Auktorisation ( engelska auktorisation "permission; authorization") - beviljande av en viss person eller grupp av personer rättigheter att utföra vissa handlingar; samt processen att kontrollera (bekräfta) dessa rättigheter när du försöker utföra dessa åtgärder. [1] [2] [3] Det sägs ofta att någon person är "behörig" att utföra en given operation - det betyder att han har rätt till det.
Auktorisering ska inte förväxlas med autentisering - ett förfarande för att kontrollera lagligheten av en användare eller data, till exempel kontrollera att lösenordet som användaren angett stämmer överens med lösenordet för ett konto i databasen, eller kontrollera den digitala signaturen på ett brev med krypteringsnyckeln, eller kontrollera kontrollsumman för en fil mot den som deklarerats av författaren till denna fil. Auktorisering, å andra sidan, styr åtkomsten till olika systemresurser under legala användares arbete efter att de har klarat autentiseringen .
Inom informationsteknik etableras genom auktorisation åtkomsträttigheter till informationsresurser och databehandlingssystem. För att göra detta används olika typer av auktorisation, som kan delas in i tre klasser:
Vid diskretionär (selektiv) kontroll (DAC) ges åtkomst till objekt, data eller funktioner till explicit angivna subjekt, användare eller grupper av användare. Användare_1 får till exempel läsa filen file_1, men inte skriva till den. Varje objekt har ett ämne kopplat till sig - ägaren, som anger åtkomsträttigheterna till objektet. Systemet har också ett dedikerat ämne - superanvändaren, som har rätt att ange åtkomsträttigheter för alla ämnen. Och vilken subjekt som helst kan överföra sina rättigheter till andra subjekt. Sådan åtkomst används i moderna operativsystem , där användningen av behörigheter och åtkomstkontrollistor ( ACL ) är vanligast för auktorisering . [ett]
Obligatorisk åtkomst (MAC) består i att separera information efter graden av sekretess och användare efter nivåerna av åtkomst till denna information. Den största fördelen med obligatorisk åtkomst är att begränsa rättigheterna för ägaren av objektet. Rättigheterna för objekten till objekten de skapar beror på deras tillståndsnivå, så de kommer inte att kunna delegera dem av misstag eller avsiktligt till obehöriga användare. Enligt kraven i FSTEC är obligatorisk åtkomstkontroll en nyckelskillnad mellan systemen för att skydda Ryska federationens statshemlighet i seniorklasserna 1B och 1B från de lägre klasserna av säkerhetssystem baserat på en diskretionär modell. Obligatoriskt stöd för åtkomstkontroll finns i vissa operativsystem som Ubuntu , SUSE Linux , FreeBSD . Används även i databashanteringssystem . Används ibland i kombination med diskretionär åtkomstkontroll.
Utvecklingen av policyn för selektiv åtkomst är rollbaserad åtkomstkontroll (RBAC), där åtkomst till systemobjekt utformas med hänsyn till särdragen i deras användning baserat på subjektens roll vid varje given tidpunkt. Roller låter dig definiera regler för åtkomstkontroll som är förståeliga för användarna. Rollen kombinerar egenskaperna för selektiv åtkomstkontroll, tilldelning av objekt till ämnen, och obligatorisk, när roller ändras, kommer åtkomsten till en grupp filer också att ändras, men denna typ av åtkomst är mer flexibel än de tidigare, och kan modellera dem. RBAC används nu i stor utsträckning för att hantera användarbehörigheter inom ett enda system eller program. Listan över sådana system inkluderar Microsoft Active Directory , SELinux , FreeBSD , Solaris , Oracle Database , PostgreSQL 8.1 , SAP R/3 , Lotus Notes och många andra.
De mest kända "enkla" metoderna för auktorisering/registrering på webbresurser som inte kräver speciella enheter är smarta kort , enheter för att skanna fingeravtryck, näthinnor, etc. [fyra]
Sätt att skydda autentisering och rollbaserad auktorisering. [5]
Identifierings- och autentiseringsalgoritmer för tvåfaktorsauktorisering i informationssystem . [6]
Grundläggande mekanismer för att tillhandahålla autentisering och säker tunnling baserad på TINC VPN - klient. [7]
Termen "auktorisation" i förhållande till banksektorn avser förfarandet för att erhålla tillstånd från den utfärdande banken eller annan juridisk person (till exempel ett bearbetningsföretag) som agerar på dess vägnar för att genomföra en korttransaktion. Auktorisationsbegäran innehåller information om bankkortet, köpesumman eller emissionen på bankkortet. Ett positivt svar på auktorisering indikerar att detta bankkort är giltigt och saldot på det låter dig utföra den nödvändiga operationen. Ett negativt svar på auktorisering, respektive, kan bero på problem i betalningssystemet eller brist på pengar på kortkontot. Efter att operationen är slutförd utfärdar den elektroniska enheten en kontroll [8] .
Inom finanssektorn utförs auktorisation vid användning av bank- , betalnings- , kredit- och andra kort. Auktorisering utförs vid överskridande av den obehöriga gränsen - det belopp som satts av banken, vilket inte kräver auktorisation. Auktorisering krävs för ett magnetiskt bankkort, eftersom det inte lagrar kontoinformation. Auktorisering kan vara automatisk (med en POS-terminal ), mycket mindre ofta röst. [2]
För att förhindra bedrägliga handlingar i processen för auktorisering av bankomat- och betalterminalkunder föreslogs en algoritm för att skapa programvara för onlineövervakning av kundauktorisering baserad på artificiell intelligens . För detta användes allmänna vetenskapliga metoder (observation, jämförelse); ekonomiska och statistiska metoder för databehandling (gruppering, jämförelse, affärskonsekvensanalys (BIA)), orsaks- och verkansanalys, underhåll som syftar till att säkerställa tillförlitlighet . [9]
Användning av självlärande maskinsystem i processen för auktorisering av ATM-användare. [tio]
I affärsverksamhet, utfärdande av en licens (till exempel: en auktoriserad eller auktoriserad bilhandlare ) [11] .
Auktorisering av en översättning är en översättning som har granskats och godkänts av författaren eller gjorts med originalförfattarens samtycke [12] .
Auktorisering i offentliga Wi-Fi-nätverk via SMS. [13]