تفاوت احراز هویت در مقابل مجوز (Authentication vs Authorization)

در این پست می‌خواهیم به تفاوت احراز هویت در مقابل مجوز (Authentication vs Authorization) در سیستم‌های سایبری بپرداریم.

احراز هویت و مجوز دو کلمه مرتبط هستند که غالباً به جای یکدیگر استفاده می‌شوند، اما معنی‌های مختلفی دارند و در سیستم بسیار کارایی دارند.

احراز هویت (Auth-N)

احراز هویت عبارت است از تأیید اعتبار کاربران همان چیزی که ادعا می‌کنند.

تأیید اعتبار می‌تواند با داشتن چیزی فیزیکی مانند کارت کلید، با ورود کاربر با رمزهای عبور یا 2FA، استفاده از تست‌های Captcha یا حتی بیومتریک برای کاربر حاصل شود.

احراز هویت همراه با مجوز معمولاً مورد استفاده قرار می‌گیرد زیرا احراز هویت در این که کاربر همان کسی باشد که قبل از دادن مجوز می‌گوید، مهم است.

مجوز (Auth-Z)

مجوز، فرآیندی است که به کاربر اجازه می‌دهد به یک منبع (منبع) یا عملکرد خاص دسترسی پیدا کند.

سطوح مجوز تفاوت بین کاربر عمومی و کاربر مدیر است. یک کاربر سرپرست توانایی‌های بیشتری را در اختیار کاربر عمومی خواهد داشت و مهم این است که نقش‌ها را به درستی مجوز دهید تا اطمینان حاصل شود که کاربران عادی به طور تصادفی یا عمدی به سیستمی آسیب نمی‌رسانند.

بخاطر داشته باشید که احراز هویت برای گرفتن مجوز 100٪ لازم نیست. این بستگی به سیستم دارد و در صورت نیاز به سطوح مختلف مجوز و در مواردی که احراز هویت لازم است، سیستم چه اطلاعات / توانایی‌هایی دارد.

برای مطالعه مبحث امنیت می‌توانید از کتاب Security+ نیز استفاده کنید.

• به یک بستر وبلاگ‌نویسی فکر کنید.
• هرکس باید به خواندن پست‌های عمومی دسترسی داشته باشد.
• کاربران باید برای ارسال وبلاگ خود را به عنوان کاربر احراز هویت کنند و به عنوان شخص دیگر ارسال نکنند.
• مدیران برای نظارت بر بسترهای نرم‌افزاری، پایگاه داده مرتبط و فعالیت کاربران آن، پس از تأیید اعتبار خود، به سطح مجاز دیگری نیاز دارند.
• در این حالت قبل از صدور مجوز احراز هویت لازم است تا اطمینان حاصل شود که کاربران نمی‌توانند بلاگ را به عنوان کاربر دیگری ارسال کنند و کاربران نمی‌توانند مواردی مانند سرپرستان را اصلاح کنند.

منابع:

1. https://dev.to/caffiendkitten/authentication-vs-authorization-25lc
2. Security+ cert book
3. Web Application Hackers Handbook
4. https://auth0.com/docs/authorization/concepts/authz-and-authn
5. https://www.ssl2buy.com/wiki/authentication-vs-authorization-whats-the-difference