Ποια είναι η διαφορά μεταξύ ταυτοποίησης και εξουσιοδότησης;

Question

Accepted Answer

Η **ταυτοποίηση** επαληθεύει **ποιος είστε** (ταυτότητα), ενώ η **εξουσιοδότηση** καθορίζει **τι σας επιτρέπεται να κάνετε** (δικαιώματα). Είναι ξεχωριστές αλλά σχετικές — η ταυτοποίηση έρχεται πρώτη (αποδεικνύστε την ταυτότητα), στη συνέχεια η εξουσιοδότηση (ελέγξτε τα δικαιώματα). Η σύγχυσή τους είναι ένα συνηθισμένο λάθος.

## Ταυτοποίηση — ποιος είστε;

```text
AUTHENTICATION (AuthN) verifies IDENTITY — confirming you are who you claim to be:
  → login with credentials (password), tokens, biometrics, multi-factor (MFA)
  → "Prove you are Ann" → the system confirms your identity
→ answers: WHO are you?
```

## Εξουσιοδότηση — τι μπορείτε να κάνετε;

```text
AUTHORIZATION (AuthZ) determines PERMISSIONS — what an authenticated user is allowed to do:
  → can this user access this resource? perform this action? (roles, permissions)
  → "Ann is authenticated, but is she allowed to delete this record?"
→ answers: what are you ALLOWED to do?
```

## Η σχέση και η σειρά

```text
1. AUTHENTICATION first → establish WHO you are (log in)
2. AUTHORIZATION next → check what you're ALLOWED to do (per request/action)
→ You must be authenticated before authorization is meaningful (know who, then what they can do).
→ Both are needed: authenticated but unauthorized (logged in, but can't do X) is common.
```

## Συνηθισμένα λάθη

```text
⚠️ Confusing the two (they're different concerns)
⚠️ BROKEN ACCESS CONTROL (authorization flaws) → a TOP vulnerability (OWASP #1):
   → not checking authorization properly → users access/modify what they shouldn't
   → e.g. changing an ID in a URL to access another user's data (IDOR)
→ Always enforce authorization on the SERVER for every protected action.
```

## Γιατί έχει σημασία

Η κατανόηση της διαφοράς μεταξύ ταυτοποίησης και εξουσιοδότησης είναι θεμελιώδης επειδή είναι **βασικές έννοιες ασφάλειας κεντρικές για τον έλεγχο πρόσβασης**, και η σύγχυσή τους είναι ένα συνηθισμένο, σημαντικό λάθος, επομένως είναι απαραίτητη γνώση ασφάλειας.

Η διάκριση — **η ταυτοποίηση επαληθεύει ποιος είστε** (ταυτότητα, μέσω σύνδεσης/διαπιστευτηρίων/MFA) ενώ **η εξουσιοδότηση καθορίζει τι σας επιτρέπεται να κάνετε** (δικαιώματα, έλεγχος πρόσβασης σε πόρους και ενέργειες) — είναι θεμελιώδης για το πώς οι εφαρμογές ελέγχουν την πρόσβαση, και η σαφής κατανόησή της είναι απαραίτητη για την κατασκευή ασφαλών συστημάτων.

Η κατανόηση της **σχέσης και της σειράς** (πρώτα ταυτοποίηση για να δημιουργήσετε ταυτότητα, στη συνέχεια εξουσιοδότηση για να ελέγξετε δικαιώματα ανά ενέργεια, και τα δύο απαιτούνται — ένας ταυτοποιημένος χρήστης μπορεί να είναι μη εξουσιοδοτημένος για συγκεκριμένες ενέργειες) διευκρινίζει πώς συνεργάζονται για τον έλεγχο πρόσβασης.

Καταστατικά, η κατανόηση των **συνηθισμένων λαθών** είναι σημαντική: η σύγχυση των δύο εννοιών, και ειδικά η **κατακερματισμένη έλεγχος πρόσβασης** (ελαττώματα εξουσιοδότησης — #1 κίνδυνος OWASP) όπου η εξουσιοδότηση δεν ελέγχεται σωστά, επιτρέποντας στους χρήστες να έχουν πρόσβαση ή να τροποποιούν αυτά που δεν θα έπρεπε (όπως το ευάλωτο σημείο IDOR της αλλαγής ενός ID σε ένα URL για πρόσβαση στα δεδομένα ενός άλλου χρήστη).

Ο οδηγός για **πάντα να επιβάλλετε εξουσιοδότηση στον διακομιστή για κάθε προστατευμένη ενέργεια** είναι ουσιαστική πρακτική ασφάλειας — ένα συνηθισμένο πραγματικό ευάλωτο σημείο είναι η αποτυχία σωστού ελέγχου εξουσιοδότησης, ή η εξάρτηση από τον πελάτη για να την επιβάλει.

Επειδή ο έλεγχος πρόσβασης (ταυτοποίηση + εξουσιοδότηση) είναι θεμελιώδης για την ασφάλεια εφαρμογών και η σύγχυση ή η κακή διαχείριση αυτών των εννοιών οδηγεί σε σοβαρά ευάλωτα σημεία (ειδικά κατακερματισμένος έλεγχος πρόσβασης, ο κορυφαίος κίνδυνος), και επειδή η κατανόηση της διάκρισης, της τους σειράς, και των συνηθισμένων ελαττωμάτων εξουσιοδότησης είναι ουσιαστική για την κατασκευή ασφαλών συστημάτων, η κατανόηση ταυτοποίησης έναντι εξουσιοδότησης είναι ουσιαστική, θεμελιώδης γνώση ασφάλειας — βασικές έννοιες για τον έλεγχο πρόσβασης που κάθε προγραμματιστής πρέπει να κατανοήσει σαφώς, κεντρικές για την κατασκευή ασφαλών εφαρμογών και για την αποφυγή των ευάλωτων σημείων κατακερματισμένου ελέγχου πρόσβασης που είναι μεταξύ των πιο συνηθισμένων και σοβαρών ελαττωμάτων ασφάλειας.