Authorization พร้อมตัวอย่าง
Authorization = การให้สิทธิ์เข้าถึงทรัพยากร ตัวอย่าง: สิทธิ์เข้าบ้าน (Permission) รวมถึงการจัดแต่ง ทำความสะอาด ซ่อมแซม
Authentication ใน Network Security
กระบวนการยืนยันตัวตนผู้ใช้ (เช่น Fingerprint) ผูก Credentials กับ Incoming Requests ให้ Unique Identifier ระบบความปลอดภัยระบุผู้ใช้จากขั้นตอน Identification ให้ User ID
Authorisation ใน Cyber Security
กระบวนการกำหนด ระดับการเข้าถึง/สิทธิ์ (Privileges) ของ User/Client ต่อทรัพยากรระบบ: ไฟล์, เซอร์วิส, แอปพลิเคชัน, ข้อมูล, โครงสร้างข้อมูล
Authorization Process
วิธีที่ Application Server ตัดสินใจว่า Client เข้าถึงทรัพยากร/ไฟล์ได้ไหม มักรวมกับ Authentication เข้าด้วยกัน เพื่อให้ Server รู้ว่ Client 是ใคร
Authentication vs Authorization ใน Security
- Authentication: พิสูจน์ว่า "คือใคร" (Who you are)
- Authorization: พิสูจน์ว่า "มีสิทธิ์อะไร" (What you can access)
ตัวอย่างจริง: เช็คอินสนามบิน ต้องแสดงบัตรประจำตัว (AuthN) แล้วค่อยได้ขึ้นเครื่อง (AuthZ)
ข้อกำหนดสำหรับ Secure Authorization
Authorization ต้องมาหลัง Authentication เสมอ: ยืนยันตัวตนก่อน > ให้สิทธิ์ตามสิทธิภักดี ใช้คำว่า Authorization, Access Control, Privilege สลับกันได้
ประเภทของ Authorization
บทความระบุ Authentication Methods (อาจสับสน):
- Password-based (ยอดนิยม)
- Two-Factor / Multi-Factor Authentication
- Certificate-based Authentication
- Biometric Authentication
- Token-based Authentication
ตัวอย่าง Authentication
ยืนยันตัวตนบุคคล/อุปกรณ์ เช่น ใส่ Username/Password บนเว็บ ไปทำได้ = พิสูจน์ตัวตนแล้ว
Authorization คืออะไร ใช้ทำไม (ตัวอย่าง)
เนื้อหาไม่ชัดเจน (เหลือแค่ Metadata: hide Authority control Other Microsoft Academic)
Authentication และประเภทใน Network Security
Authentication = ระดับป้องกันแรก สำคัญใน Cybersecurity ไม่ใช่ Authorization (ขั้นตอนถัดไป) แค่ยืนยันว่า User มี Permission ที่จำเป็น
ความจำเป็นของ Authentication
องค์กรรักษาความปลอดภัยเครือข่าย โดยอนุญาตเฉพาะ Authenticated Users/Processes เข้าถึงทรัพยากรที่ปกป้อง: Systems, Networks, Databases, Websites, Network Services
Authorisation ใน Cyber Security (ซ้ำ)
กระบวนการให้สิทธิ์ทำสิ่งใดสิ่งหนึ่ง System Security: ให้ User Permission เข้าถึง Resource/Function เฉพาะ เรียกว่า Client Privileges / Access Control
Authorisation หมายถึงอะไร
ได้รับอนุญาตทำสิ่งหนึ่ง/มีสิทธิ์ในสิ่งหนึ่ง = การตั้งค่าสิทธิ์โดย Admin (Preliminary) + การตรวจสอบสิทธิ์ตอนเข้าถึง (Actual Verification)
Authorization Process ประกอบด้วยอะไร
กำหนด Access Level/Privileges ต่อ: Files, Services, Applications, Data, Data Structures ปัจจัยหลัก: User Type, Number, Credentials, Actions, Roles
Transaction Authorization
ธนาคารออกบัตรอนุมัติ Merchant รับชำระจากบัตรลูกค้า Approve = จองเงินในบัญชีลูกค้า ตามยอดขาย
