Authenticatie Autorisatie: Verschillen en overeenkomsten verkennen

Authenticatie en autorisatie vertegenwoordigen twee van de drie “A’s” in identiteits- en toegangsbeheer (IAM). Samen met accounting zijn ze cruciaal voor de cybersecuritystrategie van een organisatie. Zonder de mogelijkheid om de identiteit en privileges van een gebruiker te verifiëren, is het onmogelijk om legitieme toegang tot bedrijfsystemen te onderscheiden van potentiële aanvallen.

Authenticatie verifieert de identiteit van een gebruiker, waardoor wordt bevestigd dat zij inderdaad zijn wie zij beweren te zijn. Zodra de gebruiker is geverifieerd, bepaalt en verleent autorisatie het niveau van toegang dat de gebruiker heeft tot specifieke bronnen. Terwijl authenticatie antwoord geeft op de vraag: “Wie ben jij?” geeft autorisatie antwoord op de vraag: “Wat mag je doen?”

Hoe authenticatie werkt

Authenticatie houdt in dat bewezen wordt dat een gebruiker is wie hij of zij beweert te zijn. Dit wordt bereikt door de gebruiker één of meer authenticatiefactoren te laten presenteren. In de meeste gevallen zijn deze afkomstig van de volgende drie soorten factoren:

• Iets wat je weet: Kennisgebaseerde factoren omvatten wachtwoorden, PIN’s, beveiligingsvragen en API-sleutels.
• Iets wat je hebt: Bezitgebaseerde factoren omvatten eenmalige wachtwoorden (OTP’s) die door of naar een specifiek apparaat (smartphone, hardware sleutel, enz.) worden gegenereerd of verzonden, of digitale certificaten die op een apparaat of smartcard zijn opgeslagen.
• Iets wat je bent: Biometrische authenticatiesystemen kunnen gebruikers identificeren op basis van hun gezicht, vingerafdruk, stem, loop of andere unieke fysieke of gedragskenmerken.

Een authenticatiesysteem zal een kopie van de authenticatiefactor of een middel om de authenticiteit ervan te verifiëren opslaan. Wanneer de gebruiker de factor(en) presenteert, controleert het systeem of ze overeenkomen. Als dat zo is, wordt de identiteit van de gebruiker geverifieerd.

Verschillende soorten authenticatiefactoren bieden verschillende niveaus van beveiliging. Bijvoorbeeld, kennisgebaseerde factoren zijn over het algemeen de zwakste vanwege de dreiging van zwakke wachtwoorden en phishingaanvallen. Bezitgebaseerde factoren zijn kwetsbaar voor verlies of diefstal.

Twee manieren om deze zwakheden aan te pakken zijn:

• Meervoudige authenticatie MFA gebruikt twee of meer soorten authenticatiefactoren, zoals een wachtwoord en een OTP die door een authenticator-app wordt gegenereerd. Deze combinatie van factoren maakt het moeilijker voor een aanvaller om toegang te krijgen tot alle factoren tegelijk.
• Wachtwoordloze Authenticatie: Wachtwoordloze authenticatie gebruikt alleen “iets dat je hebt” of “iets dat je bent” factoren voor authenticatie, waardoor zwakke kennisgebaseerde factoren volledig worden geëlimineerd. Wachtwoordloze MFA zal zowel een bezitgebaseerde als een biometrische authenticatiefactor gebruiken.

Hoe Autorisatie Werkt

Autorisatie gaat ervan uit dat de identiteit van de gebruiker al is geverifieerd via authenticatie. De rol ervan is om te bepalen of de geverifieerde gebruiker het recht heeft om een aangevraagde actie uit te voeren.

Deze beslissing is gebaseerd op de rechten en privileges die aan de gebruiker zijn toegewezen en, mogelijk, de context van het verzoek. Bijvoorbeeld, een gebruiker kan toestemming hebben om zeer gevoelige documenten te bekijken vanwege zijn rol in de organisatie. Echter, dit privilege kan alleen van toepassing zijn wanneer gebruik wordt gemaakt van een door het bedrijf bezet apparaat met een veilige verbinding met het bedrijfsnetwerk (hetzij direct of via een VPN).

De toegangscontroles die worden gebruikt om autorisatiewijzigingen te maken, kunnen worden beheerd via verschillende modellen, zoals:

• Discretionaire Toegangscontrole (DAC): In DAC definieert de eigenaar van een bron de toegangscontroles ervoor. Bijvoorbeeld, een Google Doc implementeert DAC, waarbij de maker beslist wie het kan lezen of bewerken.
• Verplicht Toegangsbeheer (MAC): Met MAC wordt de toegang centraal beheerd en gedefinieerd met behulp van classificatieniveaus en vergunningen. Het Top Secret/Secret/Classified/Unclassified systeem is een voorbeeld van MAC.
• Rolgebaseerd Toegangsbeheer (RBAC): RBAC creëert verschillende rollen, wijst privileges toe aan deze rollen en kent elke gebruiker een rol toe. Bijvoorbeeld, een ontwikkelaar kan de rol van Ontwikkelaar toegewezen krijgen, wat toegang biedt tot de tools en systemen die zij nodig hebben om hun werk te doen.
• Attributgebaseerd Toegangsbeheer (ABAC): ABAC kent attributen toe aan gebruikers en definieert toegangscontroles op basis van combinaties van attributen. Bijvoorbeeld, een IT-manager zou de IT- en manager-attributen hebben en zou toegang kunnen krijgen tot bronnen die een van beide of beide vereisen, zoals ontwikkelomgevingen (IT) en personeelsdossiers (manager).

Belangrijke verschillen tussen authenticatie en autorisatie

Authenticatie en autorisatie spelen zeer verschillende rollen in het toegangscontroleproces. Het doel van authenticatie is vast te stellen of iemand is wie hij of zij beweert te zijn. Autorisatie gaat ervan uit dat de vermeende identiteit van de gebruiker legitiem is en werkt om te bepalen of die gebruiker toegang zou moeten hebben tot een bepaalde bron.

Belangrijke overeenkomsten tussen authenticatie en autorisatie

Authenticatie en autorisatie zijn vergelijkbaar in die zin dat hun einddoel is het verifiëren van de legitimiteit van een toegangsverzoek. Eerst valideert authenticatie de identiteit van de gebruiker, en vervolgens controleert autorisatie of de gebruiker de toegang en privileges heeft die nodig zijn om het verzoek te doen.

Wat zijn de belangrijkste beveiligingsuitdagingen en risico’s met authenticatie?

Authenticatie is gebaseerd op de veronderstelling dat alleen de eigenaar van een account de authenticatiefactoren ervoor kan presenteren. Enkele bedreigingen voor succesvolle authenticatie zijn:

• Zwakke Wachtwoorden: Zwakke en hergebruikte wachtwoorden zijn een veelvoorkomende bedreiging voor de beveiliging van authenticatie. Authenticatie faalt als een aanvaller het wachtwoord van een gebruiker kan raden of een gecompromitteerd wachtwoord van het ene account kan gebruiken om toegang te krijgen tot een ander.
• Phishingaanvallen: Cybercriminelen gebruiken vaak phishing om gebruikers te misleiden om wachtwoorden of OTP’s prijs te geven. Een gebruiker die naar een phishingpagina wordt geleid die lijkt op een legitieme site, kan zijn of haar wachtwoord of OTP invoeren, waardoor de aanvaller zich kan authenticeren op de echte site.
• Malware: Veel soorten malware proberen de inloggegevens van een gebruiker te stelen. Bijvoorbeeld, infostealers kunnen wachtwoorden dumpen van waar ze door een systeem zijn opgeslagen.
• Gestolen Cookies: Cookies slaan informatie op over de sessie van een gebruiker en implementeren de functie “Onthoud mij”, waardoor gebruikers de authenticatie bij hun volgende bezoek kunnen overslaan. Als deze bestanden van het apparaat van een gebruiker worden gestolen, kan de aanvaller toegang krijgen tot hun account terwijl de authenticatie wordt omzeild.
• Verloren/Gestolen Apparaten: Smartphones worden vaak gebruikt om OTP’s te ontvangen/genereren of digitale certificaten voor authenticatie op te slaan. Als deze apparaten worden gestolen, kan de aanvaller mogelijk toegang krijgen tot deze authenticatiefactor.
• Authenticatie Een authenticatiesysteem kan een zwak algoritme implementeren of niet voldoen aan de beste praktijken. Bijvoorbeeld, een standaardwachtwoord kan in een systeem zijn ingebouwd, of er kan een manier zijn om de authenticatie voor onderhoudsdoeleinden te omzeilen.
• Onveilige Opslag van Gegevens: Authenticatiesystemen moeten vaak gevoelige gegevens opslaan om authenticatieverzoeken te verifiëren, wat problematisch kan zijn als die gegevens onjuist worden opgeslagen. Bijvoorbeeld, historische datalekken hebben wachtwoorden aangetroffen die in platte tekst, in logbestanden, gehasht met zwakke algoritmen, en gehasht maar zonder zout zijn opgeslagen. Al deze factoren maken het voor een aanvaller gemakkelijker om deze wachtwoorden te stelen en te kraken om toegang te krijgen tot het account van een gebruiker.

Wat zijn de belangrijkste beveiligingsuitdagingen en risico’s met autorisatie?

Succesvolle autorisatie stelt gebruikers in staat om alleen toegang te krijgen tot bronnen die zij daadwerkelijk nodig hebben. Enkele manieren waarop dit verkeerd kan gaan zijn:

• Overmatige Toegangsrechten: Gebruikers krijgen vaak toegang en privileges toegewezen die meer zijn dan nodig voor hun functie. Bijvoorbeeld, de meeste gebruikers hebben geen toegang op Administratieniveau tot hun eigen computer nodig, en het verlenen daarvan introduceert extra risico voor het bedrijf.
• Onveilige Autorisatie: Autorisatieschema’s kunnen onveilig zijn of kwetsbaar voor omzeiling. Bijvoorbeeld, een aanvaller kan in staat zijn om de toegangslijsten (ACL’s) die de toegang tot een bron beheren te wijzigen door een systeemkwetsbaarheid te misbruiken.

VEELGESTELDE VRAGEN

Is SSO-authenticatie of autorisatie?

Single sign-on (SSO) is een authenticatiemechanisme waarmee een gebruiker zich eenmaal kan authentiseren bij het authenticatiesysteem en toegang kan krijgen tot meerdere bronnen. Dit systeem biedt bewijs van de identiteit van de gebruiker aan de andere systemen, waardoor zij autorisatie kunnen uitvoeren zonder dat de gebruiker zich meerdere keren hoeft te authentiseren.

Is OAuth-authenticatie of autorisatie?

OAuth is een autorisatieschema dat derden toegang tot bronnen toestaat zonder de inloggegevens van de gebruiker te delen. Toepassingen krijgen toestemming en worden beheerd met behulp van toegangstokens.

Kan autorisatie worden toegestaan zonder authenticatie?

Autorisatie moet altijd gepaard gaan met authenticatie om de identiteit van de gebruiker te valideren. Gastaccounts, die gebruikers bepaalde privileges verlenen zonder hun identiteit te verifiëren, zijn riskant en moeten minimale toegang bieden.

Wat komt eerst, authenticatie of autorisatie?

Authenticatie komt vóór autorisatie. Autorisatie gaat ervan uit dat de gebruiker is geauthenticeerd en werkt om de toegang te bepalen die aan die gebruiker is toegewezen.

Beheer zowel authenticatie als autorisatie met de SASE-oplossing van Cato

Authenticatie en autorisatie zijn essentieel voor het beheren van toegang tot en controle over de middelen van een organisatie. Sterke authenticatie verifieert dat iemand is wie hij of zij beweert te zijn, en autorisatie controleert of een geauthenticeerde gebruiker het recht heeft om een bepaalde actie uit te voeren.

Secure Access Service Edge (SASE) omvat zero-trust netwerktoegang (ZTNA) als een van zijn samengevoegde beveiligingsmogelijkheden. ZTNA stelt organisaties in staat om least-privilege toegangsbeheer te implementeren — inclusief sterke authenticatie en autorisatie — over het bedrijfs-WAN.
Met Cato SASE Cloud kunnen bedrijven profiteren van sterke authenticatie en autorisatie, evenals verschillende belangrijke beveiligingsmogelijkheden en een wereldklasse privé-backbone. Om meer te leren over hoe Cato SASE Cloud de beveiliging en prestaties van uw bedrijfs-WAN kan verbeteren, meld u aan voor een demo.