Authentifizierung vs. Autorisierung

Systeme können verschiedene Mechanismen zur Authentifizierung eines Benutzers verwenden. Um Ihre Identität zu überprüfen, verwenden Authentifizierungsverfahren in der Regel etwas, was Sie wissen, etwas, was Sie haben, oder etwas, was Sie sind.

Kennwörter und Sicherheitsfragen sind zwei Authentifizierungsfaktoren, die unter die Kategorie „Etwas, was Sie wissen“ fallen. Da nur Sie Ihr Kennwort oder die Antwort auf eine bestimmte Reihe von Sicherheitsfragen kennen, gehen die Systeme davon aus, dass Sie Zugriff erhalten.

Eine andere gängige Art von Authentifizierungsfaktor verwendet etwas, was Sie besitzen. Physische Geräte wie USB-Sicherheits-Token und Mobiltelefone fallen unter diese Kategorie. Wenn Sie beispielsweise auf ein System zugreifen und es Ihnen eine Einmal-Pin per SMS oder über eine App sendet, kann es Ihre Identität verifizieren, da es sich um Ihr Gerät handelt.

Die letzte Art von Authentifizierungsfaktor verwendet etwas, was Sie sind. Biometrische Authentifizierungsmechanismen fallen unter diese Kategorie. Da individuelle physische Merkmale wie Fingerabdrücke einzigartig sind, ist die Verifizierung von Personen anhand dieser Faktoren ein sicherer Authentifizierungsmechanismus.

Autorisierungssysteme gibt es in einer typischen Technologieumgebung in vielen Formen. Zugriffskontrolllisten (ACLs) bestimmen beispielsweise, welche Benutzer oder Services auf eine bestimmte digitale Umgebung zugreifen können. Sie erreichen diese Zugriffskontrolle, indem sie Regeln zum Zulassen oder Verweigern auf Grundlage der Autorisierungsstufe des Benutzers durchsetzen. So gibt es in jedem System normalerweise allgemeine Benutzer und Superuser oder Administratoren. Wenn ein Standardbenutzer Änderungen vornehmen möchte, die seine Sicherheit betreffen, kann eine ACL den Zugriff verweigern. Administratoren dagegen haben die Autorisierung, Sicherheitsänderungen vorzunehmen, sodass die ACL ihnen dies erlaubt.

Eine weitere gängige Art der Autorisierung ist der Zugriff auf Daten. In jeder Unternehmensumgebung gibt es in der Regel Daten mit unterschiedlichen Sensibilitätsgraden. Beispielsweise gibt es öffentliche Daten, die auf der Website des Unternehmens zu finden sind, interne Daten, die nur für Mitarbeiter zugänglich sind, und vertrauliche Daten, auf die nur wenige Personen Zugriff haben. In diesem Beispiel bestimmt die Autorisierung, welche Benutzer auf die verschiedenen Informationstypen zugreifen können.

Wie bereits erwähnt, mögen Authentifizierung und Autorisierung ähnlich klingen, aber beide spielen eine unterschiedliche Rolle bei der Absicherung von Systemen und Daten. Leider werden beide Begriffe oft synonym verwendet, da sie sich beide auf den Systemzugriff beziehen. Es handelt sich jedoch um unterschiedliche Prozesse. Einfach ausgedrückt, prüft der eine die Identität eines Benutzers oder Services, bevor er ihm Zugriff gewährt, während der andere bestimmt, was er tun kann, sobald er Zugriff hat.

Die Unterschiede zwischen den beiden Begriffen lassen sich am besten anhand eines einfachen Beispiels verdeutlichen. Nehmen wir an, Sie beschließen, eine Freundin zu besuchen. Bei Ihrer Ankunft klingeln Sie an der Tür und Ihre Freundin öffnet. Sie erkennt (Authentifizierung) und begrüßt Sie. Da Ihre Freundin Sie authentifiziert hat, ist sie nun bereit, Sie in ihr Haus zu lassen. Je nach Ihrer Beziehung zueinander gibt es jedoch bestimmte Dinge, die Sie tun können, und andere, die Sie nicht tun können (Autorisierung). Sie dürfen zum Beispiel den Küchenbereich betreten, aber nicht in ihr privates Büro gehen. Mit anderen Worten: Sie haben die Autorisierung, die Küche zu betreten, aber der Zugang zu ihrem privaten Büro ist verboten.

Sicherheit ist eine wichtige Komponente jeder Cloud-Computing-Lösung. Da diese Services ein gemeinsames Zugriffsmodell bieten, bei dem alles auf der gleichen Plattform ausgeführt wird, müssen sie die Systeme und Daten unterschiedlicher Kunden trennen und schützen. Cloud-Serviceanbieter verwenden Authentifizierung und Autorisierung, um diese Sicherheitsziele zu erreichen. In der Tat könnten Cloud-Computing-Plattformen ohne Authentifizierung und Autorisierung keine Skaleneffekte durch ihr gemeinsames Ressourcenmodell erzielen.

Wenn ein Benutzer beispielsweise versucht, auf einen bestimmten Cloud-Service zuzugreifen, wird das System ihn zu einer Form der Authentifizierung auffordern. Der Benutzer kann etwa aufgefordert werden, einen Benutzernamen und ein Kennwort einzugeben oder einen anderen Faktor zur Identitätsüberprüfung zu verwenden, z. B. das Akzeptieren einer Benachrichtigung in einer App. Sobald sich der Benutzer erfolgreich authentifiziert hat, verwendet die Cloud-Plattform die Autorisierung, um sicherzustellen, dass der Benutzer nur auf seine Systeme und Daten zugreifen kann. Ohne Authentifizierung und Autorisierung wäre die Trennung von Kundenumgebungen auf derselben Plattform nicht möglich.

Authentifizierung und Autorisierung basieren beide auf der Identität. Da Sie einen Benutzer oder Service nicht autorisieren können, bevor Sie ihn identifiziert haben, geht die Authentifizierung immer der Autorisierung voraus. Zur Veranschaulichung dieses Punktes können wir wieder auf das Beispiel unseres Cafés zurückgreifen.

Wie bereits erwähnt, können Baristas nur Bestellungen erstellen und einsehen, während Manager auch auf die täglichen Verkaufsdaten zugreifen können. Wenn das Kassensystem nicht erkennen kann, welcher Benutzer auf das System zugreift, kann es nicht die richtige Zugriffsebene bereitstellen. Die Authentifizierung liefert die verifizierte Identität, die die Autorisierung für die Zugriffskontrolle benötigt. Wenn sich Rahul oder Lucia im System anmelden, weiß die Anwendung, wer sich angemeldet hat und welche Rolle sie der Identität zuweisen soll.