Yetkilendirmeye karşı Yetkilendirme

Web uygulamaları bağlamındaki fark nedir? "Auth" kısaltmasını çok görüyorum. Anlama gelmektedir yetkilendirme -entication veya kimlik doğrulama -orization? Yoksa ikisi de mi?

Kimlik doğrulama , birisinin gerçekten iddia ettiği kişi olduğunu tespit etme sürecidir.

Yetkilendirme , kimin ne yapmasına izin verildiğini belirleyen kuralları ifade eder. Örneğin, Usama sadece okuma yetkisi verirken, Adam veritabanları oluşturma ve silme yetkisine sahip olabilir.

İki kavram tamamen dik ve bağımsızdır, ancak her ikisi de güvenlik tasarımının merkezinde yer alır ve ikisinden birini doğru bir şekilde elde edememek, uzlaşma yolunu açar.

Web uygulamaları açısından, çok kabaca konuşmak gerekirse, kimlik doğrulaması, bir kullanıcıyı oturum açmış olarak tanıyıp tanımadığınızı görmek için giriş kimlik bilgilerini kontrol ettiğinizde ve yetkilendirme, erişim kontrolünüzde kullanıcının görüntülemesine, düzenlemesine, silmesine izin verip vermediğinize baktığınız zamandır. veya içerik oluşturun.

Kısacası, lütfen. :-)

Kimlik doğrulama = giriş + şifre (kim olduğunuz)

Yetkilendirme = izinler (ne yapmanıza izin verilir)

Kısa "kimlik doğrulaması", birincisine veya her ikisine de atıfta bulunur.

As Yetkilendirme vs Kimlik koyar:

Kimlik doğrulama , sistemlerin kullanıcılarını güvenli bir şekilde tanımlayabilecekleri mekanizmadır. Kimlik doğrulama sistemleri şu sorulara cevap verir:

• Kullanıcı kim?
• Kullanıcı gerçekten kendisini temsil ettiği kişi mi?

Yetkilendirme , aksine, bir sistemin, kimliği doğrulanmış belirli bir kullanıcının sistem tarafından kontrol edilen güvenli kaynaklara ne düzeyde erişmesi gerektiğini belirleme mekanizmasıdır. Örneğin, bir veritabanı yönetim sistemi, belirli kişilere bir veritabanından bilgi alma, ancak datbase'de depolanan verileri değiştirme ve diğer kişilere veri değiştirme yeteneği sağlama yeteneği sağlayacak şekilde tasarlanabilir. Yetkilendirme sistemleri şu sorulara cevap verir:

• X kullanıcısı R kaynağına erişme yetkisine sahip mi?
• X kullanıcısı P işlemini yapmaya yetkili mi?
• X kullanıcısı, R kaynağında P işlemini gerçekleştirme yetkisine sahip mi?

Ayrıca bakınız:

• Wikipedia'da kimlik doğrulaması ve yetkilendirme

Doğrulama ve Kimlik Doğrulama ve Yetkilendirme İzinlerini tercih ederim .

Kafamda ve kodumda "doğrulama" ve "izinler" düşünmek daha kolay çünkü iki kelime

• benzemiyor
• aynı kısaltmaya sahip değil

Kimlik doğrulama doğrulama ve Yetkilendirme izinleri kontrol ediyor. Kimlik doğrulaması da anlam ifade edebilir, ancak "Kullanıcı Kimlik Doğrulaması", yani "Kullanıcı Doğrulaması" olarak daha sık kullanılır

İki kelime birbirine benzediğinden ve kavramlar genellikle yakından ilişkili ve birlikte kullanıldığından, karışıklık anlaşılabilir. Ayrıca, belirtildiği gibi, yaygın olarak kullanılan Auth kısaltması yardımcı olmaz.

Diğerleri, kimlik doğrulama ve yetkilendirmenin ne anlama geldiğini zaten iyi tanımlamışlardır. İkisini açıkça birbirinden uzak tutmanıza yardımcı olacak basit bir kural:

• Kimlik Doğrulama enti katyon geçerli kılınarak sizin Kimliği enti ty (veya orijinallik , İsterseniz)
• Yazar izlemesi yazarlığınızı , yani bir şeye erişme ve muhtemelen bir şeyi değiştirme hakkınızı doğrular .

Bunu en basit kelimelerle açıklamak için bir görüntü oluşturmaya çalıştım

1) Doğrulama, "Sen olduğunu söylediğin kişi misin?"

2) Yetkilendirme, "Yapmaya çalıştığınız şeyi yapabilmeniz gerekir mi?" Anlamına gelir.

Bu, aşağıdaki resimde de açıklanmaktadır.

Mümkün olan en iyi şekilde açıklamaya çalıştım ve aynı imajı yarattım.

Kimlik doğrulama, ilan edilen kimliği doğrulama işlemidir.

• örneğin kullanıcı adı / şifre

Genellikle bunu yetkilendirme izler. Bunu onaylayabilirsiniz .

• örneğin izinler

@ Kerrek'in cevabına ekleme;

Kimlik Doğrulama Genelleştirilmiş formdur (Tüm çalışanlar makineye giriş yapabilir)

Yetkilendirme Uzmanlaşmış formdur (Ancak yönetici yalnızca uygulamayı Makine'ye yükleyebilir / kaldırabilir)

Kimlik doğrulama, giriş adınızı ve kullanıcı adınızı ve parolanızı doğrulama işlemidir.

Yetkilendirme, bir şeye erişebildiğinizi doğrulama işlemidir.

Tanımlar

Kimlik Doğrulama - Olduğunu iddia ettiğiniz kişi siz misiniz?

Yetkilendirme - Yapmaya çalıştığınız her şeyi yapmaya yetkili misiniz?

Misal

Bir web uygulaması Google ile Oturum Açma özelliğini kullanır . Bir kullanıcı başarıyla oturum açtıktan sonra Google geri gönderir:

1. Bir JWT jetonu. Bu, kimlik doğrulama bilgilerini almak için doğrulanabilir ve kodu çözülebilir . Simge Google tarafından imzalanmış mı? Kullanıcının adı ve e-postası nedir?
2. Bir erişim belirteci. Bu , web uygulamasına kullanıcı adına Google API'larına erişme yetkisi verir. Örneğin, uygulama kullanıcının Google Takvim etkinliklerine erişebilir mi? Bu izinler, istenen kapsamlara ve kullanıcının izin verilip verilmediğine bağlıdır.

Bunlara ek olarak:

Şirketin, müşteri desteğinin şirketin kullanıcılarını yönetmesine olanak tanıyan bir yönetici kontrol paneli olabilir. Şirket, müşteri desteğinin bu gösterge tablosuna erişmesine olanak tanıyan özel bir kayıt çözümü sağlamak yerine Google Oturum Açma özelliğini kullanır.

JWT jetonu (Google oturum açma işleminden alındı), kullanıcının kuruluşun barındırdığı alan adında (email@company.com) bir G Suite hesabına sahip olup olmadığını anlamak için şirketin yetkilendirme sunucusuna gönderilir mi? Ve eğer öyleyse, müşteri desteği için oluşturulan şirketin Google Grubunun bir üyesi mi? Yukarıdakilerin tümüne evet ise, bunların doğrulanmış olduğunu düşünebiliriz .

Şirketin yetkilendirme sunucusu daha sonra gösterge tablosu uygulamasına bir erişim belirteci gönderir. Bu erişim belirteci şirketin kaynak sunucusuna yetkilendirilmiş isteklerde bulunmak için kullanılabilir (ör. Şirketin tüm kullanıcılarını geri gönderen bir uç noktaya GET isteği yapma yeteneği).

Authentication bir doğrulama sürecidir:

• bir sistemde kullanıcı kimliğini (kullanıcı adı, giriş, telefon numarası, e-posta ...) kanıt (gizli anahtar, biyometri, sms ...) sağlayarak. Uzantı olarak çok faktörlü kimlik doğrulama.
• kullanarak e-posta kontrolü digital signature
• sağlama

Authorizationsonraki adımdır Authentication. Bu, kaynakların izinleri / rolleri / ayrıcalıkları ile ilgilidir. OAuth (Açık Yetkilendirme) bir Yetkilendirme örneğidir