websights Authenticatie en autorisatie: welke verschillen?

Op zoek naar inwebo.com? Dan ben je hier op de juiste plek! Lees er alles over in onze blogpost

Kom en bezoek ons persoonlijk op de komende branchebeurzen en conferenties

Inzicht in de verschillen tussen Authenticatie en Autorisatie

In het kader van IAM en CIAM zijn de termen authenticatie en autorisatie fundamentele concepten die het kader van cyberbeveiliging vormen. Hun gelijkenis in betekenis en uitspraak verklaart in de eerste plaats waarom ze als hetzelfde worden beschouwd. Dat zijn ze echter niet.

Eenvoudig gezegd identificeert en bevestigt authenticatie de identiteit die een gebruiker claimt, terwijl autorisatie de toegang tot een beveiligde component verleent/beperkt, afhankelijk van de toegangsrechten van een gebruiker. Beide zijn natuurlijk beveiligingsprocedures die ongewenste toegang tot een beveiligd systeem voorkomen. Ze omvatten echter verschillende concepten en werken dus verschillend. In dit artikel bespreken we de eigenlijke authenticatie en autorisatie en hoe ze volledig van elkaar verschillen.

Wat is authenticatie?

Authenticatie is een beveiligingscomponent die valideert wie de gebruikers beweren te zijn. Deze component voorkomt illegale/ongeoorloofde toegang tot een beveiligd bestand en voorkomt ook gegevensdiefstal.

Cyberaanvallen nemen nu toe, en volgens de studie van Digital Shadows Research Team werden in 2020 tot 15 miljard referenties gestolen, wat de weg vrijmaakte voor account takeover¹. Het komt erop neer dat als je toegang wilt krijgen tot een beveiligd bestand als een persoon die eigenaar is van of toegang heeft tot het beveiligde bestand, de authenticatie je iets vraagt dat alleen bekend is bij de eigenaar van het beveiligde bestand. Het antwoord dat u geeft valideert of ontkracht uw claim als eigenaar van het bestand en bepaalt dus of toegang wordt verleend of niet. Een typisch voorbeeld is het gebruik van wachtwoorden en gebruikersnamen.

Authenticatiefactoren

Authenticatie vereist het gebruik van specifieke factoren om doeltreffend te kunnen werken. Deze authenticatiefactoren zijn uniek voor elke gebruiker en zijn nodig om de identiteit van de gebruikers te bevestigen. Zij omvatten:

  • Iets wat je weet: Deze factor gaat over wat de gebruiker weet. Het is de kennis waar alleen de gebruiker toegang toe heeft. Het omvat wachtwoorden, PINS, geheime persoonlijke vragen, en antwoorden zoals een favoriete kleur of voedsel.
  • Iets wat je hebt: Deze factor gaat over het bezit van de gebruiker; iets dat hij/zij bezit en gebruikt om toegang te krijgen tot de beveiligde component. Het omvat apparaten zoals een laptop of telefoon of een sleutelkaart. Alleen de gebruiker kan deze bezittingen gebruiken om toegang te krijgen tot de beveiligde component, behalve als deze verloren of gestolen is.
  • Iets wat je bent: Deze authenticatiefactor is wat de gebruiker is. Het is een factor die uniek is voor de gebruiker alleen. Het omvat biometrie zoals vingerafdrukken, stemherkenning, irisscans, enz.
  • Locatie van de gebruiker: Deze extra factor gebruikt de informatie over waar de gebruiker zich bevindt om de identiteit te valideren. Als de gebruiker altijd vanuit een bepaalde omgeving of staat toegang heeft tot het bestand, en nu vanuit een andere staat, omgeving of land toegang tot het beveiligde bestand wordt gezocht, zet het beveiligde systeem een extra veiligheidsfront op om te bevestigen of het nog steeds om dezelfde gebruiker gaat.
  • Tijdstip van toegang: Net als de locatie van de gebruiker, als de gebruiker tijdens bepaalde uren of dagen toegang heeft tot een bestand, bijvoorbeeld tijdens werkuren of werkdagen, stelt het een andere authenticatiefactor op als er buiten deze tijden toegang wordt gezocht.

Van al deze authenticatiefactoren zijn wachtwoorden en gebruikersnamen de meest elementaire vorm. Zij dienen in de meeste gevallen ook als eerste beveiligingslaag. Het gebruik van wachtwoorden alleen kan cyberaanvallen en ongeoorloofde toegang echter niet langer afschrikken, omdat het nu gemakkelijk te omzeilen en te hacken is.

De factor "iets wat je weet" alleen gebruiken als beveiligingscomponent wordt beschouwd als de zwakste vorm van beveiliging. Om de beveiliging verder te versterken, heb je meer dan één authenticatiefactor nodig. Daarom richt de wereld zich nu op 2FA's (Two Factor Authentication) en MFA's (Multi-Factor Authentication) voor een betere bescherming van hun bestanden en middelen. Trouwens, in tegenstelling tot wat vaak wordt gedacht, is 2FA anders dan MFA en meestal minder veilig. Bekijk ons artikel om hier meer over te weten te komen.

Wat is autorisatie?

Autorisatie is een beveiligingsprocedure die de toegang van een gebruiker tot een bepaalde beveiligde entiteit controleert/beperkt. Dit beveiligingsconcept gaat over hoeveel toegangsrechten een gebruiker heeft om toegang te krijgen tot een beveiligd bestand.

Authenticatie en autorisatie gaan hand in hand, want autorisatie komt pas na authenticatie. Wat dit betekent, zal zo meteen blijken.

Laten we een voorbeeld nemen.

In een beveiligingsorganisatie heeft elk personeelslid toegang tot verschillende bestanden en bronnen, afhankelijk van zijn rol of niveau. Al deze beveiligde bestanden en bronnen zijn echter cloud-gebaseerd, en elk personeelslid kan deze bestanden vinden zolang hij inlogt op het cloud netwerk van de organisatie. Wat zij echter niet kunnen doen, is toegang krijgen tot de bestanden die hun rol in de organisatie niet toestaat.

Dit betekent dat u, om zelfs maar de bestanden op de cloud van het bedrijf te kunnen vinden, uw identiteit moet kunnen verifiëren (authenticatie). Als u geen personeel van de organisatie bent, hebt u geen toegang tot het cloud netwerk.

Na verificatie van uw identiteit als lid van het bedrijf, kan vervolgens de autorisatie aan bod komen. Uw rol bepaalt nu de limiet aan de bestanden waartoe u als lid toegang hebt op de cloud (autorisatie).

Uit het 2021 investigations data breach report van Verizon blijkt dat ongeveer 61% van de datalekken in 2020 te wijten waren aan onbevoegde toegang tot beveiligde systemen². Om te voorkomen dat u slachtoffer wordt van een datalek, kunt u met een effectieve toegangscontroletechniek van leveranciers zoals inWebo veel aspecten van uw systeem beschermen tegen onbevoegde personen.

De verschillende beheerswijzen van IAM

Om de veiligheid en het gebruiksgemak van een digitale omgeving te beheren, moet worden gegoocheld met identiteiten, authenticaties en verschillende autorisatieniveaus. Dit is het eigenlijke doel van IAM (Identity and Access Management), dat rond verschillende strategieën kan worden georganiseerd:

Rolgebaseerde toegangscontrole (RBAC)

RBAC verleent toegang op basis van de bedrijfsrollen van een reeks gebruikers. Dit model verleent toegang tot beveiligde onderdelen op basis van de rollen die de gebruikers binnen de organisatie innemen.

Attribuutgebaseerde toegangscontrole (ABAC)

Deze controlestrategie verleent toegang op basis van de kenmerken van de gebruiker. Dat kunnen de locatie, de afdeling en de rol van de gebruiker zijn, en het soort actie dat moet worden uitgevoerd.

Beleidsgebaseerde toegangscontrole (PBAC)

PBAC is een toegangscontrolestrategie die de rol van een gebruiker integreert met het door de organisatie vastgestelde beleid om geautoriseerde toegang tot het systeem te verlenen.

Op regels gebaseerde toegangscontrole

Dit toegangscontrolesysteem verleent toegang op basis van een reeks reeds vastgestelde regels. Deze regels bepalen hoe elke gebruiker toegang krijgt.

Authenticatie en autorisatie: Wat is het verschil?

Authenticatie en autorisatie verschillen van elkaar door de volgende criteria:

  • Gelegenheid: Authenticatie is de eerste beveiligingsprocedure die men tegenkomt wanneer men verbinding maakt met een beveiligd systeem. Autorisatie vindt pas plaats nadat de authenticatie met succes heeft plaatsgevonden.
  • Functie: Authenticatie verifieert de identiteit van een gebruiker. Autorisatie verleent of beperkt de toegang van gebruikers tot bestanden.
  • Wijziging: Authenticatiefactoren kunnen door de gebruikers worden gewijzigd om de beveiliging te versterken. Autorisatie kan alleen worden gewijzigd door de beveiligingsteams/het personeel dat is aangesteld om deze te handhaven.
  • Zichtbaarheid: Authenticatie is zichtbaar voor de gebruikers. Autorisatie is echter onzichtbaar.
  • Vereisten: De referenties van gebruikers kunnen worden gebruikt om de identiteit te bevestigen tijdens de authenticatie. Beleid en regels worden ingesteld om te bepalen of toegang moet worden verleend of niet tijdens autorisatie.

IAM: Orkestreer uw authenticatie- en autorisatiestrategie

Inzicht in het fundamentele verschil tussen Authenticatie en Autorisatie is een vereiste voor het opzetten en hanteren van complexe Identity en Access Management platforms. Inmiddels zou u in staat moeten zijn om uw IAM-behoeften in kaart te brengen in dit kader, de authenticatie en toegangsorkestratie die u nodig hebt te evalueren en te zoeken naar de best passende oplossing. Als u daarbij hulp nodig hebt, staan de experts van inWebo klaar om u te begeleiden bij uw IAM-reis. Neem gerust contact met hen op.

Authenticatie is een beveiligingscomponent die valideert wie de gebruikers beweren te zijn. Deze component voorkomt illegale/ongeoorloofde toegang tot een beveiligd bestand en voorkomt ook gegevensdiefstal.

Autorisatie is een beveiligingsprocedure die de toegang van een gebruiker tot een bepaalde beveiligde entiteit controleert/beperkt. Dit beveiligingsconcept gaat over hoeveel toegangsrechten een gebruiker heeft om toegang te krijgen tot een beveiligd bestand.

Authenticatie en autorisatie gaan hand in hand, maar verschillen van elkaar volgens bepaalde criteria zoals het moment van ingrijpen, de functie, de modaliteiten voor wijziging, de zichtbaarheid en de vereisten.