Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Xác thực (Authentication) và Ủy quyền (Authorization) trong an ninh mạng

Tại sao cần Authentication và Authorization?

Hệ thống bảo mật trực tuyến phải có cả hai để:

  • Authentication (Xác thực): Xác minh "Bạn là ai?" — xác nhận danh tính người dùng.
  • Authorization (Ủy quyền): Xác định "Bạn được làm gì?" — cấp quyền truy cập tài nguyên dựa trên danh tính đã xác thực.

Hiểu rõ khác biệt giúp chọn công cụ/web framework phù hợp với yêu cầu bảo mật.

Authentication trong an ninh mạng là gì?

Quá trình nhận diện danh tính người dùng bằng cách thu thập credential (thông tin đăng nhập). Các yếu tố:

  • Identification: Khai báo danh tính (username, email, user ID).
  • Verification: Chứng minh danh tính qua yếu tố bí mật (password, token, biometric, certificate).
  • Hệ thống bảo mật liên kết request đến với credential → gán identifier duy nhất (session token, JWT, Kerberos ticket).

Tại sao Authentication và Authorization đi cùng nhau?

  1. Authentication trước: Xác thực danh tính an toàn.
  2. Authorization sau: Dựa trên identity đã xác thực, chính sách ủy quyền (policy) quyết định quyền truy cập dữ liệu/hành động nào.
  3. Nếu thiếu authentication → authorization không có cơ sở (ai đó có thể mạo danh).
  4. Nếu thiếu authorization → authenticated user có thể truy cập mọi thứ (broken access control).

3 loại Authentication phổ biến

  1. Password-based (Single Factor): Mật khẩu — yếu nếu dùng lại, đơn giản, bị phishing/keylogger/brute-force.
  2. Multi-Factor Authentication (MFA/2FA): Kết hợp ≥2 yếu tố: Something you know (password) + Something you have (OTP app, hardware key, SMS) + Something you are (biometric). Tiêu chuẩn vàng hiện nay.
  3. Certificate-based Authentication: Dùng chứng chỉ số (X.509) — PKI, mutual TLS, smart card, client cert.
  4. Biometric Authentication: Vân tay, khuôn mặt, mống mắt, giọng nói — tiện lợi, không thể mất/quên, nhưng có vấn đề privacy & spoofing.
  5. Token-based Authentication: JWT, OAuth access token, SAML assertion, Kerberos ticket — stateless, phù hợp API/microservices.

Authentication vs Authentification

Authentication (tiếng Anh chuẩn): Quá trình xác thực, chứng thực.
Authentification (tiếng Pháp / lỗi chính tả phổ biến): Cùng nghĩa nhưng không chuẩn trong tài liệu kỹ thuật tiếng Anh. Hãy dùng Authentication.

Đăng nhập (Login) là Authentication hay Authorization?

  • Login process: Authentication — kiểm tra credential, tạo session/token.
  • Sau login: Authorization — middleware/check permission xem user có quyền truy cập route/resource/action không.

Authentication & Authorization trong Web App

  • Authentication: Xác minh danh tính (login, SSO, OIDC, SAML, WebAuthn/FIDO2).
  • Authorization: Phân quyền (RBAC: Role-Based Access Control; ABAC: Attribute-Based; PBAC: Policy-Based; ACL). Gán role/privilege → kiểm soát truy cập tài nguyên, API, UI element.

Authentication và các loại trong an ninh mạng

Là dòng phòng thủ đầu tiên (first line of defense). Không nhầm lẫn với Authorization (bước sau). Authentication chỉ xác minh "bạn là ai", chưa quyết định "bạn được làm gì".

Tại sao cần Authentication trong an ninh mạng?

Đảm bảo chỉ user/process đã xác thực mới truy cập tài nguyên được bảo vệ: hệ thống máy tính, mạng, database, website, dịch vụ qua mạng. Ngăn chặn: truy cập trái phép, leo thang đặc quyền, lateral movement, data exfiltration.