В чем разница между аутентификацией и авторизацией?

Аутентификация и авторизация: ключевые различия

В контексте информационной безопасности и тестирования веб-приложений, аутентификация (Authentication) и авторизация (Authorization) — это фундаментальные, но различные концепции, которые часто путают. Понимание их различий критически важно для QA-инженера при тестировании функций безопасности, составлении тест-кейсов и анализе требований.

Сущность аутентификации (Authentication)

Аутентификация — это процесс верификации личности пользователя. Она отвечает на вопрос: "Кто вы?". Её цель — подтвердить, что субъект (пользователь, система или процесс) действительно является тем, за кого себя выдает.

• Что проверяется: Учетные данные (credentials).
• Когда происходит: Обычно в момент входа в систему (логина).
• Результат: Установление личности пользователя в системе. Если аутентификация успешна, система "знает", кто вы.

Методы аутентификации:

• Что-то, что вы знаете: Пароль, PIN-код, секретный вопрос.
• Что-то, что у вас есть: Физический токен (RSA), смарт-карта, мобильное устройство для одноразового кода (SMS, TOTP).
• Что-то, что вы есть: Биометрические данные (отпечаток пальца, сканирование лица, радужная оболочка глаза).

Пример в коде (упрощенная логика):

def authenticate(username, password):
    user = database.get_user_by_username(username)
    if user and user.password_hash == hash_password(password):
        # Аутентификация пройдена
        create_user_session(user.id)
        return True
    # Аутентификация не пройдена
    return False

Сущность авторизации (Authorization)

Авторизация — это процесс проверки прав доступа уже аутентифицированного пользователя к определенным ресурсам или действиям. Она отвечает на вопрос: "Что вам разрешено делать?".

• Что проверяется: Роли (Roles), разрешения (Permissions), уровни доступа.
• Когда происходит: После успешной аутентификации, при каждой попытке выполнить действие или получить доступ к данным.
• Результат: Предоставление или запрет доступа к запрашиваемой операции/ресурсу.

Модели авторизации:

• RBAC (Role-Based Access Control): Доступ определяется ролью пользователя (например, Admin, Editor, Viewer).
• ABAC (Attribute-Based Access Control): Доступ определяется атрибутами пользователя, ресурса и контекста (например, "менеджер может утверждать документы только своего отдела").
• Политики на основе разрешений: Прямая привязка конкретных прав (create_post, delete_user) к учетной записи.

Пример в коде (проверка авторизации):

def delete_post(post_id, current_user):
    post = database.get_post_by_id(post_id)

    # 1. Проверяем, существует ли пост (логика приложения)
    if not post:
        raise NotFoundError("Post not found")

    # 2. Проверяем АВТОРИЗАЦИЮ: имеет ли пользователь право удалить ЭТОТ пост?
    # Правило: удалять пост может только его автор или администратор.
    if current_user.id != post.author_id and current_user.role != "admin":
        # Авторизация НЕ пройдена - доступ запрещен
        raise ForbiddenError("You are not authorized to delete this post")

    # Авторизация пройдена - выполняем действие
    database.delete_post(post_id)

Сводная таблица различий

Важность для QA-инженера

Для тестировщика это разложение на два процесса означает необходимость создания отдельных наборов тестов:

1. Тестирование аутентификации:

    *   Валидация полей логина/пароля.
    *   Тесты на блокировку после N неудачных попыток.
    *   Восстановление пароля.
    *   Работа с одноразовыми кодами (2FA).
    *   Безопасность передаваемых учетных данных (HTTPS).

1. Тестирование авторизации:

    *   **Тесты на положительные сценарии:** Пользователь с ролью `admin` может зайти в панель администратора.
    *   **Критически важные тесты на негативные сценарии (Authorization Vulnerability Testing):**
        *   **Horizontal Privilege Escalation:** Может ли `UserA` получить доступ к данным `UserB` (например, изменив `id` в URL или теле запроса)? `GET /api/orders/123` (где заказ 123 принадлежит другому пользователю).
        *   **Vertical Privilege Escalation:** Может ли пользователь с ролью `user` получить доступ к функционалу `admin`, например, отправив прямой запрос на `POST /api/users/delete`?
    *   Проверка корректности отображения/скрытия UI-элементов в зависимости от прав.

Итог: Аутентификация — это дверь в систему, а авторизация — это правила, определяющие, в какие комнаты внутри этой системы вам разрешено входить и что вы можете там делать. Полноценное тестирование безопасности приложения требует тщательной проверки обеих этих составляющих.