Авторизация и аутентификация: в чем заключается разница?

Сетевая безопасность сопряжена с такими процедурами как авторизация, идентификация, аутентификация и авторизация. Благодаря им обеспечивается безопасность личных данных пользователей. Несмотря на схожесть процессов при выполнении подобных процедур присутствуют существенные различия между ними. Также характерно использование всех процедур для повышения надежности проверки пользователя.

С идентификацией всё боле-менее понятно. Это представление пользователя, ввод идентификатора, или как ещё его называют: имя, логин, аккаунт, учётная запись.

Рассмотрим далее два понятия, между которыми наиболее часто возникает путаница и недопонимание – аутентификация и авторизация.

Что такое аутентификация?

Эта процедура связана с установлением подлинности личности пользователя, направлена на предотвращение проникновения в сеть посторонних лиц. Здесь задействованы две стороны: пользователь, предъявляющий доказательства, и система проверки, которая принимает или отвергает предъявленные аутентификаторы. В качестве факторов аутентификации применяются знание, владение и, специфические признаки, присущие конкретной личности. Например, пароль, токен, магнитная карта, отпечатки пальцев.

Для усиления защиты при прохождении аутентификации, чаще всегодовольно часто используются одноразовые пароли, которые высылаются на другие устройства, не связанные с единой операционной системой и инструментом проверки личности. В зависимости от сложности и уровня безопасности аутентификация подразделяется на подвиды:

• Однофакторная. Использует только один уровень защиты. Например, введение логина и пароля пользователя.

• Двухфакторная. Проверка подлинности пользователя осуществляется в два этапа., с помощью разного типа факторов, о которых писали выше. Например, Ссначала вводятся логин, пароль, а потом для подтверждения вводят дополнительный код, высланный на телефон или электронную почту. Т.е. фактор знания пароля используется с фактором владения устройством – телефоном.

• Многофакторная. Для проверки используют более двух уровней, более двух факторов. безопасности. Востребована больше всего в финансовой сфере, банкинге, крупных интернет-магазинов, мобильных приложений. Например, это наличие банковской карты, которая привязана к номеру телефона, имени пользователя и паролю.

Что такое авторизация?

Эта процедура связана с проверкой прав пользователя на доступ к информации. Процедура носит вторичный характер, производится после того, как пользователь прошел аутентификацию в системе. В качестве факторов подтверждения прав выступают разные компоненты исходя из уровня защиты данных. Чаще всего при авторизации используются три основные схемы:

1. Ролевой доступ. В этом случае устанавливается перечень разрешенных действий с определенными информационными ресурсами, к которым получает доступ пользователь или группа пользователей. При таком подходе за основу берется должность пользователя или его принадлежность к определенному подразделению. Например, бухгалтер будет иметь доступ к финансовой и кадровой информации, сможет смотреть, и изменять информациюеё. Работник производственного отдела, будет иметь доступ к технической и инженерной информации, проводить определенные действия с ними.

2. Мандатный доступ. В этом случае устанавливается градация информации на уровни согласно конфиденциальности, ценности данных. Соответственно, чтобы получить доступ к тому или иному уровню доступа нужно обладать подходящим для этого статусом, который устанавливается в системе. Такая модель авторизации наиболее характерна для госучреждений, работающих с государственной тайной и другими видами конфиденциальной информации. Ее принципиальным отличием от других моделей является тот факт, что пользователь не может никак изменить заданный уровень доступности информации.

3. Избирательный доступ. Владелец информации сам устанавливает права доступа для пользователей к тем или иным ресурсам. Обычно используется матрица доступа, которая устанавливает разрешение или запрет на доступ при совпадении прав и объекта данных.

Авторизация проводится посредством программных средств, которые бывают как базовыми в составе операционной системы, так и в виде отдельных инструментов, интегрируемых в информационную систему. Схема проведения процедуры может быть реализована через единый сервер или отдельные рабочие станции.

Отличия авторизации и аутентификации

Для понимания разницы между этими двумя разными процедурами сравним порядок действий, их характер, активность пользователя.

Авторизация и аутентификация одинаково важны для обеспечения сетевой безопасности. Обычно для повышения надежности защиты от несанкционированного доступа к информации и управления правами пользователей используют idmIdM/IGA-систему. Например, Solar inRights способена полностью автоматизировать процессы управления доступом к информационной системе, избавить от рутинной работы ИТ- и ИБ-подразделения и при этом создать высокий уровень контроля исполнения регламентов доступа в компании.