Сучасний цифровий світ наповнений термінами, які часто використовуються разом, але мають суттєві відмінності. Два таких терміни — автентифікація та авторизація. Ці процеси є ключовими для забезпечення безпеки даних у мережі, але виконують різні функції. У цій статті ми розберемося, що вони означають і в чому полягає їхня відмінність.

Що таке автентифікація?

Аутентифікація (authentication) — це процес, який перевіряє ідентичність особи або пристрою. Основна мета – підтвердити, що особа, яка надає облікові дані, дійсно є тією, за кого себе видає. Користувачі надають необхідний маркер безпеки для підтвердження своєї особи, який перевіряється за базою даних автентифікованих користувачів.

Автентифікація користувачів має вирішальне значення, оскільки часто є першим захистом від витоку даних і кібератак. Системи автентифікації мають кілька способів підтвердження особи користувача, зазвичай реалізуючи такі підходи, як багатофакторна автентифікація (MFA) або двофакторна автентифікація (2FA).

Користувач може надати три типи токенів безпеки для автентифікації:

• Те, що вони знають. Токени доступу, такі як ім’я користувача або пароль, які знає тільки користувач. Також може використовуватися персональна ідентифікаційна інформація (PII), особливо на таких платформах, як соціальні мережі.
• Те, що вони мають. Фізичний маркер доступу, такий як ключ-карта, бейдж безпеки або USB-ключ, також може використовуватися для підтвердження особи користувача. Ці токени зазвичай використовуються в середовищах, що вимагають високого рівня безпеки.
• Те, ким вони є. Більш суворі методи автентифікації можуть використовувати розпізнавання обличчя, біометричну автентифікацію та інші унікальні ідентифікатори, прив’язані до фізичних характеристик користувача. Цей метод зазвичай використовується для захисту високочутливих систем або місць з обмеженим доступом.

Як це працює?

1. Введення даних: Користувач вводить свої облікові дані, наприклад, логін і пароль.
2. Перевірка: Система порівнює введені дані із збереженою інформацією.
3. Доступ: Якщо дані збігаються, користувач проходить автентифікацію.

Приклади автентифікації

• Введення пароля або PIN-коду.
• Використання біометричних даних (відбиток пальця, скан обличчя).
• Одноразові коди (OTP), отримані через SMS або електронну пошту.
• Автентифікація за допомогою токенів або сертифікатів.

Читайте також: Що таке ключі допуску? Як відмова від пароля може спростити ваше життя у 2025 році

Що таке авторизація?

Авторизація (authorization) — це процес, який визначає дозволи автентифікованого користувача, коли він отримує доступ до системи. Авторизація необхідна, оскільки системи зазвичай вимагають декількох рівнів доступу. Різні користувачі потребують різних рівнів привілеїв для ефективного виконання своїх ролей або доступу до певних ресурсів і місць.

Основна мета авторизації – обмежити доступ користувачів на основі їхніх дозволів. Наприклад, кадрова система компанії може використовувати дозволи на основі ролей. Вона може надавати працівникам доступ лише до їхніх особистих справ, а менеджерам дозволяти переглядати дані про результати роботи їхньої команди.

Контроль доступу в системах авторизації зазвичай контролюється постачальниками автентифікації (наприклад, ІТ-відділом або службою безпеки компанії), які надають дозволи в рамках загальної стратегії безпеки організації.

Окрім контролю доступу, системи авторизації допомагають системним адміністраторам або адміністраторам сайтів підтримувати більш точний огляд того, як користувачі використовують свої привілеї доступу. Ця можливість необхідна для створення додаткових протоколів безпеки, таких як журнали доступу, щоб відстежувати, які користувачі отримують доступ до конфіденційних даних.

Як це працює?

1. Після автентифікації система перевіряє, до яких ресурсів чи функцій користувач має доступ.
2. Встановлюються обмеження або дозволи залежно від ролі чи статусу користувача.

Приклади авторизації

• Доступ до файлів лише для адміністраторів.
• Різні рівні доступу до програмного забезпечення (наприклад, перегляд документів, але без можливості редагування).
• Обмеження доступу до конфіденційної інформації залежно від посади.

Ключова різниця між автентифікацією та авторизацією

Основна відмінність між автентифікацією та авторизацією полягає в тому, що автентифікація перевіряє особу користувача для надання доступу, тоді як авторизація визначає рівні доступу користувача. Автентифікація визначає, чи може користувач увійти в систему, тоді як авторизація контролює, що користувач може робити в системі.

Автентифікація та авторизація завжди взаємопов’язані. Ніколи не варто обмежуватися лише автентифікацією користувача, оскільки різні користувачі потребують різних рівнів дозволів, особливо для областей або систем, що містять конфіденційну інформацію.

Як вони взаємопов’язані?

Автентифікація завжди передує авторизації. Без підтвердження особи (автентифікації) система не зможе визначити права доступу (авторизацію).

Наприклад:

• Коли ви входите у свій обліковий запис електронної пошти, спочатку проходите автентифікацію (вводите логін і пароль).
• Потім система визначає, які дії вам дозволені: читання листів, написання нових чи зміна налаштувань (авторизація).

Який процес простіший?

Автентифікація простіша, оскільки кілька методів (наприклад, багатофакторна автентифікація) можуть швидко підтвердити особу користувача. Адміністратори повинні авторизувати користувачів вручну, щоб гарантувати, що вони отримують доступ лише до того, що їм дозволено бачити.

Яким протоколам вони слідують?

Протоколи автентифікації відповідають стандарту OpenID Connect (OIDC), який дозволяє проводити однократні сеанси входу і стандартизує спосіб отримання користувачами доступу до систем.

Протоколи авторизації зазвичай використовують протокол OAuth 2.0, який підтримує OIDC, щоб надати користувачам доступ до декількох систем і додатків за допомогою одного автентифікованого запиту.

Чому важливо розуміти різницю?

Розуміння різниці між цими двома поняттями є важливим, оскільки кожна система вразлива до різних типів загроз. Усвідомлення їх відмінностей є одним з найефективніших способів зменшити ризики безпеки.

Знання відмінностей між автентифікацією та авторизацією допомагає:

• Забезпечити безпеку: Використання багатофакторної автентифікації знижує ризик несанкціонованого доступу.
• Керувати доступом: Розуміння прав доступу дозволяє налаштувати ефективну політику безпеки у системах.
• Розробляти надійні системи: Для розробників це знання є ключовим у створенні додатків, які відповідають вимогам безпеки.

Автентифікація та авторизація є важливими елементами безпеки в цифровому світі. Автентифікація відповідає на питання “хто ви?”, а авторизація — “що вам дозволено робити?”. Разом ці процеси забезпечують безпеку даних і контроль доступу у сучасних системах.

Забезпечте свої облікові записи надійними методами аутентифікації та авторизації, щоб захистити важливу інформацію!

Ця стаття Автентифікація та авторизація: у чому різниця? раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Бази вкрадених паролів можуть бути опубліковані в Інтернеті та стати загальнодоступними. У Chrome передбачені всі основні функції управління паролями, причому Ви можете управляти паролями навіть віддалено.

Так, у 2019 Google випустила розширення Password Checkup для Chrome, яке перевіряє хеш-суми паролів, які користувач вводить у Chrome, у базі даних відомих витоків. Також остання версія Chrome Canary отримала новий експериментальний прапор, який дозволяє розблокувати вбудовану функцію перевірки пароля.

Замість того, щоб встановлювати додаткове розширення від Google, користувачі Chrome отримують вже вбудований в браузер інструмент, який буде перевіряти безпеку облікових даних кожного разу, коли вони вводять пароль в Інтернеті.

На даний момент функція є експериментальною, тому вона відключена за замовчуванням. Щоб протестувати новий функціонал, Вам потрібна найостанніша збірка Chrome Canary. Експериментальні функції можуть бути присутніми й в інших версіях Chrome. У деяких випадках завдяки нативній інтеграції користувачам не потрібно активовувати функцію вручну. Однак Google може видалити експериментальні функції в будь-який момент, тому немає жодних гарантій, що вони стануть доступні в стабільному Chrome.

Отже, щоб скористатися функцією перевірки паролю у Chrome Canary:

1. Відкрийте сторінку chrome://flags в браузері.
2. Виконайте пошук за запитом: Password Leak Detection.
3. Змініть статус однойменної функції з Default на Enabled.
4. Перезапустіть Chrome.

Функція виявлення витоків стане активною після перезапуску.

Chrome перевірятиме контрольні суми паролю в базі даних хешів вкрадених паролів, яку підтримує Google. Якщо значення зійдуться, то користувач отримає попередження про ненадійність пароля. В цьому випадку рекомендуємо негайно змінити пароль, щоб захистити обліковий запис.

Google – не єдина компанія, яка проводить перевірку паролів на витоки. На ринку існує кілька сервісів, які дозволяють перевірити свою адресу електронної пошти і паролі на предмет зламу. Деякі менеджери паролів, в тому числі KeePass підтримують локальну перевірку паролів, а сервіс у браузері Firefox Mozilla нещодавно додав інструмент перевірки Firefox Monitor, функціональність якого організація планує розширювати.

Цілком природно, що в браузерах з’являються інструменти перевірки безпек паролів. Однак, деякі користувачі незадоволені, що хеш-суми їх паролів відправляють на сторонні сервери. У будь-якому випадку, як Firefox Monitor, так і Password Leak Detection є необов’язковими функціями на даний момент. Крім того, Ви завжди можете зберігати паролі в офлайн-менеджерах паролів, наприклад в KeePass.

До речі, в офіційному магазині Google Play виявили шкідливий додаток зі шпигунським функціоналом. Програма-шпигун була замаскована під додаток Radio Balouch, який використовувався для прослуховування радіо в онлайн-режимі.

Нагадаємо, що програми Microsoft Paint та WordPad перестануть бути обов’язковими після оновлення Windows 10 Spring 2020 року.

Також Google збільшила кількість часу, який необхідний новій програмі Android, щоб пройти процедуру затвердження Play Store.

Стало відомо, що дослідники з компанії Avanan, що займається питаннями безпеки електронної пошти, виявили нову фішингову кампанію. Зловмисники за допомогою повідомлень голосової пошти Microsoft Voicemail намагаються змусити жертву відкрити вкладення HTML, що перенаправляє на фішингові web-сторінки.

Окрім цього, Google видалила 85 додатків для Android із магазину Google Play після того, як дослідники виявили, що це рекламне програмне забезпечення (adware), яке вдає з себе нормальні додатки.

Ця стаття Як увімкнути функцію перевірки безпеки паролів у Chrome Canary? раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

У iOS 12 та macOS Mojave є можливість скористатися цікавою опцією – передача паролю в екосистемі Apple за допомогою AirDrop, пише  techtoday

Щоб передати пароль з використанням AirDrop, потрібно:

• по-перше, обидва пристрої повинні мати сумісну версію ОС і перебувати в одній мережі.
• по-друге, потрібно активувати AirDrop, Wi-Fi та Bluetooth.

Щоб відправити пароль, потрібно:

1. Відкрити в налаштуваннях розділ “Паролі та облікові записи”;
2. Перейти у меню “Паролі сайтів“;
3. Знайти у списку потрібний екаунт і відкрити його;
4. На полі з паролем довгим тапом вибрати AirDrop.
5. Вказати пристрій для відправки паролю та підтвердити прийом на гаджеті-отримувачеві.

Під час передачі пароль передасться разом з логіном. Знайти Ви його зможете в сховищі “Зв’язка ключів“. Якщо відправлений акаунт уже існує, iOS запропонує замінити пароль від нього.

Ця стаття Через AirDrop можна ділитися паролем на пристроях Apple. Як користуватися? раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Тиждень тому соціальна мережа Facebook повідомила, що зазнала чергової хакерської атаки, внаслідок якої до рук зловмисників потрапили дані екаунтів щонайменше 50 мільйонів користувачів.

Так, 16 вересня 2018 року Facebook помітив незвичайну активність одного з елементів функціоналу – функції View as. За результатами внутрішнього розслідування, проведеного компанією, було виявлено комбінацію вразливостей, через яку невідомі отримали доступ до облікових записів щонайменше 50 мільйонів користувачів.

27 вересня вразливості було закрито. Одним з результатів цієї роботи стало вилогінювання значної кількості користувачів – близько 90 мільйонів – з їх екаунтів. Якщо Вам не приходило жодних повідомлень, і Ви досі залогінені, це означає, що Ви не входите у 90 мільйонів користувачів, які стали жертвою (50+ мільйонів) або могли стати жертвою атаки (інші 40+ мільйонів).

У даній статті ми розповімо про те, які різновиди атак може зазнавати Ваш екаунт у Facebook та як від них захиститися.

1. Зміна пароля сторінки Facebook

Найпростіший спосіб «зламати» чужий екаунт — це поміняти пароль на ньому. Як правило, зловмисникам це вдається, якщо вони знають жертву особисто. Для початку вони дізнаються логін — електронну скриньку, яку можна підглянути на сторінці у Facebook в контактній інформації, якщо особа його там вказала. Потім вони моделюють ситуацію втрати пароля: натискають на кнопку «Забули пароль?», вводять логін, ставлять галочку «Це мій екаунт». Система пропонує змінити пароль через пошту, але цей варіант зловмисників не влаштовує, бо пароля від пошти вони не знають. Тому вони натискають кнопку «Більше не маєте доступу до цих електронних скриньок?». Система запитує, як ще можна зв’язатися з власником екаунта. Після цього шахраї вводять адресу електронної скриньки, яка не прив’язана до жодного екаунта в Facebook. Для входу зловмисникам достатньо підібрати пароль, після чого відбувається його зміна.

Якщо підібрати пароль їм не вдається, вони йдуть іншим шляхом – обирають опцію відновлення облікового запису за допомогою друзів. Система відправляє трьом або п’яти друзям різні паролі, які потрібно ввести, щоб отримати доступ до екаунту. Зловмисники створюють кілька фейкових екаунтів, з яких додаються у друзі до жертви, або ж домовляються зі справжніми друзями і через них дізнаються паролі.

Як від цього захиститися?

Ваш Facebook-екаунт повинен бути прив’язаний до спеціально створеної електронної скриньки. Логін скриньки не повинен бути відображений в контактній інформації. Ретельно підбирайте секретне питання і відповідь на нього. Не можна, щоб це була інформація, доступна зі сторінки Facebook або просто відома широкому загалу: дні народження і річниці, імена вихованців та перших вчителів в школах тощо. Все це легко можна дізнатися з Вашої сторінки або сторінки Ваших друзів. Нарешті, розсилку паролів друзям можна налаштувати таким чином, щоб їх могли отримати тільки три конкретних людини. Тоді жодні нові екаунти або фейкові друзі не зможуть «поділитися» з хакером паролем до вашого екаунту.

2. Кейлогер

Кейлогер — це програма, яка записує всі клавіші, натиснуті користувачем комп’ютера, на який вона встановлена. Програма для зламу Facebook може бути вручну встановлена на комп’ютер людини, чиї паролі необхідно дізнатися. Кейлогер запускається разом з комп’ютером і працює непомітно. Інформація про те, які клавіші натискали протягом того чи іншого періоду часу, надходить на пошту того, хто встановив цю програму. Кейлогер може також міститися на USB-карті. Для його роботи потрібно, щоб пристрій було підключено до комп’ютера людини, пароль якої хакери хочуть дізнатися.

Як від цього захиститися?

Встановіть файєрвол. Активність кейлогера можна виявити за інформацією, яка пересилається, і файєрволи саме її відстежують. Встановіть менеджер паролів. Ця програма дозволяє не набирати паролі, а вводить їх за Вас. Якщо клавіші не натиснуті, то кейлогер нічого не запише. Оновлюйте програмне забезпечення. Якщо ви виявили або запідозрили щось недобре, корисним буде оновити програмне забезпечення. Змінюйте паролі. Вигадуйте альтернативні паролі хоча б два рази на місяць. Це ускладнить хакеру життя і зробить інформацію, яку він отримує, неактуальною.

3.Фішинг

Фішинг — найскладніший із способів зламу сторінки Facebook, але в той же час один з найпоширеніших. Коли потрібен пароль від Facebook, шахраї створюють фейкову копію сторінки, на якій вводяться логін і пароль. Ця сторінка може бути відправлена потенційній жертві зламу будь-яким способом. Вона виглядає точно так само, як початковий екран Facebook, але якщо людина введе свій логін і пароль, ця інформація відразу потрапить творцеві несправжньої сторінки. Складність цього способу полягає в тому, що потрібно володіти навичками хостингу сайтів і дизайну веб-сторінок. Проте у мережі існують детальні посібники, за допомогою яких фішингом зможе зайнятися навіть нефахівець. За інструкцією дилетант створить фальшиву копію екрану Facebook, яку потім відправить потенційній жертві.

Як від цього захиститися?

Не переходьте за посиланнями, які приходять Вам на пошту. В таких листах вас будуть переконувати залогінитися в Facebook, перейшовши на сайт саме за конкретним посиланням. Краще відразу видаліть такий лист і забудьте про нього. Відкривайте Facebook через звичні закладки. Зверніть увагу, що фішингові повідомлення можуть приходити не тільки на електронну адресу. Це може статися і в онлайн-чаті, і в SMS-листуванні, і взагалі на будь-якому сайті. Спливаючі оголошення теж містять небезпеку. Намагайтеся не клікати на все, що яскраво виглядає та впадає в очі. Нарешті, використовуйте антивіруси.

4. Крадіжка кукіз

Facebook cookies — невеликий фрагмент даних, відправлений веб-сервером і зберігається на комп’ютері користувача. Ці дані містять важливу інформацію, яку хакер може здобути, якщо він підключений до тієї ж мережі, що й користувач, і використовувати для зламу екаунтів Facebook. Крадіжка кукіз — це не крадіжка пароля, але тим не менше це дає доступ до екаунта, оскільки кукіз дозволяють «обдурити» комп’ютер, змусити його думати, що хакер заходить, наприклад, в Facebook з того ж робочого місця і браузера, що жертва крадіжки. Для того щоб отримати кукіз в браузері Firefox, хакери вдаються до використання додатка Firesheep. Він збирає кукіз з комп’ютерів, підключених до однієї Wi-Fi-мережі, і зберігає їх для подальшого використання. Якщо жертва крадіжки все ще залогінена в Facebook, то хакер легко може зайти на той же обліковий запис. Як тільки екаунт покинуть, доступ до нього закривається і для зломщика.

Як від цього захиститися?

Зайдіть в налаштування облікового запису на Facebook. У розділі, присвяченому безпеці, переконайтеся, що стоїть галочка навпроти безпечного серфінгу. Firesheep не бачить кукіз, якщо використовується шифрування з’єднання, наприклад, HTTPS. Тому уникайте сайтів із з’єднанням HTTP. Завжди користуйтеся SSL — безпечними криптографічними протоколами. Використовуйте такі додатки Firefox, як HTTPS-Everywhere або Force-TLS, які виключають ненадійні з’єднання. Завжди, коли встаєте з-за комп’ютера, виходьте з усіх екаунтів. Firesheep не дозволяє проникнути на екаунт, якщо він закритий.

Ця стаття Злам екаунта у Facebook: чотири способи захиститися раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар