身份驗證和授權

習題預習

1. 什麼是身份驗證（Authentication）？為什麼它對資訊安全很重要？
2. 分別說明傳統驗證跟多因素驗證（Multi-factor authentication）的差異。
3. 什麼是授權（Authorization）？為什麼它跟身份驗證緊密相關，同時對資訊安全也很重要？
4. 什麼是權限（Permission）？授權跟權限有什麼不同？
5. 請說明OAuth的應用場景，以及它的運作流程。

說明知識

Authentication and Authorization 是一組用於保護系統安全的安全機制。它們通常被用於管理用戶對系統中各種資源的訪問權限。

Authentication 負責驗證用戶身份並確保只有授權的用戶才能訪問特定的系統資源。常見的身份驗證方式包括用戶名和密碼、口令、數字證書和生物特徵（如指紋、面部識別等）。例如，當您登錄一個網站時，您需要提供一個用戶名和密碼以驗證您的身份是否正確。

Authorization 確保用戶只能訪問他們已被授權訪問的資源。這意味著系統會檢查用戶的訪問權限，並根據其賬戶類型、角色、權限等因素來控制他們可以執行的操作。例如，在一個社交網絡應用中，管理員用戶可能有權訪問和編輯所有用戶的個人資料，而普通用戶則可能只能查看自己的個人資料並與自己的朋友交流。

綜上所述，Authentication 和 Authorization 通常協同工作來確保系統中的資源只能被授權的用戶訪問。

條列重點

Authentication:

• 認證：確認使用者身份的過程，例如驗證用戶名、密碼、生物識別方式等。
• 身份驗證是一個安全必需品，用來確保系統中只有授權的用戶才能進行操作。
• 有效的身份驗證措施可以防止未經授權的用戶訪問敏感數據，並減少信息洩漏的風險。

Authorization:

• 授權：確定使用者是否具有執行特定操作的權限，例如瀏覽某個文件或修改某個文件。
• 授權可以限制和管理不同用戶對系統和數據的訪問權限。
• 給予授權的行為需進行明確記錄，以便追溯、調查和審計使用者對系統和數據的操作。

Authentication與Authorization的區別：

• 認證是確定用戶身份的過程，而授權是確定用戶是否具有執行特定操作的權限。
• 認證通常是使用用戶名和密碼等數據進行驗證，而授權通常涉及設定用戶對特定資源的訪問權限。
• 兩者相互獨立且相互補充，有效的身份驗證和授權措施是實現安全和保障數據完整性和機密性所必需的。

知識測驗

1. 什麼是身份驗證（Authentication）和授權（Authorization）的主要區別？

答案：身份驗證是確定用戶身份的過程，而授權是確定用戶能夠訪問哪些操作或資源的過程。

2. 說明單層驗證（Single-factor Authentication）和雙因子驗證（Two-factor Authentication）的區別？

答案：單層驗證是指通過一種方式驗證用戶身份，例如使用帳號和密碼。而雙因子驗證則需要用戶通過兩種驗證方式，例如使用帳號和密碼，再加上一次性密碼或指紋掃瞄等方式。

3. 描述OAuth 2.0協議的授權流程？

答案：OAuth 2.0授權流程的第一步是用戶請求授權，此時系統會提示用戶登錄。用戶登錄後，會以輸入的帳號和密碼向系統發送請求，要求授權。系統會檢查用戶的權限，如果用戶有權限，系統會向用戶發送授權碼。 用戶通過授權碼向系統發送授權請求，系統將對用戶進行身份驗證，並得出授權結果。如果驗證通過，系統會向用戶發送access token，用戶就可以通過access token訪問需要授權的API。

4. 描述OpenID Connect協議的驗證流程？

答案：OpenID Connect驗證流程的第一步是用戶通過瀏覽器到註冊公司的登錄頁面，用戶輸入自己的帳號和密碼後，提交登錄信息。註冊公司向用戶發送ID token。用戶將ID token發送給第三方系統，系統將對ID token進行驗證，以確定用戶身份。如果驗證成功，系統就可以通過ID token獲取用戶信息。

5. 什麼是JSON Web Token（JWT）？它如何實現身份驗證和授權？

答案：JSON Web Token（JWT）是一種Web標準，可用於安全地傳輸信息。JWT通過使用一個加密的Token，訪問者才能夠進入需要身份驗證和授權的網頁。JWT被廣泛應用於網絡身份驗證，並且易於在前端和後端之間傳輸。JWT包含一個Header、Payload和Signature。Header包含Token的類型和使用的加密方法。Payload包括指定的聲明，例如用戶的ID和有效期。 Signature是一個數字簽名，用於驗證Token的完整性。使用JWT來實現身份驗證和授權可通過驗證Token中的聲明和有效期來確定用戶身份和權限。