身份验证和授权

习题预习

1. 什么是身份验证（Authentication）？为什么它对资讯安全很重要？
2. 分别说明传统验证跟多因素验证（Multi-factor authentication）的差异。
3. 什么是授权（Authorization）？为什么它跟身份验证紧密相关，同时对资讯安全也很重要？
4. 什么是权限（Permission）？授权跟权限有什么不同？
5. 请说明OAuth的应用场景，以及它的运作流程。

说明知识

Authentication and Authorization 是一组用于保护系统安全的安全机制。它们通常被用于管理用户对系统中各种资源的访问权限。

Authentication 负责验证用户身份并确保只有授权的用户才能访问特定的系统资源。常见的身份验证方式包括用户名和密码、口令、数字证书和生物特征（如指纹、面部识别等）。例如，当您登录一个网站时，您需要提供一个用户名和密码以验证您的身份是否正确。

Authorization 确保用户只能访问他们已被授权访问的资源。这意味着系统会检查用户的访问权限，并根据其账户类型、角色、权限等因素来控制他们可以执行的操作。例如，在一个社交网络应用中，管理员用户可能有权访问和编辑所有用户的个人资料，而普通用户则可能只能查看自己的个人资料并与自己的朋友交流。

综上所述，Authentication 和 Authorization 通常协同工作来确保系统中的资源只能被授权的用户访问。

条列重点

Authentication:

• 认证：确认使用者身份的过程，例如验证用户名、密码、生物识别方式等。
• 身份验证是一个安全必需品，用来确保系统中只有授权的用户才能进行操作。
• 有效的身份验证措施可以防止未经授权的用户访问敏感数据，并减少信息泄漏的风险。

Authorization:

• 授权：确定使用者是否具有执行特定操作的权限，例如浏览某个文件或修改某个文件。
• 授权可以限制和管理不同用户对系统和数据的访问权限。
• 给予授权的行为需进行明确记录，以便追溯、调查和审计使用者对系统和数据的操作。

Authentication与Authorization的区别：

• 认证是确定用户身份的过程，而授权是确定用户是否具有执行特定操作的权限。
• 认证通常是使用用户名和密码等数据进行验证，而授权通常涉及设定用户对特定资源的访问权限。
• 两者相互独立且相互补充，有效的身份验证和授权措施是实现安全和保障数据完整性和机密性所必需的。

知识测验

1. 什么是身份验证（Authentication）和授权（Authorization）的主要区别？

答案：身份验证是确定用户身份的过程，而授权是确定用户能够访问哪些操作或资源的过程。

2. 说明单层验证（Single-factor Authentication）和双因子验证（Two-factor Authentication）的区别？

答案：单层验证是指通过一种方式验证用户身份，例如使用帐号和密码。而双因子验证则需要用户通过两种验证方式，例如使用帐号和密码，再加上一次性密码或指纹扫瞄等方式。

3. 描述OAuth 2.0协议的授权流程？

答案：OAuth 2.0授权流程的第一步是用户请求授权，此时系统会提示用户登录。用户登录后，会以输入的帐号和密码向系统发送请求，要求授权。系统会检查用户的权限，如果用户有权限，系统会向用户发送授权码。 用户通过授权码向系统发送授权请求，系统将对用户进行身份验证，并得出授权结果。如果验证通过，系统会向用户发送access token，用户就可以通过access token访问需要授权的API。

4. 描述OpenID Connect协议的验证流程？

答案：OpenID Connect验证流程的第一步是用户通过浏览器到注册公司的登录页面，用户输入自己的帐号和密码后，提交登录信息。注册公司向用户发送ID token。用户将ID token发送给第三方系统，系统将对ID token进行验证，以确定用户身份。如果验证成功，系统就可以通过ID token获取用户信息。

5. 什么是JSON Web Token（JWT）？它如何实现身份验证和授权？

答案：JSON Web Token（JWT）是一种Web标准，可用于安全地传输信息。JWT通过使用一个加密的Token，访问者才能够进入需要身份验证和授权的网页。JWT被广泛应用于网络身份验证，并且易于在前端和后端之间传输。JWT包含一个Header、Payload和Signature。Header包含Token的类型和使用的加密方法。Payload包括指定的声明，例如用户的ID和有效期。 Signature是一个数字签名，用于验证Token的完整性。使用JWT来实现身份验证和授权可通过验证Token中的声明和有效期来确定用户身份和权限。