Authentifizierung: Autorisierung Unterschiede und Ähnlichkeiten erkunden

Authentifizierung und Autorisierung stellen zwei der drei „A’s“ im Identitäts- und Zugriffsmanagement (IAM) dar. Zusammen mit der Buchhaltung sind sie entscheidend für die Cybersicherheitsstrategie einer Organisation. Ohne die Möglichkeit, die Identität und Berechtigungen eines Benutzers zu überprüfen, ist es unmöglich, zwischen legitimen Zugängen zu Unternehmenssystemen und potenziellen Angriffen zu unterscheiden.

Die Authentifizierung überprüft die Identität eines Benutzers und bestätigt damit, dass er tatsächlich der ist, der er vorgibt zu sein. Sobald der Benutzer verifiziert ist, bestimmt und gewährt die Autorisierung das Zugriffslevel, das der Benutzer auf bestimmte Ressourcen hat. Während die Authentifizierung die Frage „Wer sind Sie?“ beantwortet, beantwortet die Autorisierung die Frage „Was dürfen Sie tun?“

Wie die Authentifizierung funktioniert

Die Authentifizierung beinhaltet den Nachweis, dass ein Benutzer der ist, der er vorgibt zu sein. Dies geschieht, indem der Benutzer ein oder mehrere Authentifizierungsfaktoren vorlegt. In den meisten Fällen stammen diese aus den folgenden drei Arten von Faktoren:

• Etwas, das Sie wissen: Wissensbasierte Faktoren umfassen Passwörter, PINs, Sicherheitsfragen und API-Schlüssel.
• Etwas, das Sie haben: Besitzbasierte Faktoren umfassen Einmalpasswörter (OTPs), die von einem bestimmten Gerät (Smartphone, Hardware-Schlüssel usw.) generiert oder an dieses gesendet werden, oder digitale Zertifikate, die auf einem Gerät oder einer Smartcard gespeichert sind.
• Etwas, das Sie sind: Biometrische Authentifizierungssysteme können Benutzer anhand ihres Gesichts, Fingerabdrucks, ihrer Stimme, ihres Gangbildes oder anderer einzigartiger physischer oder verhaltensbezogener Merkmale identifizieren.

Ein Authentifizierungssystem speichert eine Kopie des Authentifizierungsfaktors oder ein Mittel zur Überprüfung seiner Authentizität. Wenn der Benutzer den Faktor/die Faktoren vorlegt, überprüft das System, ob sie übereinstimmen. Wenn ja, wird die Identität des Benutzers verifiziert.

Verschiedene Arten von Authentifizierungsfaktoren bieten unterschiedliche Sicherheitsniveaus. Wissensbasierte Faktoren sind beispielsweise im Allgemeinen die schwächsten aufgrund der Bedrohung durch schwache Passwörter und Phishing-Angriffe. Besitzbasierte Faktoren sind anfällig für Verlust oder Diebstahl.

Zwei Möglichkeiten, diese Schwächen zu adressieren, sind:

• Mehrfaktor-Authentifizierung MFA verwendet zwei oder mehr Arten von Authentifizierungsfaktoren, wie ein Passwort und ein OTP, das von einer Authentifizierungs-App generiert wird. Diese Kombination von Faktoren erschwert es einem Angreifer, gleichzeitig auf alle Faktoren zuzugreifen.
• Passwortlose Authentifizierung: Passwortlose Authentifizierung verwendet nur „etwas, das Sie haben“ oder „etwas, das Sie sind“ Faktoren zur Authentifizierung und schließt schwache wissensbasierte Faktoren vollständig aus. Passwortlose MFA wird sowohl einen besitzbasierten als auch einen biometrischen Authentifizierungsfaktor verwenden.

Wie Autorisierung funktioniert

Die Autorisierung geht davon aus, dass die Identität des Benutzers bereits durch Authentifizierung verifiziert wurde. Ihre Rolle besteht darin, zu bestimmen, ob der authentifizierte Benutzer das Recht hat, eine angeforderte Aktion durchzuführen.

Diese Entscheidung basiert auf den Rechten und Privilegien, die dem Benutzer zugewiesen sind, und möglicherweise auf dem Kontext der Anfrage. Ein Benutzer kann beispielsweise berechtigt sein, hochsensible Dokumente aufgrund seiner Rolle in der Organisation einzusehen. Dieses Privileg kann jedoch nur gelten, wenn ein firmenowned Gerät mit einer sicheren Verbindung zum Unternehmensnetzwerk (entweder direkt oder über ein VPN) verwendet wird.

Die Zugriffskontrollen, die zur Entscheidungsfindung bei der Autorisierung verwendet werden, können über verschiedene Modelle verwaltet werden, wie zum Beispiel:

• Diskretionäre Zugriffskontrolle (DAC): Bei DAC definiert der Eigentümer einer Ressource die Zugriffskontrollen dafür. Ein Google-Dokument implementiert beispielsweise DAC, bei dem der Ersteller entscheidet, wer es lesen oder bearbeiten kann.
• Verpflichtende Zugriffskontrolle (MAC): Mit MAC wird der Zugriff zentral verwaltet und anhand von Klassifizierungsstufen und Berechtigungen definiert. Das System Top Secret/Secret/Classified/Unclassified ist ein Beispiel für MAC.
• Rollenbasierte Zugriffskontrolle (RBAC): RBAC erstellt verschiedene Rollen, weist diesen Rollen Berechtigungen zu und ordnet jedem Benutzer eine Rolle zu. Ein Entwickler kann beispielsweise die Rolle eines Entwicklers zugewiesen bekommen, die den Zugriff auf die Werkzeuge und Systeme ermöglicht, die er benötigt, um seine Arbeit zu erledigen.
• Attributbasierte Zugriffskontrolle (ABAC): ABAC weist Benutzern Attribute zu und definiert Zugriffskontrollen basierend auf Kombinationen von Attributen. Ein IT-Manager hätte beispielsweise die Attribute IT und Manager und könnte auf Ressourcen zugreifen, die eines oder beide dieser Attribute erfordern, wie Entwicklungsumgebungen (IT) und Mitarbeiterakten (Manager).

Wesentliche Unterschiede zwischen Authentifizierung und Autorisierung

Authentifizierung und Autorisierung spielen sehr unterschiedliche Rollen im Zugriffskontrollprozess. Das Ziel der Authentifizierung ist es festzustellen, ob jemand der ist, der er vorgibt zu sein. Die Autorisierung geht davon aus, dass die angebliche Identität des Benutzers legitim ist, und prüft, ob dieser Benutzer Zugriff auf eine bestimmte Ressource haben sollte.

Wesentliche Ähnlichkeiten zwischen Authentifizierung und Autorisierung

Authentifizierung und Autorisierung sind ähnlich, da ihr Endziel darin besteht, die Legitimität einer Zugriffsanforderung zu überprüfen. Zuerst validiert die Authentifizierung die Identität des Benutzers, und dann überprüft die Autorisierung, ob der Benutzer die erforderlichen Zugriffsrechte und Berechtigungen hat, um die Anfrage zu stellen.

Was sind die wichtigsten Sicherheitsherausforderungen und Risiken bei der Authentifizierung?

Die Authentifizierung basiert auf der Annahme, dass nur der Eigentümer eines Kontos die Authentifizierungsfaktoren dafür präsentieren kann. Einige Bedrohungen für die erfolgreiche Authentifizierung sind:

• Schwache Passwörter: Schwache und wiederverwendete Passwörter sind eine häufige Bedrohung für die Sicherheit der Authentifizierung. Die Authentifizierung schlägt fehl, wenn ein Angreifer das Passwort eines Benutzers erraten oder ein kompromittiertes Passwort von einem Konto verwenden kann, um auf ein anderes zuzugreifen.
• Phishing-Angriff Cyberkriminelle nutzen häufig Phishing, um Benutzer dazu zu bringen, Passwörter oder Einmalpasswörter (OTPs) preiszugeben. Ein Benutzer, der auf eine Phishing-Seite geleitet wird, die einer legitimen Seite ähnelt, könnte sein Passwort oder OTP eingeben, wodurch der Angreifer sich auf der echten Seite authentifizieren kann.
• Malware Viele Arten von Malware versuchen, die Anmeldedaten eines Benutzers zu stehlen. Zum Beispiel können Infostealer Passwörter von dort abrufen, wo sie von einem System zwischengespeichert werden.
• Gestohlene Cookies: Cookies speichern Informationen über die Sitzung eines Benutzers und implementieren die Funktion „Angemeldet bleiben“, die es Benutzern ermöglicht, die Authentifizierung bei ihrem nächsten Besuch zu überspringen. Wenn diese Dateien von einem Gerät des Benutzers gestohlen werden, kann der Angreifer auf dessen Konto zugreifen und die Authentifizierung umgehen.
• Verlorene/gestohlene Geräte: Smartphones werden häufig verwendet, um OTPs zu empfangen/zu generieren oder digitale Zertifikate für die Authentifizierung zu speichern. Wenn diese Geräte gestohlen werden, könnte der Angreifer in der Lage sein, auf diesen Authentifizierungsfaktor zuzugreifen.
• Authentifizierung: Ein Authentifizierungssystem kann einen schwachen Algorithmus implementieren oder es versäumen, bewährte Praktiken umzusetzen. Zum Beispiel könnte ein Standardpasswort in ein System eingebaut sein, oder es könnte eine Möglichkeit geben, die Authentifizierung zu Wartungszwecken zu umgehen.
• Unsichere Speicherung von Anmeldedaten: Authentifizierungssysteme müssen häufig sensible Daten speichern, um Authentifizierungsanfragen zu überprüfen, was problematisch sein kann, wenn diese Daten unsachgemäß gespeichert werden. Zum Beispiel haben historische Datenverletzungen gezeigt, dass Passwörter im Klartext, in Protokolldateien, mit schwachen Algorithmen gehasht und gehasht, aber nicht gesalzen gespeichert wurden. All dies erleichtert es einem Angreifer, diese Passwörter zu stehlen und zu knacken, um Zugang zum Konto eines Benutzers zu erhalten.

Was sind die wichtigsten Sicherheitsherausforderungen und -risiken bei der Autorisierung?

Erfolgreiche Autorisierung ermöglicht es Benutzern, nur auf Ressourcen zuzugreifen, die sie tatsächlich benötigen. Einige Möglichkeiten, wie dies schiefgehen kann, sind:

• Übermäßige Berechtigungen: Benutzern werden häufig Zugriffsrechte und Berechtigungen zugewiesen, die über das hinausgehen, was für ihre Arbeit erforderlich ist. Zum Beispiel benötigen die meisten Benutzer keinen Administratorzugang zu ihrem eigenen Computer, und die Gewährung dieses Zugangs birgt zusätzliche Risiken für das Unternehmen.
• Unsichere Autorisierung: Autorisierungsschemata können unsicher oder anfällig für Umgehungen sein. Ein Angreifer könnte beispielsweise in der Lage sein, die Zugriffssteuerungslisten (ACLs), die den Zugriff auf eine Ressource verwalten, durch Ausnutzung einer Systemanfälligkeit zu ändern.

FAQ

Ist SSO-Authentifizierung oder -Autorisierung?

Single Sign-On (SSO) ist ein Authentifizierungsmechanismus, der es einem Benutzer ermöglicht, sich einmal beim Authentifizierungssystem anzumelden und auf mehrere Ressourcen zuzugreifen. Dieses System liefert den anderen Systemen einen Nachweis über die Identität des Benutzers, sodass diese die Autorisierung durchführen können, ohne dass der Benutzer sich mehrfach authentifizieren muss.

Ist OAuth-Authentifizierung oder -Autorisierung?

OAuth ist ein Autorisierungsschema, das den Drittanbieterzugriff auf Ressourcen ermöglicht, ohne die Anmeldeinformationen des Benutzers zu teilen. Anwendungen werden Berechtigungen erteilt und mit Zugriffstoken verwaltet.

Kann Autorisierung ohne Authentifizierung erlaubt werden?

Autorisierung sollte immer mit Authentifizierung gekoppelt sein, um die Identität des Benutzers zu validieren. Gastkonten, die Benutzern bestimmte Berechtigungen gewähren, ohne ihre Identität zu überprüfen, sind riskant und sollten minimalen Zugriff gewähren.

Was kommt zuerst, Authentifizierung oder Autorisierung?

Die Authentifizierung kommt vor der Autorisierung. Die Autorisierung geht davon aus, dass der Benutzer authentifiziert wurde, und arbeitet daran, den dem Benutzer zugewiesenen Zugriff zu bestimmen.

Behandeln Sie sowohl Authentifizierung als auch Autorisierung mit Catos SASE-Lösung

Authentifizierung und Autorisierung sind entscheidend für die Verwaltung des Zugriffs auf und die Kontrolle über die Ressourcen einer Organisation. Starke Authentifizierung überprüft, ob jemand der ist, der er vorgibt zu sein, und Autorisierung prüft, ob ein authentifizierter Benutzer das Recht hat, eine bestimmte Aktion auszuführen.

Secure Access Service Edge (SASE) integriert Zero-Trust-Netzwerkzugang (ZTNA) als eine seiner konvergierten Sicherheitsfunktionen. ZTNA ermöglicht es Organisationen, Least-Privilege Zugriffsmanagement zu implementieren — einschließlich starker Authentifizierung und Autorisierung — über das Unternehmens-WAN.
Mit Cato SASE Cloud können Unternehmen von starker Authentifizierung und Autorisierung sowie verschiedenen wichtigen Sicherheitsfunktionen und einem erstklassigen privaten Backbone profitieren. Um mehr darüber zu erfahren, wie Cato SASE Cloud die Sicherheit und Leistung Ihres Unternehmens-WAN verbessern kann, melden Sie sich für eine Demo an.