Authenticatie en autorisatie klinken misschien gelijk, maar het zijn twee verschillende beveiligingsprocessen in de wereld van identity en access management (IAM).

Wat is authenticatie en wat is autorisatie? Authenticatie (authentication) bevestigt dat gebruikers daadwerkelijk zijn wie ze beweren te zijn. Autorisatie (authorization) geeft die gebruikers toegang tot een resource.

Wat is authenticatie (authentication)?

Authenticatie is het proces waarbij wordt gecontroleerd of gebruikers daadwerkelijk zijn wie ze beweren te zijn. Dit is de eerste stap in elk beveiligingsproces.

Iemand die is geauthenticeerd mag bijvoorbeeld een bepaald bestand op een server downloaden of krijgt beheerrechten voor een applicatie.

Een authenticatieproces kan worden uitgevoerd met:

• Wachtwoorden. Gebruikersnamen en wachtwoorden zijn de meest gebruikte authenticatiefactoren. Als een gebruiker de juiste data invoert, gaat het systeem ervan uit dat de identiteit geldig is en wordt er toegang verleend.
• Eenmalige pincodes. Een gebruiker krijgt met een eenmalige pincode toegang tot slechts één sessie of transactie.
• Authenticatie-apps. Een gebruiker krijgt toegang via een beveiligingscode die door een externe partij wordt gegenereerd.
• Biometrie. Een gebruiker krijgt met een vingerafdruk of irisscan toegang tot het systeem.

In sommige gevallen moeten er meerdere factoren worden geverifieerd voordat toegang tot het systeem wordt verleend. Deze multi-factor authenticatie (MFA) wordt vaak gebruikt om extra beveiliging te bieden die met wachtwoorden alleen niet kan worden bereikt.

Wat is autorisatie (authorization)?

Autorisatie is het proces waarbij aan een gebruiker toestemming wordt gegeven om een bepaalde resource of functie te gebruiken. De termen autorisatie, toegangscontrole en clientrechten worden vaak door elkaar gebruikt.

In beveiligde omgevingen wordt altijd eerst de authenticatie uitgevoerd en pas daarna de autorisatie. Gebruikers moeten eerst bewijzen dat hun identiteit klopt voordat de beheerders van een organisatie ze toegang tot de gevraagde resources geven.

Authenticatie versus autorisatie

Ondanks dat de termen vergelijkbaar klinken, zijn authenticatie en autorisatie twee verschillende stappen in het loginproces. Een goed inzicht in het verschil tussen deze twee termen is belangrijk om een IAM-oplossing met succes te implementeren.

Laten we aan de hand van een analogie de verschillen nog wat duidelijker maken.

Stelt u zich voor dat iemand naar de gesloten deur van de buren loopt en naar binnen wil om het huisdier eten te geven terwijl het gezin op vakantie is. Wat heeft deze persoon nodig:

• Authenticatie in de vorm van een sleutel. Het slot op de deur geeft alleen toegang tot iemand die de juiste sleutel in het slot steekt. Dat is vergelijkbaar met de manier waarop een systeem alleen toegang geeft aan gebruikers die de juiste inloggegevens invoeren.
• Autorisatie in de vorm van toestemming. De persoon is nu binnen en is geautoriseerd om naar de keuken te gaan en het kastje te openen waarin het voer van het huisdier is opgeborgen. De persoon heeft waarschijnlijk geen toestemming om naar de slaapkamer te gaan en een dutje te doen.

Authenticatie en autorisatie werken samen in dit voorbeeld. De dierenverzorger heeft het recht om het huis binnen te gaan (authenticatie) en vervolgens heeft hij toegang tot bepaalde ruimtes (autorisatie).

Systemen implementeren deze concepten op dezelfde manier. Het is dus belangrijk dat IAM-beheerders weten hoe ze moeten worden gebruikt.

• Authenticatie. Geef toegang tot uw werkpleksystemen aan elke medewerker die de juiste inloggegevens invoert en daarmee aan de gekozen authenticatievereisten voldoet.
• Autorisatie. Geef toegang tot afdelingsspecifieke bestanden, maar beperk de toegang tot vertrouwelijke data, zoals financiële informatie. Zorg ervoor dat medewerkers toegang hebben tot de bestanden die ze moeten gebruiken om hun werk te doen.

Het is belangrijk om een goed inzicht te hebben in het verschil tussen authenticatie en autorisatie en IAM-oplossingen te implementeren die krachtige ondersteuning voor beide concepten bieden. Hiermee beschermt u niet alleen uw organisatie tegen datalekken, maar verhoogt u ook de productiviteit van de medewerkers.

Toestemmingen verlenen met Okta

Okta Lifecycle Management biedt een overzichtelijke weergave van de toestemmingen die aan gebruikers zijn gegeven. Zo wordt het verlenen en intrekken van toegang tot uw systemen en tools een stuk eenvoudiger. Daarnaast kunt u met Okta Adaptive MFA zelf kiezen welke authenticatiefactoren u wilt gebruiken om uw infrastructuur te beschermen. 

Productieorders kunt u bijvoorbeeld alleen toegankelijk maken voor bepaalde gebruikers die zich moeten authenticeren met zowel stemherkenning als de inloggegevens van de organisatie. 

De mogelijkheden om IAM in uw organisatie te stroomlijnen zijn eindeloos. Ontdek hoe Okta u, uw medewerkers en uw enterprise veilig kan houden.