Definire autenticazione e autorizzazione

La protezione dell'accesso alle risorse digitali richiede due processi distinti ma correlati: confermare chi richiede l'accesso e quindi decidere quale persona, dispositivo o applicazione può eseguire. Questi due processi, ovvero l'autenticazione e l'autorizzazione, sono fondamentali per la gestione delle identità e degli accessi. Comprendere la differenza tra di essi è essenziale perché ogni decisione di accesso in un'organizzazione moderna dipende da entrambi.

Guardare il video seguente per informazioni sull'autenticazione e l'autorizzazione.

Autenticazione

L'autenticazione è il processo di dimostrazione di chi si dice di essere. Ogni volta che si accede a un'applicazione, si sblocca il telefono o si accede a un sistema aziendale, viene eseguita l'autenticazione. Il sistema chiede di fornire la prova dell'identità e quindi verifica la prova prima di decidere se consentire l'accesso. L'autenticazione risponde alla domanda: Chi sei?

L'autenticazione richiede credenziali, ovvero l'evidenza che verifica l'identità. Un nome utente da solo non dimostra l'identità, ma può essere conosciuto o indovinato da altri utenti. L'aggiunta di una password fornisce un livello di verifica di base, ma le password possono essere rubate, indovinate o phished, rendendole una delle forme più deboli di autenticazione autonomamente. L'aggiunta di un fattore più forte, ad esempio un dispositivo biometrico o fisico, aumenta significativamente la confidenza.

I metodi di autenticazione sono basati su tre categorie di prova, denominate fattori di autenticazione:

• **Qualcosa che sai: una password, un PIN o una domanda di sicurezza
• **Qualcosa di disponibile: un dispositivo mobile, una chiave di sicurezza hardware o una smart card
• **Qualcosa che sei, una caratteristica biometrica come un'impronta digitale o una scansione facciale

L'uso di un solo fattore, ad esempio una sola password, è detto autenticazione a singolo fattore. L'autenticazione a singolo fattore è comune ma vulnerabile. Se tale singolo fattore viene compromesso, ad esempio una password rubata tramite phishing, un utente malintenzionato ha tutto il necessario per rappresentare l'utente.

L'autenticazione a più fattori (MFA) rafforza l'autenticazione richiedendo due o più fattori di categorie diverse. Ad esempio, accedere con una password (qualcosa che si conosce) e quindi approvare una notifica sul tuo telefono (qualcosa che possiedi). Poiché un utente malintenzionato deve compromettere più credenziali indipendenti, l'autenticazione a più fattori riduce drasticamente il rischio di acquisizione dell'account.

Dopo che il sistema valuta le credenziali, l'autenticazione ha esito positivo o negativo. L'autenticazione riuscita conferma l'identità e consente al processo di continuare. L'autenticazione non riuscita nega l'accesso prima che tutte le risorse vengano esposte. Ma l'autenticazione da sola non determina le operazioni che è possibile eseguire, ma conferma solo chi si è. È qui che entra in gioco l'autorizzazione.

Autorizzazione

L'autorizzazione è il processo di determinazione delle operazioni consentite da un'identità autenticata. Dopo che l'autenticazione conferma l'identità, l'autorizzazione valuta le autorizzazioni e decide se concedere o negare l'accesso a risorse specifiche, ad esempio applicazioni, file, dati o funzionalità di sistema. L'autorizzazione risponde alla domanda: Cosa è consentito fare?

Le decisioni di autorizzazione sono in genere basate su ruoli (ad esempio dipendenti, manager o amministratore), autorizzazioni (lettura, scrittura o eliminazione) e attributi (reparto, posizione o funzione di lavoro). Il sistema valuta queste regole per ogni richiesta di accesso e concede o limita l'accesso di conseguenza.

Un concetto di autorizzazione chiave è il principio dei privilegi minimi: gli utenti devono avere solo l'accesso minimo necessario per svolgere il proprio lavoro e non più. La limitazione dell'accesso riduce il potenziale danno da un account compromesso, riduce al minimo il rischio di perdita accidentale dei dati e aiuta le organizzazioni a soddisfare i requisiti di sicurezza e conformità.

Funzionamento dell'autenticazione e dell'autorizzazione

L'autenticazione e l'autorizzazione sono processi distinti, ma interagiscono per proteggere le risorse. Si verificano sempre in un ordine specifico: l'autenticazione avviene per prima, all'accesso, e stabilisce chi si è. L'autorizzazione viene eseguita dopo l'autenticazione e determina cosa è possibile accedere.

Pensalo come quando fai il check-in in un hotel. Si presenta il documento d'identità alla reception, e il receptionist verifica la tua identità: questa è l'autenticazione. Si riceve quindi una chiave magnetica che apre la tua stanza e il centro fitness, ma non le stanze di altri ospiti o le aree riservate al personale—questo è l'autorizzazione.

L'autorizzazione può verificarsi solo dopo l'autenticazione riuscita. Non è possibile determinare ciò che qualcuno può fare senza prima confermare la propria identità. E confermare l'identità da sola, senza controllare le autorizzazioni, lascia esposte le risorse. Insieme, l'autenticazione e l'autorizzazione assicurano che le identità corrette ottengano l'accesso corretto e non altro.