प्रमाणीकरण (authentication) र अनुमति (authorization) बीच के फरक छ?

Question

Accepted Answer

**प्रमाणीकरण** तपाईंलाई **कौन हो** भनी सत्यापन गर्दछ (पहिचान), जबकि **अनुमति** तपाईंलाई **के गर्न पाउनु हुन्छ** भनी निर्धारण गर्दछ (अनुमतिहरु)। तिनीहरु फरक छन् तर सम्बन्धित छन् — प्रमाणीकरण पहिले आउँछ (पहिचान सिद्ध गर्नु), त्यसपछि अनुमति (अनुमतिहरु जाँच गर्नु)। तिनीहरुलाई भ्रमित गर्नु एक सामान्य गल्ति हो।

## प्रमाणीकरण — तपाई कौन हुनुहुन्छ?

```text
AUTHENTICATION (AuthN) verifies IDENTITY — confirming you are who you claim to be:
  → login with credentials (password), tokens, biometrics, multi-factor (MFA)
  → "Prove you are Ann" → the system confirms your identity
→ answers: WHO are you?
```

## अनुमति — तपाई के गर्न सक्नुहुन्छ?

```text
AUTHORIZATION (AuthZ) determines PERMISSIONS — what an authenticated user is allowed to do:
  → can this user access this resource? perform this action? (roles, permissions)
  → "Ann is authenticated, but is she allowed to delete this record?"
→ answers: what are you ALLOWED to do?
```

## सम्बन्ध र क्रम

```text
1. AUTHENTICATION first → establish WHO you are (log in)
2. AUTHORIZATION next → check what you're ALLOWED to do (per request/action)
→ You must be authenticated before authorization is meaningful (know who, then what they can do).
→ Both are needed: authenticated but unauthorized (logged in, but can't do X) is common.
```

## सामान्य गल्तिहरु

```text
⚠️ Confusing the two (they're different concerns)
⚠️ BROKEN ACCESS CONTROL (authorization flaws) → a TOP vulnerability (OWASP #1):
   → not checking authorization properly → users access/modify what they shouldn't
   → e.g. changing an ID in a URL to access another user's data (IDOR)
→ Always enforce authorization on the SERVER for every protected action.
```

## किन यो महत्त्वपूर्ण छ

प्रमाणीकरण र अनुमति बीचको फरक बुझ्नु मौलिक छ किनभने तिनीहरु **पहुँच नियन्त्रणको केन्द्रीय सुरक्षा अवधारणा** हुन्, र तिनीहरुलाई भ्रमित गर्नु एक सामान्य, परिणामस्वरुप गल्ति हो, त्यसैले यो आवश्यक सुरक्षा ज्ञान हो।

भेद — **प्रमाणीकरण तपाई कौन हो भनी सत्यापन गर्दछ** (पहिचान, लगइन/प्रमाणपत्र/MFA मार्फत) जबकि **अनुमति तपाई के गर्न पाउनु हुन्छ भनी निर्धारण गर्दछ** (अनुमतिहरु, स्रोत र कार्यहरुमा पहुँच जाँच गर्दै) — अनुप्रयोगहरु कसरी पहुँच नियन्त्रण गर्दछन् भन्न मौलिक हो, र यो स्पष्ट रुपमा बुझ्नु सुरक्षित प्रणाली निर्माणको लागि आवश्यक छ।

**सम्बन्ध र क्रम** बुझ्नु (प्रमाणीकरण पहिले पहिचान स्थापित गर्न, त्यसपछि प्रति कार्य अनुमति जाँच गर्न, दुवै आवश्यक हुन — प्रमाणीकृत प्रयोगकर्ता अझै पनि विशेष कार्यहरुको लागि अनुमतिविहीन हुन सक्छ) पहुँच नियन्त्रणमा तिनीहरु कसरी एकसाथ काम गर्दछन् भनी स्पष्ट गर्दछ।

गम्भीरतापूर्वक, **सामान्य गल्तिहरु** बुझ्नु महत्त्वपूर्ण छ: दुई अवधारणालाई भ्रमित गर्नु, र विशेषतः **टुटेको पहुँच नियन्त्रण** (अनुमति त्रुटिहरु — OWASP को #1 जोखिम) जहाँ अनुमति सही रुपमा जाँच गरिँदैन, प्रयोगकर्ताहरुलाई अनुमति नगरेको कुरामा पहुँच वा परिमार्जन गर्न दिन्छ (IDOR असुरक्षा जस्तो अर्को प्रयोगकर्ताको डेटामा पहुँच गर्न URL मा ID परिवर्तन गर्नु)।

**सुरक्षित कार्यको लागि सर्भरमा हर पहुँच गरिएको कार्यको लागि अनुमति हमेशै लागु गर्नु** को निर्देशन आवश्यक सुरक्षा अभ्यास हो — एक सामान्य वास्तविक असुरक्षा सही रुपमा अनुमति जाँच गर्न असफल हुनु, वा यसलाई लागु गर्न ग्राहकमा निर्भर हुनु हो।

पहुँच नियन्त्रण (प्रमाणीकरण + अनुमति) अनुप्रयोग सुरक्षाको लागि मौलिक हो र यी अवधारणाहरुलाई भ्रमित वा गलतरुपमा सञ्चालन गर्नु गम्भीर असुरक्षाहरु (विशेषतः टुटेको पहुँच नियन्त्रण, शीर्ष जोखिम), र भेद, क्रम, र सामान्य अनुमति गल्तिहरु बुझ्नु सुरक्षित प्रणाली निर्माणको लागि आवश्यक हो, प्रमाणीकरण बनाम अनुमति बुझ्नु आवश्यक, मौलिक सुरक्षा ज्ञान हो — पहुँच नियन्त्रणको लागि मौलिक अवधारणा जो हरेक विकासकर्ताले स्पष्ट रुपमा बुझ्नु पर्छ, सुरक्षित अनुप्रयोग निर्माणको लागि केन्द्रीय र सबैभन्दा सामान्य र गम्भीर सुरक्षा त्रुटिहरु हुन् भन्ने टुटेको-पहुँच-नियन्त्रण असुरक्षाहरु बचाउनको लागि।