Authentification contre autorisation

Quelle est la différence dans le contexte des applications Web? Je vois souvent l'abréviation "auth". Représente- t-il une authentification- authentification ou une authentification- authentification? Ou est-ce les deux?

L'authentification est le processus qui consiste à vérifier que quelqu'un est bien ce qu'il prétend être.

L'autorisation fait référence à des règles qui déterminent qui est autorisé à faire quoi. Par exemple, Adam peut être autorisé à créer et supprimer des bases de données, tandis qu'Usama n'est autorisé qu'à lire.

Les deux concepts sont complètement orthogonaux et indépendants, mais les deux sont au cœur de la conception de la sécurité, et le fait de ne pas obtenir l'un ou l'autre correct ouvre la voie au compromis.

En termes d'applications Web, très grossièrement, l'authentification consiste à vérifier les informations de connexion pour voir si vous reconnaissez un utilisateur comme étant connecté, et l'autorisation lorsque vous recherchez dans votre contrôle d'accès si vous autorisez l'utilisateur à afficher, modifier, supprimer ou créer du contenu.

Bref, s'il vous plaît. :-)

Authentification = login + mot de passe (qui vous êtes)

Autorisation = autorisations (ce que vous êtes autorisé à faire)

Un "auth" court est plus susceptible de se référer soit au premier, soit aux deux.

Comme le dit l' authentification vs l'autorisation :

L'authentification est le mécanisme par lequel les systèmes peuvent identifier en toute sécurité leurs utilisateurs. Les systèmes d'authentification fournissent des réponses aux questions:

• Qui est l'utilisateur?
• L'utilisateur est-il vraiment ce qu'il / elle représente lui-même?

L'autorisation , en revanche, est le mécanisme par lequel un système détermine le niveau d'accès qu'un utilisateur authentifié particulier devrait avoir aux ressources sécurisées contrôlées par le système. Par exemple, un système de gestion de base de données peut être conçu de manière à fournir à certaines personnes spécifiées la possibilité de récupérer des informations à partir d'une base de données mais pas la possibilité de modifier les données stockées dans la base de données, tout en donnant à d'autres personnes la possibilité de modifier les données. Les systèmes d'autorisation répondent aux questions:

• L'utilisateur X est-il autorisé à accéder à la ressource R?
• L'utilisateur X est-il autorisé à effectuer l'opération P?
• L'utilisateur X est-il autorisé à effectuer l'opération P sur la ressource R?

Voir également:

• Authentification contre autorisation sur Wikipédia

Je préfère la vérification et les autorisations à l'authentification et à l'autorisation.

Il est plus facile dans ma tête et dans mon code de penser à "vérification" et "autorisations" car les deux mots

• ne sonnent pas pareil
• n'ont pas la même abréviation

L'authentification est une vérification et l'autorisation vérifie les autorisations. Auth peut signifier l'un ou l'autre, mais est utilisé plus souvent comme "User Auth" c'est-à-dire "User Authentication"

La confusion est compréhensible, car les deux mots semblent similaires, et puisque les concepts sont souvent étroitement liés et utilisés ensemble. En outre, comme mentionné, l'abréviation couramment utilisée Auth n'aide pas.

D'autres ont déjà bien décrit la signification de l'authentification et de l'autorisation. Voici une règle simple pour aider à séparer clairement les deux:

• Auth ENTI cation valide votre Id ENTI ty (ou l' authenticité , si vous préférez que)
• Auteur isation valide votre auteur ity, à savoir votre droit d'accès et peut - être changer quelque chose.

J'ai essayé de créer une image pour expliquer cela dans les mots les plus simples

1) L'authentification signifie "Êtes-vous qui vous dites être?"

2) Autorisation signifie "Devriez-vous être capable de faire ce que vous essayez de faire?".

Ceci est également décrit dans l'image ci-dessous.

J'ai essayé de l'expliquer dans les meilleurs termes possibles et j'ai créé une image de la même chose.

L'authentification est le processus de vérification de l'identité proclamée.

• par exemple nom d'utilisateur / mot de passe

Habituellement suivi d'une autorisation , c'est-à-dire l'approbation que vous pouvez faire ceci et cela.

• par exemple les autorisations

Ajout à la réponse de @ Kerrek;

L'authentification est une forme généralisée (tous les employés peuvent se connecter à la machine)

L'autorisation est un formulaire spécialisé (mais l'administrateur peut uniquement installer / désinstaller l'application dans la machine)

L'authentification est le processus de vérification de votre nom d'utilisateur et de votre mot de passe de connexion.

L'autorisation est le processus de vérification que vous pouvez accéder à quelque chose.

Définitions

Authentification - Êtes-vous la personne que vous prétendez être?

Autorisation - Êtes-vous autorisé à faire tout ce que vous essayez de faire?

Exemple

Une application Web utilise la connexion Google . Une fois qu'un utilisateur s'est connecté avec succès, Google renvoie:

1. Un jeton JWT. Cela peut être validé et décodé pour obtenir des informations d' authentification . Le jeton est-il signé par Google? Quels sont le nom et l'e-mail de l'utilisateur?
2. Un jeton d'accès. Cela autorise l'application Web à accéder aux API Google au nom de l'utilisateur. Par exemple, l'application peut-elle accéder aux événements Google Agenda de l'utilisateur? Ces autorisations dépendent des étendues qui ont été demandées et si l'utilisateur l'a autorisé ou non.

Aditionellement:

L'entreprise peut disposer d'un tableau de bord d'administration qui permet au support client de gérer les utilisateurs de l'entreprise. Au lieu de fournir une solution d'inscription personnalisée qui permettrait au support client d'accéder à ce tableau de bord, la société utilise Google Sign-In.

Le jeton JWT (reçu du processus de connexion Google) est envoyé au serveur d'autorisation de l'entreprise pour déterminer si l'utilisateur possède un compte G Suite avec le domaine hébergé de l'organisation (email@company.com)? Et s'ils le font, sont-ils membres du groupe Google de l'entreprise créé pour le service client? Si oui à tout ce qui précède, nous pouvons les considérer comme authentifiés .

Le serveur d'autorisation de l'entreprise envoie ensuite à l'application de tableau de bord un jeton d'accès. Ce jeton d'accès peut être utilisé pour faire des demandes autorisées au serveur de ressources de l'entreprise (par exemple, la possibilité de faire une demande GET à un point de terminaison qui renvoie tous les utilisateurs de l'entreprise).

Authentication est un processus de vérification:

• l'identité de l'utilisateur dans un système (nom d'utilisateur, login, numéro de téléphone, email ...) en fournissant une preuve (clé secrète, biométrie, sms ...). Authentification multifacteur comme extension.
• vérification des e-mails à l'aide digital signature
• somme de contrôle

Authorizationest la prochaine étape après Authentication. Il s'agit d'autorisations / rôles / privilèges sur les ressources. OAuth (Open Authorization) est un exemple d'autorisation