Hvad er forskellen mellem autentificering og autorisering?

Question

Accepted Answer

**Autentificering** bekræfter **hvem du er** (identitet), mens **autorisering** bestemmer **hvad du må gøre** (tilladelser). De er adskilte men relaterede — autentificering kommer først (bevis identitet), derefter autorisering (tjek tilladelser). At forveksle dem er en almindelig fejl.

## Autentificering — hvem er du?

```text
AUTHENTICATION (AuthN) verifies IDENTITY — confirming you are who you claim to be:
  → login with credentials (password), tokens, biometrics, multi-factor (MFA)
  → "Prove you are Ann" → the system confirms your identity
→ answers: WHO are you?
```

## Autorisering — hvad må du gøre?

```text
AUTHORIZATION (AuthZ) determines PERMISSIONS — what an authenticated user is allowed to do:
  → can this user access this resource? perform this action? (roles, permissions)
  → "Ann is authenticated, but is she allowed to delete this record?"
→ answers: what are you ALLOWED to do?
```

## Forholdet og rækkefølgen

```text
1. AUTHENTICATION first → establish WHO you are (log in)
2. AUTHORIZATION next → check what you're ALLOWED to do (per request/action)
→ You must be authenticated before authorization is meaningful (know who, then what they can do).
→ Both are needed: authenticated but unauthorized (logged in, but can't do X) is common.
```

## Almindelige fejl

```text
⚠️ Confusing the two (they're different concerns)
⚠️ BROKEN ACCESS CONTROL (authorization flaws) → a TOP vulnerability (OWASP #1):
   → not checking authorization properly → users access/modify what they shouldn't
   → e.g. changing an ID in a URL to access another user's data (IDOR)
→ Always enforce authorization on the SERVER for every protected action.
```

## Hvorfor det betyder noget

At forstå forskellen mellem autentificering og autorisering er fundamental, fordi de er **kernesikkerhedskoncepter, der er centrale for adgangskontrol**, og at forveksle dem er en almindelig, alvorlig fejl, så det er vigtig sikkerhedsviden.

Skelnen — **autentificering bekræfter hvem du er** (identitet, via login/legitimationsoplysninger/MFA) mens **autorisering bestemmer hvad du må gøre** (tilladelser, tjek adgang til ressourcer og handlinger) — er fundamental for hvordan applikationer kontrollerer adgang, og at forstå det klart er nødvendigt for at bygge sikre systemer.

At forstå **forholdet og rækkefølgen** (autentificering først for at etablere identitet, derefter autorisering for at tjekke tilladelser pr. handling, hvor begge er nødvendige — en autentificeret bruger kan stadig være uautoriseret til specifikke handlinger) præciserer hvordan de arbejder sammen i adgangskontrol.

Kritisk er det vigtigt at forstå de **almindelige fejl**: at forveksle de to koncepter, og især **brudt adgangskontrol** (autoriseringsfejl — OWASPs #1 risiko) hvor autorisering ikke bliver tjekket ordentligt, hvilket lader brugere få adgang til eller ændre hvad de ikke burde (som IDOR-sårbarheden at ændre et ID i en URL for at få adgang til en anden brugers data).

Vejledningen til **altid at håndhæve autorisering på serveren for hver beskyttet handling** er vigtig sikkerhedspraksis — en almindelig reel sårbarhed er at mislykkes med at tjekke autorisering ordentligt, eller at stole på klienten til at håndhæve det.

Da adgangskontrol (autentificering + autorisering) er fundamental for applikationssikkerhed og at forveksle eller mishandle disse koncepter fører til alvorlige sårbarheder (især brudt adgangskontrol, den øverste risiko), og da at forstå skelnen, deres rækkefølge, og de almindelige autoriseringsfejl er vigtig for at bygge sikre systemer, er forståelse af autentificering vs. autorisering vigtig, fundamental sikkerhedsviden — kernekoncepter for adgangskontrol, som hver udvikler må forstå klart, centrale for at bygge sikre applikationer og for at undgå de brudt-adgangskontrol-sårbarheder, der er blandt de mest almindelige og alvorlige sikkerhedsfejl.