nevoie. Acest lucru, fără a fi nevoie să introduceți perechea de date de acreditare de fiecare dată când doriți să introduceți acest lucru sau acela.
Deci, în ce constă autorizarea?
Autorizarea este ceea ce definește ce resurse de sistem va putea accesa utilizatorul autentificat . Doar pentru că ați trecut cu succes instanța de autentificare, aceasta nu înseamnă că veți putea folosi sistemul în întregime ca super administrator. Conform unei serii de reguli, reguli și regulamente specifice fiecărei rețele interne, se stabilește că utilizatorul A va avea acces la resursele X și Y. Cu toate acestea, utilizatorul B va putea accesa resursa Z.
Dacă ați fost administrator de administrator, ați avea acces la resursele X, Y și Z, precum și la resursele 1, 2 și 3, care sunt unice pentru cei cu permisiuni și privilegii de administrator.
Ambele concepte pot fi sintetizate în felul următor:
- Autentificare: verificați identitățile, prin diferite metode (ceva ce știm, ceva ce avem, ceva ce suntem).
- Autorizare : verificați permisiunile care corespund fiecărei identități.
Cele mai utilizate metode de autentificare
Am revizuit deja una dintre cele mai utilizate metode: autentificarea MFA sau Multifactor. Haideți să cităm alte metode populare:
- Fără parolă sau fără parolă. Aceasta este una dintre cele mai practice metode moderne. Un exemplu de aplicare este utilizarea a verigă magică . Este că, de fiecare dată când doriți să vă conectați la o resursă sau serviciu, va fi trimis un link către e-mailul dvs. care vă va permite să accesați fără a fi nevoie de o parolă. Aceasta este o metodă recomandată, deoarece accesul la e-mail este necesar și, prin urmare, există mai multe garanții pentru a vă asigura că acesta este cel care îl accesează.
- Pe rețelele de socializare. Fără îndoială, veți fi folosit deja această metodă. Mai multe aplicații și servicii vă oferă opțiunea de a vă conecta direct cu un cont social . Principalul avantaj este că nu este necesară crearea unui cont separat manual, în mod direct datele acelui cont social fac acel pas la începerea sesiunii. Cele mai utilizate platforme sociale sunt Facebook, Twitter și contul Google.
- Autentificare API. Acesta este procesul de certificare a identității unui utilizator care dorește să acceseze resurse și / sau servicii pe server. Pentru a ține cont, unele dintre cele mai populare API-uri de autentificare sunt: autentificarea de bază HTTP, API-ul de bază și OAuth.
- Autentificare biometrică. Utilizează amprente digitale pentru a valida identitatea utilizatorului. Cel mai popular caz de utilizare este la locurile de muncă, unde atât pentru a înregistra intrarea cât și ieșirea, degetul este plasat pentru a valida amprenta. Această amprentă este validată prin înregistrarea prealabilă a amprentei care este stocată în baza de date.
Metode de autorizare utilizate frecvent
Ceea ce vom discuta mai jos, sunt informații deosebit de utile pentru toate aplicațiile pentru dezvoltatori și serviciile web în general. Amintiți-vă că o parte fundamentală a unei experiențe excelente a utilizatorului este că aceștia pot accesa cu încredere și securitate toate resursele necesare în orice moment de care au nevoie pentru a le avea.
- Autorizație HTTP. Pe lângă autentificare, există autorizație de tip HTTP. În ce constă? Persoana introduce numele de utilizator și parola pentru a se autentifica. Este bine să rețineți că această metodă nu implică cookie-uri, ID-uri de sesiune sau pagini de autentificare.
- Autorizare API. La fel ca și autentificarea, există o autorizare de tip API. Când utilizatorul încearcă să obțină acces la resursele sistemului în timpul înregistrării, se generează o cheie API. Aceeași cheie este asociată cu un jeton (un jeton identificator) care este ascuns. Deci, această combinație de cheie API și jeton ascuns este cea care este folosită constant de fiecare dată când utilizatorul autentifică și intră în mediul său de resurse și servicii pe care le poate utiliza.
- OAuth 2.0. Această metodă permite API-ului să autentifice și să acceseze resursele de sistem de care are nevoie. OAuth versiunea 2.0 este una dintre cele mai sigure metode de autentificare și autorizare.
- Autorizație JWT. Este un standard deschis care este utilizat pentru transmisia sigură a datelor între diferite părți. Are suport pentru autentificare și autorizare. JWT este utilizat în mod obișnuit pentru autorizare și folosește o pereche de chei public-private. Adică acea pereche conține o cheie privată și o cheie publică.
Este extrem de important să implementăm și să utilizăm atât autentificarea, cât și autorizarea. Ambele procese de securitate oferă straturi suplimentare de protecție pentru sisteme și resurse. Această protecție suplimentară permite prevenirea a numeroase ciberataci care dăunează în special utilizatorilor. Nu uitați că acești utilizatori pun datele lor personale în mâinile aplicațiilor și serviciilor.
În multe cazuri, sunt incluse date extrem de sensibile, cum ar fi datele bancare, financiare și comerciale. Evenimentele de încălcare a datelor sunt unul dintre cele mai mari riscuri cu care se confruntă sistemele. Că o organizație și aplicația sau serviciul oferit este afectată de o încălcare a datelor, implică o încălcare mare a securității și vieții private a utilizatorilor, ceea ce duce la daune cu o valoare incalculabilă pentru aceiași.
