資訊安全中身份驗證和授權的區別是什麼？

身份驗證

身份驗證是證明個人身份的過程。這包括將個人透過憑證（例如身份證或唯一ID號）宣告的身份與分配給該憑證的一個或多個身份驗證因素進行匹配。

身份驗證是關於驗證憑證，例如使用者名稱/使用者ID和密碼，以驗證身份。系統決定它是否能說出它能說什麼，以及它是否正在使用憑證。

在公有和私有網路中，系統透過登入密碼驗證使用者身份。身份驗證通常透過使用者名稱和密碼完成，有時還會結合身份驗證因素，這些因素定義了多種身份驗證方式。

身份驗證因素決定了系統在允許使用者訪問任何內容（從訪問文件到請求銀行交易）之前用於驗證使用者身份的多個要素。

授權是一種安全機制，可以確定使用者/客戶端與系統資源（例如計算機程式、檔案、服務、資訊和應用程式功能）相關的許可權或訪問級別。

授權策略指示身份被允許執行的操作。例如，任何銀行客戶都可以建立並使用身份（例如使用者名稱）登入該銀行的線上服務，但銀行的授權策略應規定，只有在驗證身份後，才能授權其訪問個人賬戶線上服務。

授權可以用於比簡單網站或公司內部網更細粒度的方法。單個身份可以包含在一組共享通用授權策略的身份中。

例如，假設一個數據庫既包含客戶購買資訊，也包含客戶的個人和信用卡資料。

商家可以為該資料庫制定授權策略，使營銷團隊能夠訪問所有客戶購買資訊，但避免訪問所有客戶的個人和信用卡資料，從而使營銷團隊能夠識別熱門產品以進行推廣或促銷。

讓我們看看身份驗證和授權之間的比較。

身份驗證	授權
身份驗證是識別使用者以支援訪問系統的過程。	授權是授予訪問資源許可權的過程。
它確定使用者是否為其聲稱的身份。	它確定使用者可以訪問和不能訪問的內容。
身份驗證憑證可以根據需要由使用者部分修改。	授權許可權不能由使用者修改。許可權很可能是由系統所有者/管理員分配給使用者的，並且只有他們可以更改它。
身份驗證通常需要用於使用者名稱和密碼的身份驗證因素。	授權可能會有所不同，具體取決於安全級別。
資料透過令牌ID支援。	資料透過訪問令牌支援。

Ginni

更新於： 2022年3月11日

440 次檢視

透過完成課程獲得認證