ਪ੍ਰਮਾਣਿਕਤਾ (authentication) ਅਤੇ ਅਧਿਕਾਰ (authorization) ਵਿਚਕਾਰ ਕੀ ਫਰਕ ਹੈ?

Question

Accepted Answer

**ਪ੍ਰਮਾਣਿਕਤਾ** ਇਹ ਤਸਦੀਕ ਕਰਦੀ ਹੈ ਕਿ **ਤੁਸੀਂ ਕੌਣ ਹੋ** (ਪਛਾਣ), ਜਦੋਂ ਕਿ **ਅਧਿਕਾਰ** ਇਹ ਨਿਰਧਾਰਤ ਕਰਦਾ ਹੈ ਕਿ **ਤੁਸੀਂ ਕੀ ਕਰ ਸਕਦੇ ਹੋ** (ਅਨੁਮਤੀਆਂ)। ਇਹ ਵੱਖ-ਵੱਖ ਪਰ ਸੰਬੰਧਿਤ ਹਨ — ਪ੍ਰਮਾਣਿਕਤਾ ਪਹਿਲੇ ਆਉਂਦੀ ਹੈ (ਪਛਾਣ ਸਾਬਤ ਕਰੋ), ਫਿਰ ਅਧਿਕਾਰ (ਅਨੁਮਤੀਆਂ ਚੈੱਕ ਕਰੋ)। ਇਨ੍ਹਾਂ ਨੂੰ ਗਲਤ ਸਮਝਣਾ ਇਕ ਆਮ ਗਲਤੀ ਹੈ।

## ਪ੍ਰਮਾਣਿਕਤਾ — ਤੁਸੀਂ ਕੌਣ ਹੋ?

```text
AUTHENTICATION (AuthN) verifies IDENTITY — confirming you are who you claim to be:
  → login with credentials (password), tokens, biometrics, multi-factor (MFA)
  → "Prove you are Ann" → the system confirms your identity
→ answers: WHO are you?
```

## ਅਧਿਕਾਰ — ਤੁਸੀਂ ਕੀ ਕਰ ਸਕਦੇ ਹੋ?

```text
AUTHORIZATION (AuthZ) determines PERMISSIONS — what an authenticated user is allowed to do:
  → can this user access this resource? perform this action? (roles, permissions)
  → "Ann is authenticated, but is she allowed to delete this record?"
→ answers: what are you ALLOWED to do?
```

## ਸੰਬੰਧ ਅਤੇ ਕ੍ਰਮ

```text
1. AUTHENTICATION first → establish WHO you are (log in)
2. AUTHORIZATION next → check what you're ALLOWED to do (per request/action)
→ You must be authenticated before authorization is meaningful (know who, then what they can do).
→ Both are needed: authenticated but unauthorized (logged in, but can't do X) is common.
```

## ਆਮ ਗਲਤੀਆਂ

```text
⚠️ Confusing the two (they're different concerns)
⚠️ BROKEN ACCESS CONTROL (authorization flaws) → a TOP vulnerability (OWASP #1):
   → not checking authorization properly → users access/modify what they shouldn't
   → e.g. changing an ID in a URL to access another user's data (IDOR)
→ Always enforce authorization on the SERVER for every protected action.
```

## ਇਹ ਕਿਉਂ ਮਾਹਰਨਾ ਜ਼ਰੂਰੀ ਹੈ

ਪ੍ਰਮਾਣਿਕਤਾ ਅਤੇ ਅਧਿਕਾਰ ਵਿਚਕਾਰ ਫਰਕ ਨੂੰ ਸਮਝਣਾ ਬੁਨਿਆਦੀ ਹੈ ਕਿਉਂਕਿ ਇਹ **ਐਕਸੈਸ ਕੰਟਰੋਲ ਦੇ ਲਈ ਮੁੱਖ ਸੁਰੱਖਿਆ ਸੰਕਲਪ ਹਨ**, ਅਤੇ ਇਨ੍ਹਾਂ ਨੂੰ ਉਲਝਾਉਣਾ ਇਕ ਆਮ, ਗੰਭੀਰ ਗਲਤੀ ਹੈ, ਇਸ ਲਈ ਇਹ ਜ਼ਰੂਰੀ ਸੁਰੱਖਿਆ ਗਿਆਨ ਹੈ।

ਫਰਕ — **ਪ੍ਰਮਾਣਿਕਤਾ ਪਛਾਣ ਸਾਬਤ ਕਰਦੀ ਹੈ** (ਪਛਾਣ, ਲੌਗਇਨ/ਖਦਮਤਾਂ/MFA ਰਾਹੀਂ) ਜਦੋਂ ਕਿ **ਅਧਿਕਾਰ ਨਿਰਧਾਰਤ ਕਰਦਾ ਹੈ ਕਿ ਤੁਸੀਂ ਕੀ ਕਰ ਸਕਦੇ ਹੋ** (ਅਨੁਮਤੀਆਂ, ਸੰਪਨਨਾਂ ਅਤੇ ਕਾਰਜਾਂ ਨੂੰ ਐਕਸੈਸ ਕਰਨਾ ਚੈੱਕ ਕਰਨਾ) — ਐਪਲੀਕੇਸਨਾਂ ਕਿਵੇਂ ਐਕਸੈਸ ਕੰਟਰੋਲ ਕਰਦੀਆਂ ਹਨ ਇਸ ਲਈ ਬੁਨਿਆਦੀ ਹੈ, ਅਤੇ ਇਸ ਨੂੰ ਸਪਸ਼ਟ ਤਰਫ ਸਮਝਣਾ ਸੁਰੱਖਿਆ ਸਿਸਟਮਾਂ ਬਣਾਉਣ ਲਈ ਜ਼ਰੂਰੀ ਹੈ।

**ਸੰਬੰਧ ਅਤੇ ਕ੍ਰਮ** ਨੂੰ ਸਮਝਣਾ (ਪਹਿਲਾਂ ਪ੍ਰਮਾਣਿਕਤਾ ਪਛਾਣ ਸਥਾਪਤ ਕਰਨ ਲਈ, ਫਿਰ ਅਧਿਕਾਰ ਹਰ ਕਾਰਜ ਲਈ ਅਨੁਮਤੀਆਂ ਚੈੱਕ ਕਰਨਾ, ਦੋਵੇਂ ਜ਼ਰੂਰੀ ਹਨ — ਪ੍ਰਮਾਣਿਕ ਯੂਜ਼ਰ ਖਾਸ ਕਾਰਜਾਂ ਲਈ ਅਜਿਹਾ ਵੀ ਬਣ ਸਕਦਾ ਹੈ) ਇਹ ਸਪਸ਼ਟ ਕਰਦਾ ਹੈ ਕਿ ਉਹ ਐਕਸੈਸ ਕੰਟਰੋਲ ਵਿੱਚ ਕਿਵੇਂ ਕਾਰ ਕਰਦੇ ਹਨ।

ਗਲਭਰੇ, **ਆਮ ਗਲਤੀਆਂ** ਨੂੰ ਸਮਝਣਾ ਮਹੱਤਵਪੂਰਨ ਹੈ: ਦੋਨਾਂ ਸੰਕਲਪਾਂ ਨੂੰ ਉਲਝਾਉਣਾ, ਅਤੇ ਖਾਸ ਤੌਰ ਤੇ **ਟੁੱਟਿਆ ਹੋਇਆ ਐਕਸੈਸ ਕੰਟਰੋਲ** (ਅਧਿਕਾਰ ਵਿੱਚ ਖਰਾਬੀਆਂ — OWASP ਦਾ #1 ਖਤਰਾ) ਜਿੱਥੇ ਅਧਿਕਾਰ ਸਹੀ ਤਰਫ ਚੈੱਕ ਨਹੀਂ ਹੁੰਦਾ, ਯੂਜ਼ਰਜ਼ ਨੂੰ ਇੱਥੇ ਕੁਝ ਵਿਆਪਿਤ ਕਰਨ ਜਾਂ ਸੰਸੋਧਿਤ ਕਰਨ ਦਿੰਦਾ ਹੈ (IDOR ਆਕਸ਼ਿਪਤਾ ਵਰਗੇ URL ਵਿੱਚ ID ਨੂੰ ਬਦਲ ਕੇ ਕੇ ਦੂਜੇ ਯੂਜ਼ਰ ਦਾ ਡੇਟਾ ਐਕਸੈਸ ਕਰਨ ਲਈ)।

**ਹਮੇਸ਼ਾ ਸਰਵਰ 'ਤੇ ਹਰ ਸੁਰੱਖਿਆ ਵਾਲੇ ਕਾਰਜ ਲਈ ਅਧਿਕਾਰ ਲਾਗੂ ਕਰੋ** ਦੀ ਗਾਈਡੈਂਸ ਜ਼ਰੂਰੀ ਸੁਰੱਖਿਆ ਅਭਿਆਸ ਹੈ — ਇਕ ਆਮ ਅਸਲ ਖਾਮੀ ਸਹੀ ਤਰਫ ਅਧਿਕਾਰ ਚੈੱਕ ਨਾ ਕਰਨਾ, ਜਾਂ ਇਸ ਨੂੰ ਲਾਗੂ ਕਰਨ ਲਈ ਮਲ 'ਤੇ ਭਰੋਸਾ ਕਰਨਾ ਹੈ।

ਕਿਉਂਕਿ ਐਕਸੈਸ ਕੰਟਰੋਲ (ਪ੍ਰਮਾਣਿਕਤਾ + ਅਧਿਕਾਰ) ਐਪਲੀਕੇਸਨ ਸੁਰੱਖਿਆ ਲਈ ਬੁਨਿਆਦੀ ਹੈ ਅਤੇ ਇਨ੍ਹਾਂ ਸੰਕਲਪਾਂ ਨੂੰ ਉਲਝਾਉਣਾ ਜਾਂ ਗਲਤ ਸੰਭਾਲਣਾ ਗਂਭੀਰ ਖਾਮੀਆਂ (ਖਾਸ ਤੌਰ ਤੇ ਟੁੱਟਿਆ ਹੋਇਆ ਐਕਸੈਸ ਕੰਟਰੋਲ, ਸਭ ਤੋਂ ਪ੍ਰਮੁੱਖ ਜੋਖਮ) ਦਾ ਕਾਰਣ ਬਣਦਾ ਹੈ, ਅਤੇ ਕਿਉਂਕਿ ਫਰਕ, ਉਹਨਾਂ ਦਾ ਕ੍ਰਮ, ਅਤੇ ਆਮ ਅਧਿਕਾਰ ਗਲਤੀਆਂ ਸਮਝਣਾ ਸੁਰੱਖਿਆ ਸਿਸਟਮਾਂ ਬਣਾਉਣ ਲਈ ਜ਼ਰੂਰੀ ਹੈ, ਪ੍ਰਮਾਣਿਕਤਾ ਬਨਾਮ ਅਧਿਕਾਰ ਨੂੰ ਸਮਝਣਾ ਜ਼ਰੂਰੀ, ਬੁਨਿਆਦੀ ਸੁਰੱਖਿਆ ਗਿਆਨ ਹੈ — ਐਕਸੈਸ ਕੰਟਰੋਲ ਲਈ ਮੁੱਖ ਸੰਕਲਪ ਜੋ ਹਰ ਡਿਵੈਲਪਰ ਨੂੰ ਸਪਸ਼ਟ ਤਰਫ ਸਮਝਣਾ ਲਾਜ਼ਮੀ ਹੈ, ਸੁਰੱਖਿਆ ਐਪਲੀਕੇਸਨਾਂ ਬਣਾਉਣ ਲਈ ਅਤੇ ਟੁੱਟਿਆ-ਐਕਸੈਸ-ਕੰਟਰੋਲ ਖਾਮੀਆਂ ਤੋਂ ਬਚਣ ਲਈ ਜੋ ਸਭ ਤੋਂ ਆਮ ਅਤੇ ਗੰਭੀਰ ਸੁਰੱਖਿਆ ਖਾਮੀਆਂ ਹਨ।