การเปรียบเทียบระหว่าง Authentication และ Authorization ในความปลอดภัยข้อมูล

Authentication (การยืนยันตัวตน)

Authentication เป็นกระบวนการพิสูจน์ว่าบุคคลนั้นคือบุคคลที่เขาอ้างว่าตนเป็นอยู่ ประกอบด้วยการจับคู่ตัวตนที่อ้างอ้างผ่าน Credential (เช่น บัตรประจำตัวหรือหมายเลข ID เฉพาะ) ต่อปัจจัยการยืนยันตัวตน 1 หรือมากกว่าที่ผูกมั่นกับ Credential นั้น

Authentication เกี่ยวกับการตรวจสอบ Credential เช่น User Name/User ID และรหัสผ่านเพื่อยืนยันตัวตน ระบบตัดสินใจว่ามันเป็นสิ่งที่มันกล่าวไว้ และใช้ Credential นั้น

ในเครือข่ายสาธารณะและส่วนตัว ระบบยืนยันตัวตนผู้ใช้ผ่านรหัสผ่านล็อกอิน Authentication ปกติทำโดยชื่อผู้ใช้และรหัสผ่าน และบางครั้งร่วมกับปัจจัยการยืนยันตัวตน ซึ่งกำหนดวิธีการหลายวิธีในการยืนยันตัวตน

ปัจจัยการยืนยันตัวตนกำหนดองค์ประกอบต่างๆ ที่ระบบใช้เพื่อยืนยันตัวตนของบุคคลก่อนอนุญาตให้เข้าถึงอะไรก็ตาม ตั้งแต่การเข้าถึงเอกสารไปจนถึงการร้องขอธุรกรรมธนาคาร

Authorization (การอนุมัติ)

Authorization เป็นโครงสร้างความปลอดภัยที่กำหนดสิทธิพิเศษหรือระดับการเข้าถึงของผู้ใช้/ไคลเอนต์ที่เกี่ยวข้องกับทรัพยากรระบบ เช่น โปรแกรมคอมพิวเตอร์ ไฟล์ บริการ ข้อมูล และคุณสมบัติแอปพลิเคชัน

นโยบายการอนุมัติระบุว่าตัวตนได้รับอนุญาตให้ทำอะไร ตัวอย่างเช่น ลูกค้าธนาคารทุกคนสามารถสร้างและใช้ตัวตน (เช่นชื่อผู้ใช้) เพื่อล็อกอินเข้าสู่บริการออนไลน์ของธนาคารนั้น แต่ นโยบายการอนุมัติของธนาคารควรให้การเข้าถึงบัญชีส่วนตัวออนไลน์ได้เฉพาะหลังจากยืนยันตัวตนแล้ว

Authorization สามารถใช้ได้อย่างละเอียดกว่าแค่เว็บไซต์หรือ Intranet ของบริษัท ตัวตนรายบุคคลสามารถอยู่ในชุดของตัวตนที่แบ่งปันนโยบายการอนุมัติร่วมกัน

ตัวอย่างเช่น สมมติฐานฐานข้อมูลที่มีทั้งการซื้อของลูกค้าและข้อมูลส่วนตัวและบัตรเครดิตของลูกค้า

พ่อค้าสามารถสร้างนโยบายการอนุมัติสำหรับฐานข้อมูลนี้เพื่อให้ทีมการตลาดเข้าถึงการซื้อของลูกค้าทั้งหมด แต่ป้องกันการเข้าถึงข้อมูลส่วนตัวและบัตรเครดิตของลูกค้าทั้งหมด เพื่อให้ทีมการตลาดสามารถระบุผลิตภัณฑ์ยอดนิยมเพื่อโปรโมทหรือลดราคา

การเปรียบเทียบระหว่าง Authentication และ Authorization