Ta treść została automatycznie przetłumaczona z ukraińskiego.
Autoryzacja — to proces, w trakcie którego strona, aplikacja lub inny system określa, do jakich danych i funkcji konkretny użytkownik ma prawo dostępu.
Prościej mówiąc, system już wie, kim jesteś, i teraz decyduje: co dokładnie możesz widzieć i robić.
Na przykład, po zalogowaniu się do bankowości internetowej możesz przeglądać swoje konta i dokonywać transakcji, ale nie masz dostępu do kont innych klientów. W usłudze korporacyjnej zwykły pracownik może przeglądać dokumenty swojego działu, a administrator — dodawać użytkowników i zmieniać ustawienia. To właśnie takie ograniczenia określa autoryzacja.
Autoryzacja — to nie tylko logowanie do konta
W codziennym języku autoryzację często nazywa się samym logowaniem na stronie: „autoryzować się za loginem i hasłem”. To zrozumiałe i bardzo powszechne użycie, ale z technicznego punktu widzenia proces składa się co najmniej z dwóch części.
Najpierw odbywa się uwierzytelnienie — system sprawdza, kto próbuje się zalogować. W tym celu mogą być używane hasło, jednorazowy kod, biometryka, passkey lub inny sposób potwierdzenia.
Po tym zaczyna działać autoryzacja — system sprawdza, jakie prawa ma już rozpoznany użytkownik.
Schemat można sprowadzić do dwóch pytań:
Uwierzytelnienie: „Kim jesteś?”
Autoryzacja: „Co ci wolno?”
Na przykład hasło pomogło potwierdzić, że konto należy do ciebie. To uwierzytelnienie. A możliwość edytowania własnego profilu po zalogowaniu, ale nie cudzych, — to wynik autoryzacji.
Jak działa autoryzacja
Po pomyślnym zalogowaniu system łączy użytkownika z określonymi prawami dostępu. Mogą one zależeć od roli, typu konta, ustawień organizacji, subskrypcji lub konkretnych uprawnień.
Upraszczając, strona może wiedzieć:
- ten użytkownik może czytać dokument;
- ten może go edytować;
- ten może usuwać pliki;
- ten ma dostęp do panelu administracyjnego;
- ten widzi tylko swoje dane.
Dlatego dwie osoby mogą jednocześnie być pomyślnie zalogowane w jednej usłudze, ale mieć zupełnie różne możliwości.
Autoryzacja dotyczy nie tylko ludzi. Prawa mogą uzyskiwać programy, aplikacje mobilne, API i inne usługi, którym pozwolono na wykonywanie określonych działań w imieniu użytkownika.
Przykład z mediów społecznościowych
Logujesz się na swoje konto w mediach społecznościowych.
Po zalogowaniu możesz edytować swoje posty, zmieniać ustawienia profilu, przeglądać prywatne wiadomości i zarządzać swoimi zdjęciami.
Jednocześnie nie możesz otworzyć prywatnej korespondencji innego użytkownika ani zmienić jego profilu.
System już określił, kim jesteś, a autoryzacja ustaliła granice dostępu.
Nawet w ramach jednego konta mogą istnieć dodatkowe ograniczenia. Na przykład właściciel strony firmy może przyznać innej osobie prawo do publikowania postów, ale nie pozwolić jej na zmianę ustawień lub zarządzanie innymi administratorami.
Autoryzacja w usługach roboczych
Rola autoryzacji jest szczególnie widoczna w systemach korporacyjnych.
Wyobraźmy sobie usługę, w której pracują księgowy, menedżer i administrator systemu. Każdy ma swoje konto i może pomyślnie zalogować się do systemu.
Ale prawa są różne.
Menedżer pracuje z zamówieniami i klientami. Księgowy ma dostęp do rachunków i dokumentów finansowych. Administrator zarządza użytkownikami i ustawieniami usługi.
Jeśli prawa są prawidłowo skonfigurowane, pracownik uzyskuje tylko ten dostęp, który jest mu potrzebny do pracy. Takie podejście zmniejsza ryzyko przypadkowego usunięcia danych, wycieku informacji lub nadużycia dostępu.
Co oznacza „Zezwól na dostęp” dla aplikacji
Kolejny powszechny przykład autoryzacji pojawia się, gdy jedna usługa prosi o dostęp do innej.
Na przykład podłączasz zewnętrzną aplikację do swojego konta Google. Na ekranie może pojawić się lista uprawnień:
- przeglądanie adresu e-mail;
- dostęp do kalendarza;
- czytanie plików;
- tworzenie lub edytowanie określonych danych.
Klikając „Zezwól”, użytkownik przyznaje aplikacji konkretne prawa.
To jedna z form autoryzacji: zewnętrzny program nie musi otrzymywać twojego hasła. Zamiast tego uzyskuje zgodę na wykonywanie określonych działań.
Dlatego przed potwierdzeniem takiego żądania ważne jest, aby zwracać uwagę nie tylko na nazwę programu, ale także na to, jakie dokładnie prawa prosi.
Kalkulatorowi, na przykład, raczej nie jest potrzebny dostęp do twojego e-maila lub kontaktów. Jeśli prosty serwis prosi o znacznie więcej uprawnień, niż potrzebuje do swojej pracy, to powód, aby nie spieszyć się z potwierdzeniem.
Dlaczego autoryzacja jest ważna dla bezpieczeństwa
Silne hasło chroni konto przed nieautoryzowanym dostępem, ale to nie wystarczy. Nie mniej ważne jest prawidłowe określenie, co użytkownik może robić po zalogowaniu.
Gdyby każdy zarejestrowany użytkownik uzyskiwał nieograniczony dostęp do systemu, sam fakt weryfikacji hasła niemal nie miałby sensu.
Autoryzacja tworzy granice między użytkownikami, danymi i funkcjami.
Na przykład nie powinna pozwalać:
- zwykłemu użytkownikowi otwierać cudzych prywatnych danych;
- pracownikowi bez odpowiednich uprawnień zmieniać informacji finansowych;
- zewnętrznemu programowi uzyskiwać więcej danych, niż mu pozwolono;
- użytkownikowi wykonywać działań administracyjnych bez odpowiedniej roli.
Jedną z podstawowych zasad bezpieczeństwa informacji jest przyznawanie użytkownikom i programom tylko minimalnie niezbędnych praw.
Jeśli aplikacji wystarczy czytać kalendarz, nie potrzebuje zgody na usuwanie wydarzeń. Jeśli pracownik musi przeglądać dokument, nie ma potrzeby przyznawania mu prawa do jego usunięcia.
Co może zrobić sam użytkownik
Większość mechanizmów autoryzacji konfiguruje sam serwis, ale niektóre prawa kontroluje użytkownik.
Warto okresowo sprawdzać, które aplikacje są podłączone do ważnych kont — Google, Microsoft, Apple, mediów społecznościowych i innych usług.
Jeśli z aplikacji już nie korzystasz, jej dostęp można cofnąć.
Również warto uważnie czytać prośby o uprawnienia. Szczególnie jeśli program chce uzyskać dostęp do poczty, plików, kontaktów, zdjęć, kalendarza lub innych prywatnych danych.
Przyznanie aplikacji dostępu często można zrobić jednym kliknięciem. Ale to zezwolenie może pozostawać aktywne znacznie dłużej, niż będziesz pamiętać o samej aplikacji.
Co się dzieje po wylogowaniu z konta
Po zalogowaniu strona zazwyczaj tworzy sesję, dzięki której nie trzeba wpisywać hasła na każdej stronie.
Póki sesja jest aktywna, serwis pamięta, który użytkownik z nim pracuje, i stosuje do jego działań odpowiednie prawa dostępu.
Kiedy użytkownik wylogowuje się z konta, taka sesja powinna się zakończyć. Dlatego na wspólnych lub cudzych urządzeniach ważne jest, aby nie tylko zamykać kartę przeglądarki, ale używać przycisku „Wyloguj”.
Dotyczy to szczególnie poczty, usług bankowych, systemów roboczych i innych kont z wrażliwymi danymi.
Autoryzacja, uwierzytelnienie i weryfikacja — w skrócie
Te trzy terminy często występują obok siebie, ale oznaczają różne procesy.
Uwierzytelnienie potwierdza, kim jesteś.
Autoryzacja określa, co ci wolno robić.
Weryfikacja sprawdza autentyczność określonych danych — na przykład adresu e-mail, numeru telefonu lub dokumentu.
Dlatego wprowadzenie hasła podczas logowania — to przede wszystkim uwierzytelnienie. Dostęp po zalogowaniu tylko do własnych danych — to autoryzacja. A e-mail z linkiem do potwierdzenia adresu e-mail — to weryfikacja.
