Контроль доступа к Web-ресурсу
Если вы размещали в Сети свои Web-странички, то, вероятно, сталкивались с тем, что для внесения каких-либо изменений в страничку система требовала ввести логин и пароль. Для чего это нужно? Очевидно, для того чтобы любой желающий не имел возможности испортить ваш ресурс, изменить на нем информацию.
Это общее правило. Для того чтобы обеспечить безопасность некоторой информационной системы коллективного пользования, необходимо проверять, кто обращается к информации, убедиться, что этот человек имеет право доступа, а также определить, какие еще права он имеет. Например, владелец Web-странички может изменять в ней информацию, зарегистрированный пользователь ресурса, где помещена эта страничка, может только читать ее содержимое, а человек, не являющийся зарегистрированным пользователем, вообще не должен получать доступа к ресурсу.
Рассмотрим описанную выше процедуру контроля доступа к информации более подробно. На первом этапе происходит аутентификация пользователя - проверка подлинности входящего в систему пользователя.
Аутентификация (authentication) пользователя обычно происходит за счет того, что пользователь вводит правильное имя пользователя (user name), или логин (login) и пароль (password), после чего предоставляется вход. Сервер сравнивает аутентификационные данные пользователя с теми, что хранятся в базе, и если они совпадают, пользователю предоставляется доступ в сеть.
Термины "аутентификация" и "идентификация" часто считают синонимами, однако это не совсем верно. Идентификация - это установление тождества объектов на основе совпадения их признаков. Аутентификация - это процедура проверки подлинности данных и субъектов информационного взаимодействия.
Например, при входе в некоторую информационную систему пользователь обычно идентифицируется именем (идентификатором), а потом аутентифицируется паролем (или другим признаком аутентификации). В данном случае аутентификацией является проверка пароля, доказывающая, что идентифицированное лицо является именно тем, за кого себя выдает.
Следующий после аутентификации шаг - авторизация (authorization) пользователя для выполнения определенных задач. Авторизация - это процесс определения набора полномочий, которыми обладает пользователь - т.е. к каким типам действий, ресурсов и служб он допускается. После того как система произвела аутентификацию пользователя и он зарегистрирован в системе (logged in a system), определяется набор его прав доступа к ресурсам и действиям в системе. Уровень прав доступа (привилегий) определяется администратором системы на основе корпоративных требований безопасности.
