Autentifikácia a autorizácia sú dve slová používané vo svete bezpečnosti. Môžu znieť podobne, ale sú od seba úplne odlišné. Autentifikácia sa používa na overenie identity niekoho, zatiaľ čo autorizácia je spôsob, ako niekomu poskytnúť povolenie na prístup ku konkrétnemu zdroju. Toto sú dva základné bezpečnostné pojmy, a preto je potrebné im dôkladne porozumieť. V tejto téme si rozoberieme, čo je autentifikácia a autorizácia a ako sa navzájom líšia.
Čo je autentifikácia?
- Autentifikácia je proces identifikácie niečí identity tým, že sa ubezpečí, že osoba je rovnaká ako to, o čo si žiada.
- Používa ho server aj klient. Server používa autentifikáciu, keď chce niekto získať prístup k informáciám a server potrebuje vedieť, kto k informáciám pristupuje. Klient ho používa, keď chce vedieť, že ide o ten istý server, za ktorý sa vydáva.
- Autentifikácia serverom sa vykonáva väčšinou pomocou užívateľské meno a heslo. Iné spôsoby autentifikácie serverom je možné vykonať aj pomocou karty, skeny sietnice, rozpoznávanie hlasu a odtlačky prstov.
- Autentifikácia nezabezpečuje, aké úlohy v rámci procesu môže vykonávať jedna osoba, aké súbory môže prezerať, čítať alebo aktualizovať. Väčšinou identifikuje, kto je v skutočnosti osoba alebo systém.
Faktory autentifikácie
Podľa úrovní zabezpečenia a typu aplikácie existujú rôzne typy faktorov autentifikácie:
Jednofaktorová autentifikácia je najjednoduchší spôsob autentifikácie. Potrebuje iba používateľské meno a heslo, ktoré používateľovi umožní prístup do systému.
Podľa názvu ide o dvojúrovňové zabezpečenie; preto na overenie používateľa potrebuje dvojstupňové overenie. Nevyžaduje len užívateľské meno a heslo, ale potrebuje aj jedinečné informácie, ktoré pozná len konkrétny užívateľ, napr ako prvé meno školy, obľúbená destinácia . Okrem toho môže používateľa overiť aj zaslaním OTP alebo jedinečného odkazu na registrované číslo alebo e-mailovú adresu používateľa.
Toto je najbezpečnejšia a najpokročilejšia úroveň autorizácie. Vyžaduje si dve alebo viac ako dve úrovne zabezpečenia z rôznych a nezávislých kategórií. Tento typ autentifikácie sa zvyčajne používa vo finančných organizáciách, bankách a orgánoch činných v trestnom konaní. To zaisťuje elimináciu akéhokoľvek odhalenia údajov od tretej strany alebo hackerov.
Slávne techniky autentifikácie
1. Autentifikácia na základe hesla
Je to najjednoduchší spôsob autentifikácie. Vyžaduje heslo pre konkrétne používateľské meno. Ak sa heslo zhoduje s používateľským menom a oba údaje sa zhodujú s databázou systému, používateľ bude úspešne autentizovaný.
2. Autentifikácia bez hesla
Pri tejto technike používateľ nepotrebuje žiadne heslo; namiesto toho dostane OTP (jednorazové heslo) alebo odkaz na svoje registrované mobilné číslo alebo telefónne číslo. Dá sa povedať aj autentifikácia založená na OTP.
3. 2FA/MFA
2FA/MFA alebo 2-faktorová autentifikácia/Viacfaktorová autentifikácia predstavuje vyššiu úroveň autentifikácie. Vyžaduje si ďalšie PIN alebo bezpečnostné otázky, aby bolo možné overiť používateľa.
4. Jednotné prihlásenie
Jednotné prihlásenie alebo SSO je spôsob, ako umožniť prístup k viacerým aplikáciám pomocou jednej sady poverení. Umožňuje používateľovi prihlásiť sa raz a automaticky sa prihlási do všetkých ostatných webových aplikácií z rovnakého centralizovaného adresára.
5. Sociálna autentifikácia
Sociálna autentifikácia nevyžaduje dodatočné zabezpečenie; namiesto toho overí používateľa s existujúcimi prihlasovacími údajmi pre dostupnú sociálnu sieť.
Čo je autorizácia?
- Autorizácia je proces udelenia niekomu niečo urobiť. Znamená to spôsob, ako skontrolovať, či má používateľ povolenie na používanie zdroja alebo nie.
- Definuje, ku ktorým údajom a informáciám má jeden používateľ prístup. Hovorí sa tomu aj ako AuthZ.
- Autorizácia zvyčajne funguje s autentifikáciou, aby systém vedel, kto pristupuje k informáciám.
- Na prístup k informáciám dostupným cez internet nie je vždy potrebná autorizácia. K niektorým údajom dostupným cez internet je možné pristupovať bez akéhokoľvek povolenia, napríklad si môžete prečítať o akejkoľvek technológii tu .
Autorizačné techniky
RBAC alebo technika riadenia prístupu založená na rolách sa poskytuje používateľom podľa ich roly alebo profilu v organizácii. Môže byť implementovaný pre systém-systém alebo používateľ-systém.
Webový token JSON alebo JWT je otvorený štandard, ktorý sa používa na bezpečný prenos údajov medzi stranami vo forme objektu JSON. Používatelia sú overení a autorizovaní pomocou páru súkromný/verejný kľúč.
SAML znamená Security Assertion Markup Language. Ide o otvorený štandard, ktorý poskytuje autorizačné poverenia poskytovateľom služieb. Tieto poverenia sa vymieňajú prostredníctvom digitálne podpísaných dokumentov XML.
Klientom pomáha overiť identitu koncových užívateľov na základe autentifikácie.
OAuth je autorizačný protokol, ktorý umožňuje API autentifikovať a pristupovať k požadovaným zdrojom.
Tabuľka rozdielov medzi autentifikáciou a autorizáciou
| Overenie | Autorizácia |
|---|---|
| Autentifikácia je proces identifikácie používateľa na poskytnutie prístupu do systému. | Autorizácia je proces udeľovania povolenia na prístup k zdrojom. |
| V tomto prípade sa overí používateľ alebo klient a server. | V tomto sa overuje, či je používateľ povolený prostredníctvom definovaných politík a pravidiel. |
| Zvyčajne sa vykonáva pred autorizáciou. | Zvyčajne sa to robí, keď je používateľ úspešne overený. |
| Vyžaduje prihlasovacie údaje používateľa, ako je používateľské meno a heslo atď. | Vyžaduje si to privilégiá používateľa alebo úroveň zabezpečenia. |
| Údaje sa poskytujú prostredníctvom identifikátorov tokenov. | Údaje sa poskytujú prostredníctvom prístupových tokenov. |
| Príklad: Zadanie prihlasovacích údajov je nevyhnutné, aby sa zamestnanci mohli autentifikovať na prístup k organizačným e-mailom alebo softvéru. | Príklad: Keď sa zamestnanci úspešne overia, môžu pristupovať k určitým funkciám a pracovať na nich iba podľa svojich rolí a profilov. |
| Overovacie poverenia môže používateľ čiastočne zmeniť podľa požiadavky. | Používateľ nemôže zmeniť autorizačné povolenia. Povolenia udeľuje používateľovi vlastník/správca systému a môže ich iba zmeniť. |
Záver
Podľa vyššie uvedenej diskusie môžeme povedať, že Autentifikácia overuje identitu používateľa a Autorizácia overuje prístup a povolenia používateľa. Ak používateľ nevie preukázať svoju totožnosť, nemá prístup do systému. A ak ste autentifikovaní preukázaním správnej identity, ale nemáte oprávnenie vykonávať konkrétnu funkciu, nebudete mať k nej prístup. Oba spôsoby zabezpečenia sa však často používajú súčasne.