Authentifizierung versus Autorisierung

Question

Was ist der Unterschied bei Webanwendungen? Bitte kurz zusammengefasst.

Ich sehe die Abkürzung "auth" oft. Steht sie für authentifizierung oder authorisierung? Oder beides?

Answer 1

Authentifizierung ist der Prozess zur Feststellung, dass jemand wirklich die Person ist, für die er sich ausgibt.

Autorisierung bezieht sich auf Regeln, die bestimmen, wer was tun darf. Zum Beispiel könnte Adam autorisiert sein, Datenbanken zu erstellen und zu löschen, während Usama nur befugt ist zu lesen.

Die beiden Konzepte sind völlig orthogonal und unabhängig, aber beide sind zentral für das Sicherheitsdesign, und das Versagen beim richtigen Verständnis beider eröffnet die Möglichkeit zum Kompromiss.

Im Bereich von Webanwendungen bedeutet Authentifizierung grob gesagt, dass Sie Anmeldeinformationen überprüfen, um festzustellen, ob Sie einen Benutzer als angemeldet erkennen, und Autorisierung ist, wenn Sie in Ihrer Zugriffskontrolle nachschauen, ob Sie dem Benutzer erlauben, Inhalte anzuzeigen, zu bearbeiten, zu löschen oder zu erstellen.

Answer 2

Kurz gesagt, bitte. :-)

Authentifizierung = Login + Passwort (wer du bist)

Autorisierung = Berechtigungen (was du tun darfst)

Kurz "auth" bezieht sich höchstwahrscheinlich entweder auf den ersten oder auf beide.

Answer 3

Wie in Authentifizierung vs. Autorisierung erklärt wird:

Authentifizierung ist der Mechanismus, mit dem Systeme ihre Benutzer sicher identifizieren können. Authentifizierungssysteme geben Antworten auf die Fragen:

• Wer ist der Benutzer?
• Ist der Benutzer wirklich derjenige, für den er sich ausgibt?

Autorisierung hingegen ist der Mechanismus, durch den ein System bestimmt, welchen Zugriffslevel ein bestimmter authentifizierter Benutzer auf durch das System kontrollierte geschützte Ressourcen haben sollte. Zum Beispiel könnte ein Datenbankmanagementsystem so gestaltet sein, dass bestimmte Personen die Fähigkeit haben, Informationen aus einer Datenbank abzurufen, aber nicht die Möglichkeit haben, Daten in der Datenbank zu ändern, während anderen Personen die Möglichkeit gegeben wird, Daten zu ändern. Autorisierungssysteme geben Antworten auf die Fragen:

• Ist Benutzer X berechtigt, auf Ressource R zuzugreifen?
• Ist Benutzer X berechtigt, die Operation P durchzuführen?
• Ist Benutzer X berechtigt, die Operation P auf Ressource R durchzuführen?

Siehe auch:

• Authentifizierung vs. Autorisierung auf Wikipedia

Answer 4

Im Benutzerkontext:

Authentifizierung = Überprüfung des Benutzers, ob er wirklich ist, wer er vorgibt zu sein (technisch gesehen können Sie viele verschiedene Dinge wie Passwort, Steuerinformationen, Sozialversicherungsinformationen, Führerschein, Fingerabdrücke oder andere biometrische Daten überprüfen... aber normalerweise reicht ein Benutzername/Passwort aus)

Autorisierung = Genehmigen des Benutzers, etwas zu tun (Sie können Rollen ['admin', 'verkäufer', 'käufer'...] mit Berechtigungen ['Zugriff auf das Steuerungszentrum', 'Produkte löschen'...] festlegen und diesen Rollen die Benutzer zuweisen, dann überprüfen, ob der Benutzer eine Rolle hat, die es ihm erlaubt, eine Aktion auszuführen)

Berechtigungen haben eine direkte Beziehung zu CRUD-Operationen, daher können Sie, wenn Sie eine Benutzeroberfläche erstellen, Objekte als Zeilen auflisten und Kontrollkästchen in 4 Spalten für Erstellen, Lesen, Aktualisieren, Löschen dieser Objektberechtigung für eine bestimmte Rolle anzeigen.

Wie in meinem obigen Beispiel bedeutet 'Zugriff auf das Steuerungszentrum' vollständigen Zugriff auf das Objekt Steuerungszentrum, während 'Produkte löschen' Zugriff zum Löschen des Produktobjekts bedeutet.

Hinweis: Der HTTP-Autorisierungsheader war ursprünglich für die Berechtigung zum Zugriff auf eine Ressource gedacht, wird jedoch tatsächlich als Authentifizierung für den gesamten Ressourcenzugriff verwendet.

In meinem Kopf und in meinem Code ist es einfacher, an Überprüfung und Berechtigungen zu denken, weil die beiden Wörter

• nicht ähnlich klingen
• nicht die gleiche Abkürzung haben
• und die tatsächliche Implementierung der Autorisierung typischerweise die Implementierung von Rollen und Berechtigungen beinhaltet

Authentifizierung ist Überprüfung und Autorisierung ist die Überprüfung von Berechtigungen. 'Auth' kann beides bedeuten, wird jedoch häufiger als "Benutzerauthentifizierung" verwendet. Oftmals gibt es keine explizite Autorisierungsimplementierung (Rollen und Berechtigungen), nur die Authentifizierung wird verwendet, um die Autorisierung für jede verfügbare Aktion zu ermöglichen. Und so ist es Auth.

Answer 5

Die Verwirrung ist verständlich, da die beiden Wörter ähnlich klingen und die Konzepte oft eng miteinander verwandt und zusammen verwendet werden. Auch die häufig verwendete Abkürzung Auth hilft nicht.

Andere haben bereits gut beschrieben, was Authentifizierung und Autorisierung bedeuten. Hier ist eine einfache Regel, um die beiden klar voneinander zu trennen:

• Authentifizierung validiert Ihre Identität (oder Echtheit, wenn Sie das bevorzugen)
• Autorisierung validiert Ihre Autorität, d.h. Ihr Recht, auf etwas zuzugreifen und möglicherweise etwas zu ändern.