Xác thực (Authentication) và Ủy quyền (Authorization) là hai khái niệm quan trọng trong bảo mật dữ liệu, giúp bảo vệ các hệ thống dữ liệu tự động. Cả hai đều đóng vai trò then chốt trong hạ tầng dịch vụ của internet, thường xuyên được sử dụng trong các hệ thống bảo mật. Tuy nhiên, chúng không phải là một và có những chức năng riêng biệt. Trong bài viết này, chúng ta sẽ cùng tìm hiểu sự khác biệt giữa Authentication và Authorization, cũng như cách chúng hoạt động để bảo vệ hệ thống và dữ liệu.

1. Xác thực (Authentication) là gì?

Xác thực là quá trình xác minh danh tính của một người dùng hoặc hệ thống để đảm bảo rằng họ thực sự là người chủ tài khoản. Quá trình này bao gồm việc kiểm tra thông tin đăng nhập, chẳng hạn như tên người dùng, mật khẩu hoặc các phương thức sinh trắc học như vân tay và nhận diện khuôn mặt. Đây là bước quan trọng để bảo vệ quyền truy cập vào hệ thống, ứng dụng và dữ liệu nhạy cảm. Bằng cách xác minh danh tính, xác thực giúp ngăn chặn truy cập trái phép và bảo vệ hệ thống khỏi các vi phạm an ninh.

2. Ủy quyền (Authorization) là gì?

Ủy quyền là quá trình xác định và cấp quyền truy cập cho một người dùng hoặc hệ thống đã được xác thực, quy định rõ những tài nguyên họ có thể truy cập và những hành động họ được phép thực hiện. Ủy quyền diễn ra sau khi xác thực và đảm bảo rằng thực thể đã xác thực có quyền hợp lệ để sử dụng dữ liệu, ứng dụng hoặc dịch vụ cụ thể. Đây là bước quan trọng để thực thi các chính sách bảo mật và kiểm soát quyền truy cập trong hệ thống, giúp ngăn chặn các hoạt động trái phép.

3. Sự khác biệt giữa Authentication và Authorization

Authentication

Authorization

Trong quá trình xác thực , danh tính của người dùng sẽ được kiểm tra để cung cấp quyền truy cập vào hệ thống.

Trong quá trình cấp phép , quyền hạn của cá nhân hoặc người dùng sẽ được kiểm tra để truy cập vào tài nguyên.

Xác minh danh tính người dùng hoặc hệ thống.

Xác thực quyền hạn của người dùng hoặc hệ thống.

Được thực hiện trước khi ủy quyền.

Được thực hiện sau khi xác thực.

Thường yêu cầu thông tin đăng nhập của người dùng.

Yêu cầu mức độ đặc quyền hoặc bảo mật của người dùng.

Xác định xem người đó có phải là người dùng hợp lệ hay không.

Xác định quyền hạn của người dùng đối với tài nguyên.

Truyền thông tin thông qua ID Token.

Truyền thông tin qua Access Token.

OpenID Connect (OIDC) thường được sử dụng để xác thực người dùng.

OAuth 2.0 quản lý hệ thống ủy quyền cho người dùng.

Kỹ thuật xác thực phổ biến:

  • Password-Based Authentication

  • Passwordless Authentication

  • 2FA/MFA (Two-Factor Authentication / Multi-Factor Authentication)

  • Single sign-on (SSO)

  • Social authentication

Kỹ thuật ủy quyền phổ biến:

  • Role-Based Access Controls (RBAC)

  • JSON web token (JWT) Authorization

  • SAML Authorization

  • OpenID Authorization

  • OAuth 2.0 Authorization

Người dùng có thể thay đổi thông tin xác thực chẳng hạn như mật khẩu khi cần.

Người dùng không thể tự thay đổi quyền truy cập; chỉ chủ sở hữu hệ thống mới có thể điều chỉnh quyền này.

Quá trình xác thực có thể được người dùng nhìn thấy.

Quá trình ủy quyền thường không hiển thị trực tiếp với người dùng.

Xác thực người dùng được xác định bằng tên người dùng, mật khẩu, nhận dạng khuôn mặt, quét võng mạc, dấu vân tay, v.v. 

Việc cấp quyền cho người dùng được thực hiện thông qua quyền truy cập vào tài nguyên bằng cách sử dụng các vai trò đã được xác định trước.

Ví dụ: Nhân viên công ty phải xác thực qua hệ thống trước khi truy cập email công ty.

Ví dụ: Sau khi xác thực thành công, hệ thống sẽ xác định những thông tin nào nhân viên có quyền truy cập.

Sự khác biệt chính giữa xác thực và ủy quyền nằm ở mục đích: Xác thực giúp xác nhận "bạn là ai", còn ủy quyền xác định "bạn có thể làm gì".

4. Một số câu hỏi thường gặp

Một người có thể được xác thực nhưng không được ủy quyền không?

-> Có, một người dùng có thể được xác thực nhưng vẫn không được cấp quyền truy cập vào một số tài nguyên hoặc thực hiện các hành động nhất định.

Có thể cập nhật ủy quyền mà không thay đổi xác thực không?

-> Có, ủy quyền có thể được cập nhật độc lập bằng cách điều chỉnh quyền hạn và kiểm soát truy cập mà không cần thay đổi phương thức xác thực.

Những công cụ nào được sử dụng để xác thực?

-> Một số công cụ được sử dụng để xác thực bao gồm hệ thống quản lý mật khẩu, máy quét sinh trắc học, mã bảo mật và các ứng dụng xác thực đa yếu tố.

Lời kết

Xác thực và ủy quyền đều là những yếu tố quan trọng trong việc đảm bảo an toàn cho các hệ thống số. Nếu xác thực giúp xác minh danh tính người dùng, thì ủy quyền lại giúp kiểm soát quyền truy cập của họ. Việc hiểu rõ sự khác biệt giữa hai khái niệm này không chỉ giúp cải thiện khả năng bảo mật mà còn hỗ trợ xây dựng các hệ thống an toàn và hiệu quả hơn. VietnamWorks inTECH hy vọng bài viết này đã giúp bạn có cái nhìn rõ ràng hơn về Authentication và Authorization, từ đó áp dụng đúng cách vào các ứng dụng thực tế.

VietnamWorks inTECH