Kimlik doğrulama ve yetkilendirme

Bir ofise girdiğini düşün. Resepsiyon kimlik kartına bakarak kim olduğunu doğrular. Ardından kartın yalnız çalıştığın kata açılır; bu da neye izinli olduğunu belirler. Dijital sistemlerde bu iki karar ayrı adlarla anılır.

Kimlik doğrulama: sen kimsin?

Kimlik doğrulama (authentication), kullanıcının öne sürdüğü kimliği kanıtlamasıdır. Kanıtlar genellikle üç gruptan gelir:

• Bildiğin bir şey: parola veya PIN.
• Sahip olduğun bir şey: doğrulayıcı uygulama, telefon ya da güvenlik anahtarı.
• Olduğun bir şey: parmak izi veya yüz gibi biyometrik özellik.

Çok faktörlü kimlik doğrulama (MFA), farklı gruplardan en az iki bağımsız kanıt ister. İki faktörlü doğrulama (2FA), tam olarak iki faktör kullanan MFA biçimidir. Aynı türden iki bilgi istemek — örneğin iki ayrı parola — iki adım olabilir ama iki farklı faktör değildir.

MFA'nın değeri burada ortaya çıkar: tek bir kanıtın kaybedilmesi, hesabın açılması için tek başına yeterli olmaz.

Yetkilendirme: ne yapabilirsin?

Yetkilendirme (authorization), doğrulanmış kullanıcının hangi kaynak üzerinde hangi işlemi yapabileceğine karar verir. Bir çalışan kendi izin kaydını görebilir, yöneticisi ekibin kayıtlarını onaylayabilir; ikisinin sisteme giriş yapmış olması aynı yetkilere sahip oldukları anlamına gelmez.

Bu karar yalnız arayüzde bir düğmeyi gizleyerek verilmez. Sunucu, her istekte hem işlemi hem de istenen kaynağı kontrol etmelidir:

1. İstek hangi doğrulanmış kullanıcıya ait?
2. Kullanıcı bu işlemi yapabilecek role veya kurala sahip mi?
3. İstenen kayıt gerçekten bu kullanıcının erişim alanında mı?

Örneğin bir editör kendi taslağını açabiliyorsa, başka bir taslağın numarasını yazdığında sunucu sahipliği yeniden denetlemelidir. Kimliğin geçerli olması, bütün kayıtlara erişim izni vermez.

İki kararı ayır

Kimlik doğrulama bir oturumun kime ait olduğunu söyler; yetkilendirme ise o kimliğin o anda yapmak istediği işleme izin verilip verilmediğini belirler. Güvenlik sonucu nettir: giriş yapmış olmak genel erişim hakkı değildir.

Sıradaki Çerezler, oturumlar ve token'lar konusu, doğrulanan kimliğin sonraki HTTP isteklerinde nasıl hatırlandığını açıklar.