Authentication และ Authorization คืออะไร? ต่างกันอย่างไร?

Authentication และ Authorization คืออะไร? ต่างกันอย่างไร?

.

.

การทำกิจกรรมต่างๆบนโลกไซเบอร์นั่น แทบทุกครั้งเลยที่เราต้องมีการลงชื่อเข้าใช้ หรือที่เรียกว่าการ Log in ไม่มีใครหลีกเลี่ยงได้เลย มันอยู่ในชีวิตประจำวันของเราตลอด เวลาเราจะเล่น social media เราก็ต้องล็อคอิน เวลาเราซื้อของออนไลน์ เราก็ต้องล็อคอิน หรือถ้าเราจะโอนเงินไปหาใครผ่านแอปธนาคารเราก็ต้องล็อคอิน เพื่อเป็นการยืนยันนะว่าเราเนี้ยเป็นคนใช้มันเอง ซึ่งมันก็คือการทำ Authentication และการทำ Authorization นั่นเอง โดยมันก็มีการปรับใช้ในหลายๆอย่าง เช่น การทำงาน เราก็ต้องกำหนดว่า พนักงานคนไหนมีสิทธิ์ในการทำหรือเข้าถึงข้อมูลเหล่านี้ หากเราไม่มีการทำ Authentication และการทำ Authorization ก็เท่ากับเราเปิดประตูบ้านให้ใครก็ได้เข้ามาในบ้าน โดยที่ไม่ได้ล็อคกุญแจหรือมียามเฝ้าบ้านนั่นเอง ดังนั้นมันจึงมีความสำคัญมากๆกับการทำกิจกรรมกับโลกไซเบอร์ในปัจจุบัน อีกทั้งยังเป็นส่วนสำคัญในการทำ PDPA อีกด้วย

.

.
Authentication

.
Authentication คือ ระบบการยืนยันตัวตนที่เมื่อเราจะเข้าใช้งานในเว็บไซต์ แอปพลิเคชั่นหรืออะไรก็ตามบนโลกออนไลน์ พูดง่ายๆก็คือ การ Log- in นั้นเองเช่น การเข้าสู่ระบบ Email, การเข้าสู่ระบบ Internet Banking และการเข้าสู่ระบบ social media ต่างๆ เพื่อเป็นการยืนยันตัวตนว่าเราคือคนๆนี้และกำลังจะใช้บริการต่างๆในฐานะคนนี้ พร้อมทั้งทำการตรวจสอบสิทธิ์ว่าผู้ใช้งานระบบนั้นมีสิทธิ์ใช้ได้และเป็นเจ้าของข้อมูลเหล่านั้นจริงๆ โดยการยืนยันนั้นก็จะมีการใส่ Username และ Password ไม่ว่าจะเป็นแบบที่เรากำหนดตั้งเองหรือแบบที่ระบบกำหนดมาให้เราใช้ตาม มันมีชื่อเรียกสั้นๆว่า AuthN.

.

.

การทำ Authentication มี 2 แบบ

.
1. การระบุตัวตน (Identification) คือผู้ใช้งานนั่นระบุว่าตนเองคือใครผ่านการล็อคอินโดยใช้ username และ password ซึ่งเป็นวิธีพื้นฐานที่หลายๆเว็บไซต์ หลายๆแอปพลิเคชั่นทำกัน

.
2. การพิสูจน์ตัวตน (Authentication) คือ ขั้นตอนที่ตรวจสอบหลักฐานเพื่อแสดงว่าเป็นบุคคลที่กล่าวอ้างจริง เป็นการยืนยันตัวตนอีกรอบ ใช้ในเวลาที่เราใช้แอปธนาคารในการทำธุรกรรมทางการเงิน ซึ่งมักจะใช้ในการยืนยันตนที่ต้องการความปลอดภัยขั้นสูง ซึ่งในปัจจุบันนั่นก็มีอีกหลายวิธีมากมายที่จะยืนยันตัวของเราได้อย่างปลอดภัยและมั่นใจว่าจะไม่มีใครเอา username และ password ของเราไปใช้ได้ เช่น การใช้ระบบ Biometric การสแกนลายนิ้วมือ การสแกนใบหน้าหรือรูม่านตาเป็นต้น แต่วิธีที่ดีรับความนิยมมาก การยืนยันการทำรายการโดยการกรอกรหัส OTP (One Time Password) นั่นเอง

.

.

Authorization

.
Authorization คือ ระบบการรักษาความปลอดภัยที่ระบุและกำหนดว่าระดับการเข้าถึงหรือสิทธิ์ของผู้ใช้ผ่านตัวตนที่เขาได้ล็อคอินหรือระบุ พูดง่ายๆ จะเป็นการระบุว่าคนๆนั้นที่เข้ามาในระบบนั้นสามารถทำอะไรในเว็บไซต์หรือแอปพลิเคชั่นนั้นๆบ้าง เรียกสั้นๆว่า AuthZ.
ซึ่งพอเรา Log-in เข้าสู่ระบบแล้ว ระบบทราบแล้วว่าเราเป็นใคร ระบบก็จะทำการ Authorization เพื่อตรวจสอบว่าเรามีสิทธิ์จะเห็นหรือจะทำอะไรบ้าง โดยมันก็คืออีกขั้นตอนของการทำ Authentication นั่นเอง ที่เราจะเห็นเป็นประจำเลยคือ การที่เว็บไซต์หรือแอปพลิเคชั่นนำมาปรับใช้กับการแยกผู้ใช้งานที่เป็นแบบ ฟรีและผู้ใช้งานแบบเสียเงิน เช่น เวลาที่เราดู YouTube หากเราล็อคอินด้วย อีเมลที่ไม่ได้สมัครบริการพรีเมี่ยม แบบเสียเงิน เราก็จะดูยูทูปแบบมีโฆษณานั่น แล้วถ้าเราล็อคอินด้วยอีเมลที่สมัครบริการที่เสียตัง แบบพรีเมี่ยม เราก็จะสามารถใช้งานยูทูปได้แบบไม่มีโฆษณา
ในระดับองค์กรนั่นก็มีการใช้ Authorization ในการระบุว่าพนังงานคนไหนสามารถเข้าถึงหรือใช้ข้อมูลของบริษัท และก็เป็นการระบุเพิ่มเติมอีกว่า ข้อมูลอันไหนที่พนักงานคนนั้นสามารถดูหรือใช้งานได้ ประโยชน์ของ การทำ Authorization คือให้แน่ใจว่าบุคคลนั้นจะไม่มีสิทธิ์เข้าถึงข้อมูลที่บริษัทต้องการรักษาความลับนั่นเอง

.

โดยทั่วไปแล้วการทำ Authentication และการทำ Authorization มักจะทำควบคู่กันไป ซึ่งเราจะไม่สามารถ รวมทั้ง 2 แบบเข้าด้วยกันได้ ไม่สามารถลดทอนให้เหลือเพียง 1 ขั้นตอนได้ ต้องทำคู่กันทั้งสอง แต่จะต้องทำ Authentication ก่อนเสมอเพื่อเป็นการระบุตัวตน และต้องทำ Authorization ตามเพื่อเป็นการกำหนดสิทธิ์ต่างๆในการเข้าถึง
.

.
ระบบการทำ Authentication และการทำ Authorizationที่ดีที่เราอยากแนะนำคือ Azure Active Directory หรือ Azure AD เป็นบริการ Identity & Access Management สำหรับควบคุมการเข้าถึงระบบ Cloud ซึ่งช่วยให้องค์กรสามารถทำ Single Sign-on ระหว่างระบบใน Data Center และระบบ Cloud ได้อย่างไร้รอยต่อ นั่นหมายความว่า หลังจากที่พนักงานในองค์กรทำการพิสูจน์ตัวตนเข้าสู่ระบบผ่าน AD ใน Data Center แล้ว จะสามารถเข้าใช้งานแอปพลิเคชันต่างๆ บนระบบ Cloud ไม่ว่าจะเป็น Office 365, Dynamic CRM Online หรือ Dropbox ได้ทันที โดยไม่ต้องพิสูจน์ตัวตนซ้ำอีกครั้ง Azure AD มีแผนการใช้งานให้เลือกให้ 4 แบบ คือ Free, Basic, Premium 1 และ Premium 2 สามารถไปอ่านเพิ่มเติมได้ที่

Azure Active Directory คืออะไร?

.

.

.

.

สอบถามข้อมูล พร้อมให้คำปรึกษาการทำ Authentication และการทำ Authorization

ติดต่อบริษัท มอนสเตอร์ คอนเนค
โทร 02 392 3608
หรือ Line: @monsterconnect

.

.

.

Written by Witsawa Chanton

.

Ref.

Security Authentication vs. Authorization | A Quick Guide

https://economictimes.indiatimes.com/definition/authorization
https://economictimes.indiatimes.com/definition/authentication