Tänään käsittelen kahta aihetta, jotka useimmilla ihmisillä on tapana sekoittaa. Molempia termejä käytetään usein yhdessä toistensa kanssa, kun on kyse tietoturvasta ja järjestelmään pääsystä. Molemmat termit hyvin keskeisiä aiheita, jotka liittyvät usein verkkoon sen palveluinfrastruktuurin keskeisinä osina. Molemmat termit ovat kuitenkin varsin erilaisia ja niillä on täysin erilaiset käsitteet. Nyt ihmettelet, mitä nämä termit ovat, no ne tunnetaan nimillä todennus ja valtuutus. Autentikointi tarkoittaa oman henkilöllisyyden vahvistamista, kun taas auktorisointi tarkoittaa sitä, että järjestelmään sallitaan pääsy. Vielä yksinkertaisemmin ilmaistuna autentikointi on itsensä todentamista, kun taas auktorisointi on sen todentamista, mihin sinulla on pääsy.

Autentikointi

Autentikoinnissa on kyse tunnistetietojen, kuten Käyttäjätunnuksen/käyttäjätunnuksen ja salasanan, varmentamisesta henkilöllisyytesi vahvistamiseksi. Tämän jälkeen järjestelmä tarkistaa, oletko se, joka sanot olevasi tunnistetietojesi avulla. Riippumatta siitä, onko kyseessä julkinen vai yksityinen verkko, järjestelmä todentaa käyttäjän henkilöllisyyden kirjautumissalasanojen avulla. Yleensä tunnistautuminen tapahtuu käyttäjätunnuksen ja salasanan avulla, vaikka on olemassa muitakin erilaisia tapoja tunnistautua.

Tunnistautumistekijät määrittelevät ne monet eri elementit, joita järjestelmä käyttää todentaakseen henkilön henkilöllisyyden ennen kuin henkilölle myönnetään pääsy mihinkään. Yksilön henkilöllisyys voidaan määrittää sen perusteella, mitä henkilö tietää, ja tietoturvan osalta vähintään kaksi tai kaikki kolme todennustekijää on todennettava, jotta jollekin voidaan myöntää lupa järjestelmään. Tietoturvatason perusteella todennustekijät voivat vaihdella jostakin seuraavista:

• Yksitekijätodennus: Tämä on yksinkertaisin todentamismenetelmä, joka edellyttää salasanaa, jotta käyttäjälle voidaan myöntää pääsy tiettyyn järjestelmään, kuten verkkosivustoon tai verkkoon. Henkilö voi pyytää pääsyä järjestelmään käyttämällä vain yhtä tunnistetietoa henkilöllisyytensä todentamiseksi. Esimerkiksi vain salasanan vaatiminen käyttäjätunnusta vastaan olisi tapa varmentaa kirjautumistodistus käyttämällä yksitekijätodennusta.
• Kaksitekijätodennus: Tämä todennus vaatii kaksivaiheisen todentamisprosessin, joka vaatii käyttäjätunnuksen ja salasanan lisäksi myös tiedon, jonka vain käyttäjä tietää. Käyttäjätunnuksen ja salasanan käyttäminen yhdessä luottamuksellisen tiedon kanssa vaikeuttaa hakkereita varastamaan arvokkaita ja henkilökohtaisia tietoja.
• Monitekijätodennus: Tämä on edistynein todentamismenetelmä, joka edellyttää kahta tai useampaa turvallisuustasoa riippumattomista todentamisluokista, jotta käyttäjälle voidaan myöntää pääsy järjestelmään. Tässä todentamismuodossa hyödynnetään toisistaan riippumattomia tekijöitä tietojen paljastumisen estämiseksi. Rahoitusorganisaatiot, pankit ja lainvalvontaviranomaiset käyttävät yleensä monitekijätodennusta.

Auktorisointi

Auktorisointi tapahtuu sen jälkeen, kun henkilöllisyytesi on onnistuneesti todennettu järjestelmässä, jolloin sinulla on täysi pääsy resursseihin, kuten tietoihin, tiedostoihin, tietokantoihin, varoihin jne. Auktorisointi tarkistaa kuitenkin oikeutesi, jotta sinulle voidaan myöntää pääsy resursseihin vasta sen jälkeen, kun on määritetty kykysi käyttää järjestelmää ja missä määrin. Toisin sanoen valtuutus on prosessi, jossa määritetään, onko todennetulla käyttäjällä pääsy tiettyihin resursseihin. Hyvä esimerkki tästä on, että kun työntekijän tunnukset ja salasanat on todennettu ja vahvistettu autentikoinnin avulla, seuraavaksi määritetään, kenellä työntekijällä on pääsy mihinkin kerrokseen, ja tämä tapahtuu valtuuttamisen avulla.

Järjestelmän käyttöoikeudet suojataan autentikoinnilla ja valtuuttamisella, ja niitä käytetään usein yhdessä toistensa kanssa. Vaikka molempien taustalla on erilaisia käsitteitä, ne ovat kriittisiä verkkopalveluinfrastruktuurin kannalta, etenkin kun on kyse järjestelmään pääsyn myöntämisestä. Kummankin termin ymmärtäminen on erittäin tärkeää ja keskeinen osa tietoturvaa.

• OAuth 2 In Action by Justin Richer and Antonio Sanso