Trong bảo mật hệ thống, Authorization đóng vai trò quan trọng trong việc kiểm soát quyền truy cập của người dùng. Sau khi xác thực danh tính người dùng, Authorization sẽ quyết định người đó có quyền truy cập vào tài nguyên nào và có thể thực hiện những hành động gì. Cùng tìm hiểu Authorization là gì, những loại Authorization phổ biến và sự khác biệt giữa Authorization và Authentication nhé!

Authorization là gì?

Authorization (quyền truy cập) là quá trình xác định quyền hạn của người dùng hoặc hệ thống đối với một tài nguyên cụ thể trong môi trường máy tính hoặc mạng. Sau khi người dùng hoặc hệ thống đã xác thực (Authentication), việc Authorization sẽ quyết định xem họ có quyền truy cập vào tài nguyên nào và có thể thực hiện những hành động gì.

Ví dụ, trong một hệ thống ngân hàng trực tuyến, một người dùng có thể đã đăng nhập thành công vào tài khoản của mình. Tuy nhiên, chỉ khi có được cấp quyền (cấp Authorization), họ mới có thể thực hiện các hành động như chuyển tiền, xem thông tin tài khoản hay thay đổi mật khẩu.

Authorization gồm 2 yếu tố chính là quyền truy cập (quyết định người dùng có thể truy cập vào tài nguyên nào) và chế độ truy cập (quyết định người dùng có thể thực hiện hành động gì đối với tài nguyên như đọc, chỉnh sửa, xóa...). 

Các loại Authorization phổ biến

Authorization có thể được phân loại dựa theo khả năng phần quyền của một ai đó đối với hệ thống, cụ thể:

Discretionary Access Control (DAC)

Discretionary Access Control (DAC) là một mô hình kiểm soát quyền truy cập cho phép chủ sở hữu tài nguyên (ví dụ: người dùng) quyết định quyền truy cập của những người khác đối với tài nguyên của mình. Chủ sở hữu tài nguyên có quyền cấp hoặc thu hồi quyền truy cập của người khác.

Ưu điểm:

• Linh hoạt và dễ sử dụng cho người dùng.
• Quản lý quyền truy cập đơn giản.

Nhược điểm:

• Khó kiểm soát nếu tài nguyên được chia sẻ rộng rãi.
• Dễ bị tấn công nếu người dùng không cẩn thận trong việc quản lý quyền truy cập.

Ví dụ:

Một người dùng trong hệ thống có thể chia sẻ tệp của mình với người khác, nhưng cũng có thể thay đổi quyền truy cập của người đó. Trong hệ thống Windows, người dùng có thể chia sẻ thư mục hoặc tệp và cấp quyền cho các tài khoản khác.

Mandatory Access Control (MAC)

Mandatory Access Control (MAC) là mô hình kiểm soát quyền truy cập mà quyền truy cập vào tài nguyên không thể được thay đổi bởi người dùng. Quyền truy cập vào tài nguyên được xác định dựa trên các chính sách do hệ thống bảo mật thiết lập và người dùng không có quyền thay đổi các chính sách này.

Ưu điểm:

• Cung cấp mức độ bảo mật cao và kiểm soát nghiêm ngặt.
• Phù hợp với các môi trường yêu cầu bảo mật cao.

Nhược điểm:

• Không linh hoạt, người dùng không thể tự do thay đổi quyền truy cập.
• Quản lý phức tạp hơn.

Ví dụ:

Trong các hệ thống quân đội hoặc cơ quan chính phủ, việc truy cập vào các tài liệu có thể bị hạn chế dựa trên mức độ bảo mật (ví dụ: tài liệu "bí mật" chỉ có thể được truy cập bởi những người có quyền tương ứng).

Trong hệ thống Linux, quyền truy cập vào tệp có thể được quy định bởi hệ thống và người dùng không thể thay đổi quyền truy cập đó.

Role-Based Access Control (RBAC)

Role-Based Access Control (RBAC) là một mô hình phân quyền trong đó quyền truy cập được gán cho các vai trò (role) thay vì cho từng người dùng cụ thể. Mỗi người dùng sẽ được phân vào một vai trò và nhận quyền truy cập tương ứng với vai trò đó.

Ưu điểm:

• Dễ dàng quản lý, đặc biệt khi có nhiều người dùng.
• Tính bảo mật cao, vì quyền truy cập được kiểm soát theo vai trò, không phải theo người dùng cụ thể.

Nhược điểm:

• Thiếu tính linh hoạt trong việc xử lý các trường hợp đặc biệt.
• Cần phải thiết lập các vai trò phù hợp và rõ ràng.

Ví dụ:

Trong một hệ thống quản lý nhân sự, người quản lý có thể được cấp quyền truy cập vào tất cả dữ liệu, trong khi nhân viên chỉ có quyền truy cập vào các thông tin liên quan đến công việc của họ.

Trong hệ thống quản lý cơ sở dữ liệu, các vai trò như "quản trị viên", "người dùng" và "khách" có các quyền truy cập khác nhau.

Attribute-based Access Control (ABAC)

Attribute-based Access Control (ABAC) là mô hình phân quyền trong đó quyền truy cập được xác định dựa trên các thuộc tính (attributes) của người dùng, tài nguyên và môi trường. Các thuộc tính này có thể bao gồm tuổi, bộ phận, thời gian, địa điểm, v.v.

Ưu điểm:

• Rất linh hoạt và có thể tùy chỉnh theo nhiều yếu tố khác nhau.
• Phù hợp với các tổ chức có yêu cầu bảo mật phức tạp.

Nhược điểm:

• Phức tạp trong việc thiết lập và quản lý.
• Đôi khi có thể khó khăn trong việc duy trì các thuộc tính.

Ví dụ:

Một người dùng có thể chỉ được phép truy cập tài nguyên vào giờ hành chính và từ một địa chỉ IP cụ thể.

> Xem thêm: Hướng dẫn check IP - xác định địa chỉ IP chính xác nhanh nhất

Trong một hệ thống quản lý tài chính, nhân viên của bộ phận kế toán có thể được quyền truy cập vào các báo cáo tài chính, nhưng chỉ trong giờ làm việc và từ máy tính của công ty.

Sự khác nhau giữa Authorization và Authentication là gì?

Mặc dù Authentication và Authorization có vẻ giống nhau, nhưng thực tế chúng là hai khái niệm hoàn toàn khác nhau và có vai trò riêng biệt trong bảo mật hệ thống.

Authentication là quá trình xác thực danh tính của người dùng. Nó xác định ai là người dùng bằng cách kiểm tra thông tin như mật khẩu, mã PIN, vân tay hoặc các yếu tố sinh trắc học khác.

Authorization là quá trình xác định quyền truy cập của người dùng sau khi họ đã được xác thực. Sau khi người dùng đã đăng nhập thành công, Authorization quyết định liệu người đó có quyền truy cập vào tài nguyên hoặc thực hiện hành động nào đó hay không.

Trong một hệ thống ngân hàng, Authentication có thể là việc người dùng nhập mật khẩu và mã OTP. Sau khi xác thực thành công, Authorization sẽ kiểm tra xem người dùng có quyền chuyển tiền hoặc thay đổi thông tin tài khoản hay không.

Khi nào sử dụng Authorization?

Vì Authorization giúp đảm bảo tính bảo mật cho các hệ thống thông qua việc kiểm soát quyền truy cập vào các tài nguyên quan trọng, chỉ cho phép người dùng thực hiện các hành động phù hợp với quyền hạn của mình nên các trường hợp sau sẽ cần phải sử dụng:

• Hệ thống chứa dữ liệu nhạy cảm: Trong các hệ thống lưu trữ dữ liệu nhạy cảm như thông tin tài chính, dữ liệu khách hàng, hay các tài liệu bảo mật, việc Authorization là bắt buộc. Chỉ những người dùng có quyền truy cập nhất định mới có thể xem, chỉnh sửa, hoặc xóa dữ liệu này.
• Trong các tổ chức lớn: Đối với các tổ chức hoặc doanh nghiệp lớn, nơi có nhiều nhân viên với các vai trò khác nhau, Authorization giúp phân loại quyền truy cập dựa trên vai trò công việc.
• Trong các hệ thống bảo mật cao: Như ngân hàng, chính phủ hoặc quân đội, nơi yêu cầu các quy trình kiểm soát truy cập nghiêm ngặt để bảo vệ tài liệu nhạy cảm.
• Trong ứng dụng hoặc dịch vụ trực tuyến: Các ứng dụng web và dịch vụ trực tuyến, chẳng hạn như các nền tảng chia sẻ dữ liệu hoặc các công cụ cộng tác trực tuyến, cần sử dụng Authorization để đảm bảo rằng người dùng chỉ có thể truy cập vào các phần của hệ thống mà họ được cấp quyền.
• Trong các hệ thống có tính năng chia sẻ tài nguyên: Các hệ thống chia sẻ tài nguyên, như hệ thống máy chủ hoặc dịch vụ lưu trữ đám mây, cũng cần Authorization để đảm bảo rằng chỉ những người dùng có quyền mới có thể chia sẻ, truy cập hoặc quản lý tài nguyên.

Việc thiết lập hệ thống Authorization phù hợp sẽ giúp đảm bảo an toàn và bảo mật cho dữ liệu, tài nguyên, cũng như nâng cao trải nghiệm người dùng.

Với sự phát triển không ngừng của công nghệ, Authorization đã trở thành yếu tố thiết yếu trong việc bảo mật các hệ thống. Việc hiểu về Authorization là gì sẽ giúp người dùng bảo vệ được tài nguyên của mình khỏi sự truy cập trái phép, đồng thời nâng cao hiệu quả quản lý và bảo mật trong hệ thống. Nếu thấy hay hãy chia sẻ ngay và đừng quên ghé thăm LPTech để cập nhật những phương thức bảo mật an toàn và hiệu quả nhất nhé!