Authentication

הסבר פורמלי#

Authentication (אימות) הוא, לפי FIPS 200 של NIST, אימות זהותו של משתמש, תהליך או מכשיר, לרוב כתנאי מקדים לגישה למשאבים. ב-NIST SP 800-63-4 הוא מוגדר כתהליך שבו תובע (claimant) מוכיח החזקה ושליטה במאמת אחד או יותר הקשור לחשבון. אימות עונה על השאלה "מי אתה?", ואילו Authorization עונה על "מה מותר לך?".

הסבר בגובה העיניים#

כשאתם מגיעים לקבלה של בניין משרדים ומציגים תעודה, זה אימות: הם בודקים שאתם מי שאתם אומרים. ההחלטה לאילו קומות תיכנסו היא כבר הרשאה. באתר, האימות מתבצע בהתחברות, למשל בסיסמה, בקוד שנשלח לטלפון או במפתח גישה.

למה זה חשוב בפועל#

אימות הוא רק החצי הראשון. גם משתמש שהוזדהה נכון צריך הרשאות מוגבלות (Least Privilege). בחשבונות רגישים כדאי להפעיל אימות עם יותר מגורם אחד.

תגיות#

• authentication
• identity
• login
• access control

מקורות#

• Authentication — NIST CSRC Glossary