So sánh Xác thực (Authentication) và Ủy quyền (Authorization) trong An ninh Thông tin

Xác thực (Authentication)

Xác thực là quy trình chứng minh rằng một cá nhân là người mà họ tuyên bố. Điều này bao gồm khớp danh tính được tuyên bố của một người được khẳng định qua thông tin xác thực (như thẻ ID hoặc số ID duy nhất) với một hoặc nhiều yếu tố xác thực dành cho thông tin xác thực đó.

Xác thực là về việc xác thực các thông tin đăng nhập như Tên người dùng/ID người dùng và mật khẩu để xác minh danh tính. Hệ thống quyết định xem nó có thể là gì mà nó nói và nó đang sử dụng các thông tin xác thực.

Trong mạng công cộng và riêng tư, hệ thống xác thực danh tính người dùng qua mật khẩu đăng nhập. Xác thực thường được hoàn thành bằng tên người dùng và mật khẩu, và đôi khi kết hợp với các yếu tố xác thực, định nghĩa các cách khác nhau để được xác thực.

Các yếu tố xác thực quyết định các yếu tố khác nhau mà hệ thống sử dụng để xác minh danh tính của người trước khi cho phép truy cập vào bất cứ thứ gì từ truy cập tài liệu đến yêu cầu giao dịch ngân hàng.

Ủy quyền (Authorization)

Ủy quyền là cấu trúc bảo mật xác định đặc quyền hoặc cấp độ truy cập của người dùng/máy khách liên quan đến tài nguyên hệ thống, như chương trình máy tính, tệp tin, dịch vụ, thông tin và tính năng ứng dụng.

Chính sách ủy quyền chỉ ra những gì danh tính được phép làm. Ví dụ, bất kỳ khách hàng nào của ngân hàng có thể tạo và sử dụng danh tính (như tên người dùng) để đăng nhập vào dịch vụ trực tuyến của ngân hàng đó nhưng chính sách ủy quyền của ngân hàng nên đảm bảo rằng chỉ họ được ủy quyền truy cập tài khoản cá nhân trực tuyến sau khi danh tính được xác minh.

Ủy quyền có thể được sử dụng ở mức chi tiết hơn chỉ đơn giản là trang web hoặc mạng nội bộ công ty. Danh tính cá nhân có thể được chứa trong một tập hợp các danh tính chia sẻ chính sách ủy quyền chung.

Ví dụ, giả sử cơ sở dữ liệu bao gồm cả mua hàng của khách hàng và dữ liệu cá nhân và thẻ tín dụng của khách hàng.

Một thương nhân có thể tạo chính sách ủy quyền cho cơ sở dữ liệu này để cho phép nhóm marketing truy cập tất cả mua hàng của khách hàng nhưng ngăn chặn truy cập vào tất cả dữ liệu cá nhân và thẻ tín dụng của khách hàng, do đó nhóm marketing có thể xác định sản phẩm nổi bật để quảng bá hoặc giảm giá.

So sánh Authentication và Authorization