信息安全中身份验证和授权的区别是什么？

身份验证

身份验证是证明个人身份的过程。这包括将个人通过凭证（例如身份证或唯一ID号）声明的身份与分配给该凭证的一个或多个身份验证因素进行匹配。

身份验证是关于验证凭证，例如用户名/用户ID和密码，以验证身份。系统决定它是否能说出它能说什么，以及它是否正在使用凭证。

在公有和私有网络中，系统通过登录密码验证用户身份。身份验证通常通过用户名和密码完成，有时还会结合身份验证因素，这些因素定义了多种身份验证方式。

身份验证因素决定了系统在允许用户访问任何内容（从访问文档到请求银行交易）之前用于验证用户身份的多个要素。

授权是一种安全机制，可以确定用户/客户端与系统资源（例如计算机程序、文件、服务、信息和应用程序功能）相关的权限或访问级别。

授权策略指示身份被允许执行的操作。例如，任何银行客户都可以创建并使用身份（例如用户名）登录该银行的在线服务，但银行的授权策略应规定，只有在验证身份后，才能授权其访问个人账户在线服务。

授权可以用于比简单网站或公司内部网更细粒度的方法。单个身份可以包含在一组共享通用授权策略的身份中。

例如，假设一个数据库既包含客户购买信息，也包含客户的个人和信用卡数据。

商家可以为该数据库制定授权策略，使营销团队能够访问所有客户购买信息，但避免访问所有客户的个人和信用卡数据，从而使营销团队能够识别热门产品以进行推广或促销。

让我们看看身份验证和授权之间的比较。

身份验证	授权
身份验证是识别用户以支持访问系统的过程。	授权是授予访问资源权限的过程。
它确定用户是否为其声称的身份。	它确定用户可以访问和不能访问的内容。
身份验证凭证可以根据需要由用户部分修改。	授权权限不能由用户修改。权限很可能是由系统所有者/管理员分配给用户的，并且只有他们可以更改它。
身份验证通常需要用于用户名和密码的身份验证因素。	授权可能会有所不同，具体取决于安全级别。
数据通过令牌ID支持。	数据通过访问令牌支持。

Ginni

更新于： 2022年3月11日

440 次查看

通过完成课程获得认证