Otentikasi versus Otorisasi

Apa perbedaan konteks aplikasi web? Saya melihat singkatan "auth" banyak. Apakah itu berdiri untuk auth -entication atau auth -orization? Atau keduanya?

Otentikasi adalah proses memastikan bahwa seseorang benar-benar seperti yang mereka klaim.

Otorisasi mengacu pada aturan yang menentukan siapa yang diizinkan melakukan apa. Misalnya Adam dapat diotorisasi untuk membuat dan menghapus basis data, sedangkan Usama hanya diizinkan untuk membaca.

Kedua konsep tersebut sepenuhnya ortogonal dan independen, tetapi keduanya merupakan pusat desain keamanan, dan kegagalan untuk mendapatkan salah satu yang benar membuka jalan untuk kompromi.

Dalam hal aplikasi web, berbicara sangat kasar, otentikasi adalah ketika Anda memeriksa kredensial login untuk melihat apakah Anda mengenali pengguna sebagai login, dan otorisasi adalah ketika Anda mencari di kontrol akses Anda apakah Anda mengizinkan pengguna untuk melihat, mengedit, menghapus atau buat konten.

Singkatnya, tolong. :-)

Otentikasi = login + kata sandi (siapa Anda)

Otorisasi = izin (apa yang Anda boleh lakukan)

"Auth" pendek kemungkinan besar merujuk pada yang pertama atau keduanya.

Seperti Otentikasi vs Otorisasi meletakkannya:

Otentikasi adalah mekanisme di mana sistem dapat mengidentifikasi penggunanya dengan aman. Sistem otentikasi memberikan jawaban atas pertanyaan:

• Siapa pengguna itu?
• Apakah pengguna benar-benar mewakili dirinya?

Sebaliknya, otorisasi adalah mekanisme di mana suatu sistem menentukan tingkat akses yang harus dimiliki pengguna terotentikasi tertentu untuk mendapatkan sumber daya yang dikendalikan oleh sistem. Sebagai contoh, sistem manajemen basis data mungkin dirancang untuk memberikan individu tertentu dengan kemampuan untuk mengambil informasi dari basis data tetapi bukan kemampuan untuk mengubah data yang disimpan dalam basis data, sementara memberi individu lain kemampuan untuk mengubah data. Sistem otorisasi memberikan jawaban atas pertanyaan:

• Apakah pengguna X diizinkan untuk mengakses sumber daya R?
• Apakah pengguna X diizinkan untuk melakukan operasi P?
• Apakah pengguna X diizinkan untuk melakukan operasi P pada sumber daya R?

Lihat juga:

• Otentikasi vs. otorisasi di Wikipedia

Saya lebih suka Verifikasi dan Izin ke Otentikasi dan Otorisasi.

Lebih mudah di kepala saya dan di kode saya untuk memikirkan "verifikasi" dan "izin" karena dua kata

• tidak terdengar sama
• tidak memiliki singkatan yang sama

Otentikasi adalah verifikasi dan Otorisasi sedang memeriksa izin. Auth dapat berarti baik, tetapi digunakan lebih sering sebagai "Authasi Pengguna" yaitu "Otentikasi Pengguna"

Kebingungan dapat dimengerti, karena kedua kata tersebut terdengar serupa, dan karena konsep-konsepnya sering saling terkait dan digunakan bersama. Juga, seperti yang disebutkan, singkatan Auth yang umum digunakan tidak membantu.

Yang lain telah menjelaskan dengan baik apa arti otentikasi dan otorisasi. Berikut adalah aturan sederhana untuk membantu memisahkan keduanya:

• Tupoksi enti kation memvalidasi Anda Id enti ty (atau keaslian , jika Anda lebih suka)
• Penulis isasi memvalidasi Anda penulis ity, yaitu hak Anda untuk mengakses dan mungkin perubahan sesuatu.

Saya telah mencoba membuat gambar untuk menjelaskan ini dengan kata-kata yang paling sederhana

1) Otentikasi berarti "Apakah Anda yang Anda katakan adalah Anda?"

2) Otorisasi berarti "Haruskah Anda dapat melakukan apa yang Anda coba lakukan?".

Ini juga dijelaskan pada gambar di bawah ini.

Saya telah mencoba menjelaskannya dengan sebaik mungkin, dan menciptakan gambar yang sama.

Otentikasi adalah proses memverifikasi identitas yang diproklamirkan.

• mis. nama pengguna / kata sandi

Biasanya diikuti oleh otorisasi , yaitu persetujuan bahwa Anda dapat melakukan ini dan itu.

• mis. izin

Menambahkan ke jawaban @ Kerrek;

Otentikasi adalah formulir Umum (Semua karyawan dapat masuk ke mesin)

Otorisasi adalah formulir khusus (Tetapi admin hanya dapat menginstal / mencopot aplikasi dalam Mesin)

Otentikasi adalah proses memverifikasi nama pengguna dan kata sandi Anda.

Otorisasi adalah proses memverifikasi bahwa Anda dapat mengakses sesuatu.

Definisi

Otentikasi - Apakah Anda orang yang Anda klaim?

Otorisasi - Apakah Anda berwenang untuk melakukan apa pun yang Anda coba lakukan?

Contoh

Aplikasi web menggunakan Google Masuk . Setelah pengguna berhasil masuk, Google mengirim kembali:

1. Token JWT. Ini dapat divalidasi dan didekodekan untuk mendapatkan informasi otentikasi . Apakah token ditandatangani oleh Google? Apa nama dan email pengguna?
2. Token akses. Ini mengizinkan aplikasi web untuk mengakses Google APIs atas nama pengguna. Misalnya, dapatkah aplikasi mengakses acara Kalender Google pengguna? Izin ini tergantung pada cakupan yang diminta, dan apakah pengguna mengizinkannya atau tidak.

Selain itu:

Perusahaan mungkin memiliki dasbor admin yang memungkinkan dukungan pelanggan untuk mengelola pengguna perusahaan. Alih-alih menyediakan solusi pendaftaran khusus yang memungkinkan dukungan pelanggan untuk mengakses dasbor ini, perusahaan menggunakan Google Masuk.

Token JWT (diterima dari proses masuk Google) dikirim ke server otorisasi perusahaan untuk mencari tahu apakah pengguna memiliki akun G Suite dengan domain yang diinangi organisasi ([email protected])? Dan jika ya, apakah mereka anggota Grup Google perusahaan yang dibuat untuk dukungan pelanggan? Jika ya untuk semua hal di atas, kami dapat menganggapnya terautentikasi .

Server otorisasi perusahaan kemudian mengirimkan token akses aplikasi dasbor. Token akses ini dapat digunakan untuk membuat permintaan resmi ke server sumber daya perusahaan (mis. Kemampuan untuk membuat permintaan GET ke titik akhir yang mengirim kembali semua pengguna perusahaan).

Authentication adalah proses verifikasi:

• identitas pengguna dalam suatu sistem (nama pengguna, login, nomor telepon, email ...) dengan memberikan bukti (kunci rahasia, biometrik, sms ...). Otentikasi multi-faktor sebagai ekstensi.
• pemeriksaan email menggunakan digital signature
• checksum

Authorizationadalah langkah selanjutnya setelah Authentication. Ini tentang izin / peran / hak istimewa untuk sumber daya. OAuth (Otorisasi Terbuka) adalah contoh Otorisasi