Cad é an difríochtaí idir fianúsúchán agus údarúchán?

Question

Accepted Answer

**Fianúsúchán** a fhíoraítear **cé hiad thú** (aitheantóireacht), agus **údarúchán** a chinnítear **cad a bhíonn ceadaithe duit a dhéanamh** (ceadanna). Tá siad ar leith ach gaolmhar — tagann fianúsúchán ar dtús (aitheantóireacht a chruthú), ansin údarúchán (ceadanna a sheiceáil). Is botún coitianta a bheith á dtoiltí.

## Fianúsúchán — cé hiad thú?

```text
AUTHENTICATION (AuthN) verifies IDENTITY — confirming you are who you claim to be:
  → login with credentials (password), tokens, biometrics, multi-factor (MFA)
  → "Prove you are Ann" → the system confirms your identity
→ answers: WHO are you?
```

## Údarúchán — cad is féidir leat a dhéanamh?

```text
AUTHORIZATION (AuthZ) determines PERMISSIONS — what an authenticated user is allowed to do:
  → can this user access this resource? perform this action? (roles, permissions)
  → "Ann is authenticated, but is she allowed to delete this record?"
→ answers: what are you ALLOWED to do?
```

## An gaol agus an t-ord

```text
1. AUTHENTICATION first → establish WHO you are (log in)
2. AUTHORIZATION next → check what you're ALLOWED to do (per request/action)
→ You must be authenticated before authorization is meaningful (know who, then what they can do).
→ Both are needed: authenticated but unauthorized (logged in, but can't do X) is common.
```

## Botúin choitianta

```text
⚠️ Confusing the two (they're different concerns)
⚠️ BROKEN ACCESS CONTROL (authorization flaws) → a TOP vulnerability (OWASP #1):
   → not checking authorization properly → users access/modify what they shouldn't
   → e.g. changing an ID in a URL to access another user's data (IDOR)
→ Always enforce authorization on the SERVER for every protected action.
```

## Cén fáth a bhfuil sé tábhachtach

Tá tuiscint ar an difríochtaí idir fianúsúchán agus údarúchán bunúsach toisc gur **coincheapa sábháilteachta lárnach iad a bhíonn ionad in smacht rochtana**, agus is botún coitianta agus tromchúiseach a bheith á dtoiltí, mar sin is eolas sábháilteachta riachtanach a bhíonn ann.

Tá an idirdhealú — **fianúsúchán a fhíoraítear cé hiad thú** (aitheantóireacht, trí logáil isteach/réamhfhocal/MFA) agus **údarúchán a chinnítear cad is féidir leat a dhéanamh** (ceadanna, rochtain ar acmhainní agus gníomhartha a sheiceáil) — bunúsach do conas a bhíonn rialacha ag feidhmchláir ar rochtain, agus is gá go raibh tuiscint shoiléir orthu chun córais dhíonraice a thógáil.

Tá an **gaol agus an t-ord** (fianúsúchán ar dtús chun aitheantóireacht a bhunú, ansin údarúchán chun ceadanna a sheiceáil in aghaidh gníomhairt, agus tá gá do dhá — is féidir le húsáideoir fianúsaithe a bheith gan údarúchán i gcomhair gníomhartha ar leith) a léiríonn conas a oibríonn siad le chéile i smacht rochtana.

Go criticiúil, tá tuiscint ar an **bhótúin choitianta** tábhachtach: na dhá choincheap a dhiúltú, agus go háirithe **smacht rochtana briste** (locht údarúchán — #1 baol OWASP) áit nach ndéantar údarúchán go cuí a sheiceáil, rud a ligeann do úsáideoirí rochtain a fháil ar chúrsaí nó iad a mhodhnú nach gceart (mar an leochaileacht IDOR athrú ID i URL chun sonraí úsáideora eile a rochtain).

Tá an treoir a **bhíonn feidhm i gcónaí ar údarúchán ar an bhfreastalaí i ngach gníomhairt dhídlite** riachtanach do dhraíochta sábháilteachta — baol fíor choitianta is ea theip ar údarúchán a sheiceáil go cuí, nó a bheith ag brath ar an chlient chun feidhm a bhaint aisti.

Ó tharla gur bunúsach atá smacht rochtana (fianúsúchán + údarúchán) do shábháilteacht na bhfeidhmchlár agus gur tugann mearbhall nó droch-láimhseáil ar na coincheapa seo leochaileachtaí tromchúiseacha (go háirithe smacht rochtana briste, an baol barr), agus ó tharla gur riachtanach atá tuiscint ar an idirdhealú, ar a n-ord, agus ar na botúin choitianta údarúchán chun córais dhíonraice a thógáil, is eolas sábháilteachta riachtanach agus bhunúsach atá ann fianúsúchán i gcoinne údarúchán — coincheapa lárnach do smacht rochtana a gcaithfidh gach forbróir tuiscint soiléir a bheith acu, bunúsach do bhreiseadh feidhmchlár slán agus do sheachaint na leochaileachtaí smachta rochtana briste atá i measc na lochtanna sábháilteachta is coitianta agus is tromchúiseach.