Definir autenticação e autorização

Proteger o acesso aos recursos digitais requer dois processos distintos, mas relacionados: confirmar quem está solicitando acesso e decidir o que essa pessoa, dispositivo ou aplicativo tem permissão para fazer. Esses dois processos, autenticação e autorização, são fundamentais para o gerenciamento de identidade e acesso. Entender a diferença entre eles é essencial porque cada decisão de acesso em uma organização moderna depende de ambos.

Assista ao vídeo a seguir para saber mais sobre autenticação e autorização.

Autenticação

A autenticação é o processo de provar que você é quem você diz ser. Toda vez que você entra em um aplicativo, desbloqueia seu telefone ou acessa um sistema da empresa, a autenticação está acontecendo. O sistema desafia você a fornecer uma prova de sua identidade e, em seguida, verifica essa prova antes de decidir se deseja permitir o acesso. A autenticação responde à pergunta: Quem é você?

A autenticação requer credenciais — evidência que verifica sua identidade. Um nome de usuário sozinho não prova a identidade, pode ser conhecido ou adivinhado por outras pessoas. Adicionar uma senha fornece um nível básico de verificação, mas as senhas podem ser roubadas, adivinhadas ou phished, tornando-as uma das formas mais fracas de autenticação por conta própria. Adicionar um fator mais forte, como um dispositivo biométrico ou físico, aumenta significativamente a confiança.

Os métodos de autenticação são criados em três categorias de prova, chamadas de fatores de autenticação:

• **Algo que você sabe— uma senha, PIN ou pergunta de segurança
• **Algo que você tem: um dispositivo móvel, uma chave de segurança de hardware ou um cartão inteligente
• **Algo que você é— uma característica biométrica como uma impressão digital ou exame facial

Usar apenas um fator, como apenas uma senha, é chamado de autenticação de fator único. A autenticação de fator único é comum, mas vulnerável. Se esse único fator estiver comprometido, uma senha roubada por meio de phishing, por exemplo, um invasor terá tudo o que precisa para representar o usuário.

A MFA (autenticação multifator) fortalece a autenticação exigindo dois ou mais fatores de categorias diferentes. Por exemplo, entre com uma senha (algo que você sabe) e, em seguida, aprove uma notificação em seu telefone (algo que você tem). Como um invasor precisaria comprometer várias credenciais independentes, a autenticação multifatorial (MFA) reduz drasticamente o risco de invasão de contas.

Depois que o sistema avalia as credenciais, a autenticação é bem-sucedida ou falha. A autenticação bem-sucedida confirma a identidade e permite que o processo continue. A autenticação com falha nega o acesso antes que todos os recursos sejam expostos. Mas a autenticação por si só não determina o que você pode fazer, ela só confirma quem você é. É aí que entra a autorização.

Autorização

A autorização é o processo de determinar o que uma identidade autenticada tem permissão para fazer. Depois que a autenticação confirma sua identidade, a autorização avalia suas permissões e decide se deseja conceder ou negar acesso a recursos específicos: aplicativos, arquivos, dados ou recursos do sistema. A autorização responde à pergunta: O que você tem permissão para fazer?

As decisões de autorização geralmente são baseadas em funções (como funcionário, gerente ou administrador), permissões (leitura, gravação ou exclusão) e atributos (departamento, localização ou função de trabalho). O sistema avalia essas regras para cada solicitação de acesso e concede ou restringe o acesso adequadamente.

Um conceito de autorização chave é o princípio do privilégio mínimo: os usuários devem ter apenas o acesso mínimo necessário para executar seu trabalho e não mais. Limitar o acesso reduz os danos potenciais de uma conta comprometida, minimiza o risco de perda acidental de dados e ajuda as organizações a atender aos requisitos de segurança e conformidade.

Como a autenticação e a autorização funcionam em conjunto

Autenticação e autorização são processos distintos, mas funcionam juntos para proteger os recursos. Eles sempre ocorrem em uma ordem específica: a autenticação ocorre primeiro — na entrada — e estabelece quem você é. A autorização ocorre após a autenticação e determina o que você pode acessar.

Pense nisso como se hospedar em um hotel. Você apresenta sua ID na recepção e a recepcionista verifica quem você é, isso é autenticação. Em seguida, você recebe um cartão-chave que abre seu quarto e a academia, mas não os quartos de outros hóspedes ou áreas de funcionários , isso é autorização.

A autorização só pode acontecer após a autenticação bem-sucedida. Você não pode determinar o que alguém tem permissão para fazer sem primeiro confirmar sua identidade. Apenas confirmar a identidade, sem verificar as permissões, deixa os recursos expostos. Juntos, a autenticação e a autorização garantem que as identidades certas obtenham o acesso certo e nada mais.