Удостоверяване и оторизация са двете думи, използвани в света на сигурността. Те може да звучат подобно, но са напълно различни един от друг. Удостоверяването се използва за удостоверяване на нечия самоличност, докато упълномощаването е начин да се предостави разрешение на някого за достъп до определен ресурс. Това са двата основни термина за сигурност и следователно трябва да бъдат разбрани задълбочено. В тази тема ще обсъдим какво представляват удостоверяването и оторизацията и как се разграничават едно от друго.
Какво е удостоверяване?
- Удостоверяването е процес на идентифициране на нечия самоличност, като се гарантира, че лицето е същото като това, за което претендира.
- Използва се както от сървър, така и от клиент. Сървърът използва удостоверяване, когато някой иска достъп до информацията и сървърът трябва да знае кой има достъп до информацията. Клиентът го използва, когато иска да знае, че това е същият сървър, за който се представя.
- Удостоверяването от сървъра се извършва най-вече чрез използване на потребителско име и парола. Други начини за удостоверяване от сървъра също могат да бъдат направени с помощта на карти, сканиране на ретината, разпознаване на глас и пръстови отпечатъци.
- Удостоверяването не гарантира какви задачи в даден процес може да изпълнява едно лице, какви файлове може да преглежда, чете или актуализира. Той най-вече идентифицира кой всъщност е лицето или системата.
Фактори за удостоверяване
Според нивата на сигурност и вида на приложението има различни видове фактори за удостоверяване:
Еднофакторното удостоверяване е най-простият начин за удостоверяване. Нуждае се само от потребителско име и парола, за да позволи на потребителя да получи достъп до системата.
Според името, това е двустепенна сигурност; следователно се нуждае от проверка в две стъпки за удостоверяване на потребител. Той не изисква само потребителско име и парола, но също така се нуждае от уникалната информация, която само конкретният потребител знае, като например като име на първо училище, любима дестинация . Освен това, той може също така да провери потребителя, като изпрати OTP или уникална връзка на регистрирания номер или имейл адреса на потребителя.
Това е най-сигурното и напреднало ниво на оторизация. Изисква две или повече от две нива на сигурност от различни и независими категории. Този тип удостоверяване обикновено се използва във финансови организации, банки и правоприлагащи органи. Това гарантира премахването на всеки разкриващ данни от трета страна или хакери.
Известни техники за удостоверяване
1. Удостоверяване на базата на парола
Това е най-простият начин за удостоверяване. Изисква паролата за конкретното потребителско име. Ако паролата съвпада с потребителското име и двете подробности съответстват на базата данни на системата, потребителят ще бъде удостоверен успешно.
2. Удостоверяване без парола
При тази техника потребителят не се нуждае от парола; вместо това той получава OTP (еднократна парола) или връзка на своя регистриран мобилен номер или телефонен номер. Може да се каже и OTP-базирано удостоверяване.
3. 2FA/MFA
2FA/MFA или 2-факторно удостоверяване/Многофакторно удостоверяване е по-високото ниво на удостоверяване. Изисква допълнителен ПИН или въпроси за сигурност, за да може да удостовери потребителя.
4. Единично влизане
Единично влизане или SSO е начин за разрешаване на достъп до множество приложения с един набор от идентификационни данни. Той позволява на потребителя да влезе веднъж и автоматично ще влезе във всички други уеб приложения от същата централизирана директория.
5. Социално удостоверяване
Социалното удостоверяване не изисква допълнителна сигурност; вместо това той проверява потребителя със съществуващите идентификационни данни за наличната социална мрежа.
Какво е оторизация?
- Упълномощаването е процес на разрешаване на някого да направи нещо. Това означава, че е начин да проверите дали потребителят има разрешение да използва ресурс или не.
- Той определя до какви данни и информация един потребител има достъп. Също така се казва като AuthZ.
- Упълномощаването обикновено работи с удостоверяване, така че системата да знае кой има достъп до информацията.
- Упълномощаването не винаги е необходимо за достъп до информация, достъпна в интернет. Някои данни, достъпни в интернет, могат да бъдат достъпни без никакво разрешение, като например можете да прочетете за всяка технология от тук .
Техники за оторизация
RBAC или базирана на роли техника за контрол на достъпа се дава на потребителите според тяхната роля или профил в организацията. Може да се приложи за система-система или потребител-система.
JSON web token или JWT е отворен стандарт, използван за сигурно предаване на данни между страните под формата на JSON обект. Потребителите се проверяват и оторизират с помощта на двойката частен/публичен ключ.
SAML означава Език за маркиране на твърдения за сигурност. Това е отворен стандарт, който предоставя идентификационни данни за оторизация на доставчиците на услуги. Тези идентификационни данни се обменят чрез цифрово подписани XML документи.
Помага на клиентите да проверят самоличността на крайните потребители въз основа на удостоверяване.
OAuth е протокол за оторизация, който позволява на API да удостоверява и осъществява достъп до заявените ресурси.
Диаграма на разликите между удостоверяване и оторизация
| Удостоверяване | Упълномощаване |
|---|---|
| Удостоверяването е процес на идентифициране на потребител, който да осигури достъп до система. | Упълномощаването е процес на даване на разрешение за достъп до ресурсите. |
| При това потребителят или клиентът и сървърът се проверяват. | При това се проверява дали потребителят е разрешен през дефинираните политики и правила. |
| Обикновено се извършва преди оторизацията. | Обикновено се прави, след като потребителят бъде успешно удостоверен. |
| Изисква данните за вход на потребителя, като потребителско име и парола и др. | Изисква привилегия или ниво на защита на потребителя. |
| Данните се предоставят чрез идентификаторите на токени. | Данните се предоставят чрез токените за достъп. |
| Пример: Въвеждането на данни за вход е необходимо, за да могат служителите да се удостоверят за достъп до организационните имейли или софтуер. | Пример: След като служителите успешно се удостоверят, те могат да имат достъп и да работят върху определени функции само според техните роли и профили. |
| Идентификационните данни за удостоверяване могат да бъдат частично променени от потребителя според изискването. | Разрешенията за оторизация не могат да се променят от потребителя. Разрешенията се дават на потребителя от собственика/мениджъра на системата и той може само да ги променя. |
Заключение
Според горната дискусия можем да кажем, че удостоверяването проверява самоличността на потребителя, а упълномощаването проверява достъпа и разрешенията на потребителя. Ако потребителят не може да докаже своята самоличност, той няма достъп до системата. И ако сте удостоверени чрез доказване на правилната самоличност, но не сте упълномощени да изпълнявате конкретна функция, няма да имате достъп до нея. И двата метода за сигурност обаче често се използват заедно.