Аутентификация против авторизации

Хотя они могут показаться похожими, аутентификация и авторизация служат совершенно разным целям в защите цифровых активов.

Что такое аутентификация?

Аутентификация (AUTHN) это процесс проверки того, кто кто -то.Это отвечает на вопрос: «Вы тот, кто вы говорите?»

Всякий раз, когда вы войдите в приложение или веб -сайт, используя имя пользователя и пароль, вы проходите процесс аутентификации.Система проверяет ваши учетные данные по базе данных, чтобы убедиться, что они соответствуют тому, что она хранила.Если детали соответствуют, система предполагает, что вы тот человек, которого вы утверждаете, и предоставляет доступ.

Общие методы аутентификации:

• Пароли: Один из самых старых методов, где используется секретный код имени пользователя, известный только человеку.
• Биометрия: Сканирование отпечатков пальцев или распознавание лица - уникальные для вас.
• Многофакторная аутентификация (MFA): Комбинация методов, таких как ввод пароля, за которым следует одноразовый PIN-код, отправленный на ваш телефон

Аутентификация является первой линией защиты в обеспечении безопасности вашей цифровой идентификации.Но только то, что вы аутентифицированы, не означает, что у вас есть неограниченный доступ.

Что такое разрешение?

Как только система узнает, кто вы, Авторизация (Authz) вступает в игру.Авторизация - это все о определении того, что вам разрешено делать.Это отвечает на вопрос: «Что вы можете получить доступ?»

Допустим, вы вошли во внутреннюю сеть компании (аутентификация).То, что вы вошли в систему, не означает, что вы можете получить доступ ко всему.Например, младший сотрудник может быть разрешен только для доступа к основным файлам, в то время как менеджер может иметь доступ к более конфиденциальной информации.

Общие методы авторизации:

• Контроль доступа на основе ролей (RBAC): Пользователям назначаются роли, и каждая роль приходит с определенными разрешениями.Например, администраторы имеют больший доступ, чем у обычных пользователей.
• Списки управления доступом (ACLS): Список, в котором указывается, какие пользователи или системные процессы могут получить доступ к конкретным ресурсам
• Контроль доступа на основе атрибутов (ABAC): ABAC предоставляет доступ на основе комбинации атрибутов пользователя, атрибутов ресурсов и условий окружающей среды.Например, компания, разрешающая доступ к определенным данным на месте в определенное время дня сотрудниками, имеющими конкретные учетные данные.
• Дискреционный контроль доступа (DAC): DAC позволяет владельцам ресурсов определять, кто может получить доступ к их ресурсам, предлагая гибкую, но потенциально менее безопасную модель, предоставляя людям контроль над разрешениями.
• Обязательный контроль доступа (MAC): MAC обеспечивает соблюдение строгих политик доступа, установленных центральным органом, где пользователи не могут изменить разрешения, что делает его очень безопасным, но менее гибким методом.

Авторизация происходит после аутентификации.Как только ваша личность будет подтверждена, система проверяет то, что вам разрешено делать на основе правил или ролей, назначенных вам.

Аутентификация против авторизации: ключевые различия

Хотя оба процесса имеют решающее значение для безопасности, они функционируют по -разному:

Например, на рабочем месте вы аутентифицируете подлинность, войдя в свою компьютерную систему (проверка идентификации).После аутентификации вам разрешено получить доступ только к определенным файлам или системам на основе вашей роли в компании.

Реальный пример: безопасность аэропорта

Чтобы сделать это яснее, представьте, что проходите через безопасность аэропорта:

• Аутентификация: Вы показываете свой идентификатор на счетчике регистрации, чтобы доказать свою личность.

• Авторизация: После того, как вы находитесь в посадочных воротах, ваш посадочный талон определяет, разрешено ли вам сесть на самолет.Даже если вы аутентифицировали безопасность, без разрешения (посадочный талон), вы не выходите на рейс

Аутентификация и авторизация работают вместе

Оба процесса работают рука об руку для защиты систем и данных.Аутентификация гарантирует, что пользователи являются законными, в то время как авторизация гарантирует, что они получают доступ только то, что они должны.

Без обоих систем безопасности можно легко нарушить:

Аутентификация без разрешения: Пользователь может получить доступ к системе, но без надлежащих ограничений они могли бы видеть конфиденциальные данные, которые они не должны.

Авторизация без аутентификации: Система может обеспечить разрешения, но если кто -то может войти в систему, разрешения не имеют смысла