|
|
@@ -0,0 +1,36 @@
|
|
|
+# Защита входа идентификация аутентификация
|
|
|
+
|
|
|
+- Идентификация, аутентификация и авторизация — это взаимосвязанные процессы, которые составляют основу безопасного и контролируемого доступа к системам и данным.
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+Идентификация — это установление личности пользователя, когда ему необходимо указать свой логин-идентификатор. Это может быть имя и фамилия, номер телефона или адрес электронной почты. Идентификация происходит на начальном этапе настройки учётных записей и сервисов.
|
|
|
+Аутентификация — это проверка подлинности того, кто хочет получить доступ к аккаунту. На этом этапе система сопоставляет имя пользователя с его учётной записью через определённый метод:
|
|
|
+
|
|
|
+- На основе пароля. Оптимальная защита требует множества разнообразных паролей, состоящих из разных букв, цифр и символов.
|
|
|
+- Многофакторная аутентификация. Процедура, которая требует более чем одну форму аутентификации. Например, запрос Captcha или проверочный код из SMS.
|
|
|
+- Биометрическая аутентификация. Основана на уникальных биологических особенностях человека. Система подтверждает личность через распознавание лица, голоса, отпечаток пальца или сетчатку глаза.
|
|
|
+- На основе токенов. Аутентификация с помощью уникального USB-ключа или смарт-карты.
|
|
|
+
|
|
|
+Авторизация — это третий этап на пути к аккаунту. Здесь система определяет полномочия пользователя или его право выполнять определённые задачи. Авторизация гарантирует, что пользователи не получат доступ к чужой учётной записи, а также предотвращает несанкционированный доступ к закрытой информации.
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+Эти три процесса обычно рассматривают вместе. Они идут последовательно — идентификация, аутентификация и авторизация. Но что будет, если убрать какой-то этап?
|
|
|
+
|
|
|
+Идентификация без аутентификации не имеет смысла и может быть опасна для пользователей и компаний. Поэтому сочетание идентификации и авторизации в реальном мире не встречается. Без аутентификации мошенник мог бы получить доступ к личной информации, зная только идентификатор пользователя. Например, мог бы зайти в электронную почту, зная только её адрес, который легко отыскать в открытых источниках.
|
|
|
+
|
|
|
+Аутентификация без идентификации бесполезна. Если у нас есть пароль, но мы не знаем идентификатора, то не сможем получить доступ к веб-сайту или приложению. Система просто не поймёт, как нас следует авторизовать на следующем шаге.
|
|
|
+
|
|
|
+Сервисов без авторизации не бывает, так как функциональность, которую они предоставляют пользователю, связана с ней. Если человек смог пройти идентификацию и аутентификацию, но не может авторизоваться, то непонятно, какими правами он должен обладать. Кроме того, это может привести к проблемам с конфиденциальностью пользователей.
|
|
|
+
|
|
|
+Скажем, пользователь хочет войти в свой аккаунт Google. Google подходит лучше всего, потому что там процедура входа явным образом разбита на несколько простейших этапов. Вот что при этом происходит:
|
|
|
+1- Для начала система запрашивает логин, пользователь его указывает, система распознает его как существующий — это идентификация.
|
|
|
+2- После этого Google просит ввести пароль, пользователь его вводит, и система соглашается, что пользователь, похоже, действительно настоящий, раз пароль совпал, — это аутентификация.
|
|
|
+3- Скорее всего, Google дополнительно спросит еще и одноразовый код из SMS или приложения. Если пользователь и его правильно введет, то система окончательно согласится с тем, что он настоящий владелец аккаунта, — это двухфакторная аутентификация.
|
|
|
+4- После этого система предоставит пользователю право читать письма в его почтовом ящике и все в таком духе — это авторизация.
|
|
|
+
|
|
|
+Источники:
|
|
|
+1) https://media.future-hub.io/stati/identifikaciya-autentifikaciya-avtorizaciya
|
|
|
+2) https://new-tel.net/blog/identifikatsiya-autentifikatsiya-avtorizatsiya-razbiraemsya-v-terminologii/?ysclid=m8wzkvlc2173854047
|
|
|
+
|
