Аутентификација (Authentication) представља процес у оквиру којег се утврђује да ли ентитету треба дозволити приступ систему (ентитет може бити особа, процес или апликација, рачунар, уређај…). Ако се ентитету дозволи приступ систему, следи ауторизација (Authorization) – процес у оквиру којег се одређују правила о приступању ресурсима система. Аутентификација и ауторизација су кључни процеси за контролу приступа (Access Control) систему. Ове две области могу се једноставно описати на следећи начин:
- Аутентификација: да ли сте онај за кога се представљате?
- Ауторизација: да ли имате дозволу да изведете захтевану акцију?
Рачунарски систем може да аутентификује корисника на основу следећег:
- нешто што зна,
- нешто што има, или
- нешто што јесте.
Лозинка или PIN су примери нечега што корисник зна. Токен или паметна картица су примери нечега што корисник има. Отисак прста или неки други биометријски податак су примери нечега што корисник јесте. Ове три категорије могу се дефинисати и као (тајно) знање, (искључиво) поседовање и (јединствена карактеристика за) постојање.
Основни модел аутентификације помоћу корисничког имена и лозинке:
У основном моделу аутентификације лозинке се у бази корисника не чувају у изворном облику – обично се чувају хеш вредности лозинки. На тај начин се нападачима отежава реконструкција лозинки, у случају да су успели да компромитује базу корисника. Како би се спречио приступ (аутоматизованим) погађањем лозинке, системи за аутентификацију обично имају дефинисана правила о комплексности лозинке (дужина лозинке, коришћење малих слова, великих слова, бројева, специјалних карактера). Такође, системи за аутентификацију обично блокирају приступ корисницима на одређени временски период, ако су у процесу аутентификације одређени број пута унели погрешну лозинку. Још један механизам заштите од аутоматизованог погађања је увођење система за разликовање робота од људи – CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart). О лозинкама биће више речи у наредним лекцијама.
Основни модел аутентификације на основу корисничког имена и лозинке не пружа довољан ниво безбедности и поред наведених механизама у предходном пасусу. Због тога се уводе аутентификације токенима или паметним картицама, биометријским подацима, или комбинацијом различитих категорија аутентификације (вишефакторска аутентификација).