אימות והרשאה הן שתי המילים המשמשות בעולם האבטחה. הם אולי נשמעים דומים אבל שונים לחלוטין זה מזה. אימות משמש לאימות זהות של מישהו, בעוד שהרשאה היא דרך לספק הרשאה למישהו לגשת למשאב מסוים. אלו הם שני מונחי האבטחה הבסיסיים ולכן יש להבין אותם היטב. בנושא זה, נדון במה הם אימות והרשאה וכיצד הם נבדלים זה מזה.
מה זה אימות?
- אימות הוא תהליך של זיהוי זהות של מישהו על ידי הבטחה שהאדם זהה למה שהוא תובע.
- הוא משמש גם את השרת וגם את הלקוח. השרת משתמש באימות כאשר מישהו רוצה לגשת למידע, והשרת צריך לדעת מי ניגש למידע. הלקוח משתמש בו כשהוא רוצה לדעת שזה אותו שרת שהוא מתיימר להיות.
- האימות על ידי השרת נעשה בעיקר על ידי שימוש ב- שם משתמש וסיסמא. ניתן לבצע גם דרכים אחרות לאימות על ידי השרת באמצעות כרטיסים, סריקות רשתית, זיהוי קולי וטביעות אצבע.
- אימות אינו מבטיח אילו משימות תחת תהליך אדם אחד יכול לבצע, אילו קבצים הוא יכול להציג, לקרוא או לעדכן. זה בעיקר מזהה מי האדם או המערכת בעצם.
גורמי אימות
בהתאם לרמות האבטחה ולסוג היישום, ישנם סוגים שונים של גורמי אימות:
ס"מ עד רגל ואינץ'
אימות חד-גורם הוא הדרך הפשוטה ביותר לאימות. זה רק צריך שם משתמש וסיסמה כדי לאפשר למשתמש לגשת למערכת.
לפי השם, מדובר באבטחה דו-מפלסית; לפיכך הוא זקוק לאימות דו-שלבי כדי לאמת משתמש. זה לא דורש רק שם משתמש וסיסמה אלא גם צריך את המידע הייחודי שרק המשתמש המסוים יודע, כגון כשם בית ספר ראשון, יעד מועדף . מלבד זאת, הוא יכול גם לאמת את המשתמש על ידי שליחת ה-OTP או קישור ייחודי במספר הרשום של המשתמש או כתובת האימייל.
זוהי רמת ההרשאה המאובטחת והמתקדמת ביותר. זה דורש שתיים או יותר משתי רמות אבטחה מקטגוריות שונות ועצמאיות. סוג זה של אימות משמש בדרך כלל בארגונים פיננסיים, בנקים וסוכנויות אכיפת חוק. זה מבטיח לחסל כל חושף נתונים מהצד השלישי או מהאקרים.
טכניקות אימות מפורסמות
1. אימות מבוסס סיסמה
זוהי הדרך הפשוטה ביותר לאימות. זה דורש את הסיסמה עבור שם המשתמש המסוים. אם הסיסמה תואמת לשם המשתמש ושני הפרטים תואמים למסד הנתונים של המערכת, המשתמש יאומת בהצלחה.
2. אימות ללא סיסמה
בטכניקה זו, המשתמש אינו זקוק לסיסמה כלשהי; במקום זאת, הוא מקבל OTP (סיסמה חד פעמית) או קישור במספר הנייד או מספר הטלפון הרשום שלו. אפשר לומר גם אימות מבוסס OTP.
3. 2FA/MFA
אימות 2FA/MFA או 2-factor/אימות מרובה גורמים היא רמת האימות הגבוהה יותר. זה דורש PIN או שאלות אבטחה נוספות כדי שיוכל לאמת את המשתמש.
4. כניסה יחידה
כתוב json לקובץ python
כניסה יחידה אוֹ SSO היא דרך לאפשר גישה ליישומים מרובים עם סט יחיד של אישורים. זה מאפשר למשתמש להיכנס פעם אחת, והוא ייכנס אוטומטית לכל אפליקציות האינטרנט האחרות מאותה ספרייה מרכזית.
5. אימות חברתי
אימות חברתי אינו דורש אבטחה נוספת; במקום זאת, הוא מאמת את המשתמש עם האישורים הקיימים עבור הרשת החברתית הזמינה.
מה זה הרשאה?
- אישור הוא התהליך של מתן רשות למישהו לעשות משהו. זה אומר שזו דרך לבדוק אם למשתמש יש הרשאה להשתמש במשאב או לא.
- זה מגדיר לאילו נתונים ומידע משתמש אחד יכול לגשת. זה גם נאמר בשם AuthZ.
- ההרשאה פועלת בדרך כלל עם אימות כך שהמערכת תוכל לדעת מי ניגש למידע.
- לא תמיד יש צורך באישור כדי לגשת למידע הזמין דרך האינטרנט. ניתן לגשת לחלק מהנתונים הזמינים דרך האינטרנט ללא כל הרשאה, כמו שאתה יכול לקרוא על כל טכנולוגיה ממנה כאן .
טכניקות הרשאה
RBAC או טכניקת בקרת גישה מבוססת תפקידים ניתנת למשתמשים בהתאם לתפקידם או לפרופיל שלהם בארגון. זה יכול להיות מיושם עבור מערכת-מערכת או משתמש למערכת.
JSON web token או JWT הוא תקן פתוח המשמש להעברת הנתונים בצורה מאובטחת בין הצדדים בצורה של אובייקט JSON. המשתמשים מאומתים ומורשים באמצעות צמד המפתחות הפרטיים/ציבוריים.
SAML מייצג שפת סימון אבטחה. זהו תקן פתוח המספק אישורי הרשאה לספקי שירות. אישורים אלה מוחלפים באמצעות מסמכי XML חתומים דיגיטלית.
זה עוזר ללקוחות לאמת את זהות משתמשי הקצה על בסיס אימות.
OAuth הוא פרוטוקול הרשאה, המאפשר ל-API לאמת ולגשת למשאבים המבוקשים.
תרשים ההבדל בין אימות והרשאה
| אימות | הרשאה |
|---|---|
| אימות הוא תהליך של זיהוי משתמש כדי לספק גישה למערכת. | הרשאה היא תהליך של מתן הרשאה לגשת למשאבים. |
| בכך, המשתמש או הלקוח והשרת מאומתים. | בכך, מוודא שאם המשתמש רשאי דרך המדיניות והכללים שהוגדרו. |
| זה מבוצע בדרך כלל לפני האישור. | זה נעשה בדרך כלל ברגע שהמשתמש מאומת בהצלחה. |
| זה דורש את פרטי הכניסה של המשתמש, כגון שם משתמש וסיסמה וכו'. | זה דורש הרשאות או רמת אבטחה של המשתמש. |
| הנתונים מסופקים דרך מזהי האסימון. | הנתונים מסופקים באמצעות אסימוני הגישה. |
| דוגמא: הזנת פרטי התחברות נחוצה כדי שהעובדים יאמתו את עצמם כדי לגשת למיילים או לתוכנה הארגונית. | דוגמא: לאחר שעובדים יאמתו את עצמם בהצלחה, הם יכולים לגשת לפונקציות מסוימות ולעבוד עליהן רק לפי התפקידים והפרופילים שלהם. |
| אישורי אימות יכולים להשתנות חלקית על ידי המשתמש בהתאם לדרישה. | הרשאות ההרשאה לא ניתנות לשינוי על ידי המשתמש. ההרשאות ניתנות למשתמש על ידי בעל/מנהל המערכת, והוא יכול רק לשנות אותה. |
סיכום
לפי הדיון לעיל, אנו יכולים לומר שאימות מאמת את זהות המשתמש, והרשאה מאמתת את הגישה וההרשאות של המשתמש. אם המשתמש לא יכול להוכיח את זהותו, הוא לא יכול לגשת למערכת. ואם אתה מאומת על ידי הוכחת הזהות הנכונה, אך אינך מורשה לבצע פונקציה מסוימת, לא תוכל לגשת אליה. עם זאת, שתי שיטות האבטחה משמשות לעתים קרובות יחד.