அங்கீகாரம் (Authentication) மற்றும் அதिकார நிர্ணயம் (Authorization) இடையே உள்ள வேறுபாடு என்ன?

Question

Accepted Answer

**அங்கீகாரம்** உங்கள் **அடையாளத்தை சரிபார்க்கிறது** (身份), அதே சமயம் **அதिकार நிர்ணயம்** **நீங்கள் என்ன செய்ய அனுமதிக்கப்பட்டுள்ளீர்கள்** என்பதை நির்ణயிக்கிறது (அனுமதிகள்). இவை வெவ்வேறு ஆனால் தொடர்புடைய கருத்துக்கள் — அங்கீகாரம் முதலில் வருகிறது (அடையாளத்தை நிரூபிக்கவும்), பின்னர் அதिकार நிர்ணயம் (அனுமதிகளைச் சரிபார்க்கவும்). அவற்றை குழப்புவது ஒரு பொதுவான தவறு.

## அங்கீகாரம் — நீங்கள் யார்?

```text
AUTHENTICATION (AuthN) verifies IDENTITY — confirming you are who you claim to be:
  → login with credentials (password), tokens, biometrics, multi-factor (MFA)
  → "Prove you are Ann" → the system confirms your identity
→ answers: WHO are you?
```

## அதिकार நிர்ணயம் — நீங்கள் என்ன செய்யலாம்?

```text
AUTHORIZATION (AuthZ) determines PERMISSIONS — what an authenticated user is allowed to do:
  → can this user access this resource? perform this action? (roles, permissions)
  → "Ann is authenticated, but is she allowed to delete this record?"
→ answers: what are you ALLOWED to do?
```

## உறவு மற்றும் வரிசை

```text
1. AUTHENTICATION first → establish WHO you are (log in)
2. AUTHORIZATION next → check what you're ALLOWED to do (per request/action)
→ You must be authenticated before authorization is meaningful (know who, then what they can do).
→ Both are needed: authenticated but unauthorized (logged in, but can't do X) is common.
```

## பொதுவான தவறுகள்

```text
⚠️ Confusing the two (they're different concerns)
⚠️ BROKEN ACCESS CONTROL (authorization flaws) → a TOP vulnerability (OWASP #1):
   → not checking authorization properly → users access/modify what they shouldn't
   → e.g. changing an ID in a URL to access another user's data (IDOR)
→ Always enforce authorization on the SERVER for every protected action.
```

## இது ஏன் முக்கியமானது

அங்கீகாரம் மற்றும் அதिकार நிர்ணயத்தின் வேறுபாட்டைப் புரிந்துகொள்வது அடிப்படையாக முக்கியம், ஏனெனில் அவை **அணுக நিয়ந்திரணத்திற்கு மத்திய கோர் பாதுகாப்பு கருத்துக்கள்**, மேலும் அவற்றை குழப்புவது ஒரு பொதுவான மற்றும் விளைவுடைய தவறு, எனவே இது அவசியமான பாதுகாப்பு அறிவு.

வேறுபாடு — **அங்கீகாரம் நீங்கள் யார் என்பதை சரிபார்க்கிறது** (அடையாளம், login/credentials/MFA வழியாக) அதே சமயம் **அதिकार நிர்ணயம் நீங்கள் என்ன செய்ய அனுமதிக்கப்பட்டுள்ளீர்கள் என்பதை நির்ணயிக்கிறது** (அனுமதிகள், வளங்கள் மற்றும் செயல்களுக்கான அணுக சரிபார்ப்பு) — பயன்பாடுகள் அணுக எவ்வாறு கட்டுப்படுத்துகின்றன என்பதற்குப் பொதுவாக உள்ளது, மேலும் இதைத் தெளிவாகப் புரிந்துகொள்வது பாதுகாப்பான அமைப்புகளை உருவாக்குவதற்குத் தேவைப்படுகிறது.

**உறவு மற்றும் வரிசை**ஐ புரிந்துகொள்வது (அடையாளத்தை நிலைநிறுத்த முதலில் அங்கீகாரம், பின்னர் ஒவ்வொரு செயல்க்கும் அனுமதிகளைச் சரிபார்க்க அதிகार நிர்ணயம், இரண்டும் தேவை — அங்கீகரிக்கப்பட்ட ব்যবহாரிக்காரர் குறிப்பிட்ட செயல்களுக்கு இன்னும் அங்கீகரிக்கப்படாமல் இருக்கலாம்) அணுக நிய​ன்த்திரணத்தில் அவை எவ்வாறு ஒன்றாக செயல்படுகின்றன என்பதை தெளிவுபடுத்துகிறது.

আপত্திகரமாக, **பொதுவான தவறுகள்**ஐ புரிந்துகொள்வது முக்கியம்: இரண்டு கருத்துக்களை குழப்புவது, மேலும் குறிப்பாக **முறிந்த அணுக நிய​ன்திரணம்** (அதिकार நிர்ணயம் குறைபாடுகள் — OWASP এன் #1 ஆபத்து) இங்கு அதिकார நிர்ணயம் சரியாகச் சரிபார்க்கப்படாது, பயனாளிகளை அவர்கள் செய்ய வேண்டாத விஷயங்களை அணுக அல்லது மாற்ற அனுமதிக்கிறது (URL இல் ஒரு ID மாற்றி மற்றொரு ব்யவহாரிக்காரனின் தரவை அணுக IDOR பாதுகாப்பு போன்றது).

**ஒவ்வொரு பாதுகாக்கப்பட்ட செயல்குக்கும் சர்வ்வரில் அங்கீகாரத்தை நிர்ணயம் செய்யும்** வழிகாட்டல் அத்தியாவசிய பாதுகாப்பு நடைமுறை — ஒரு பொதுவான உண்மையான பாதுகாப்பு சரியாக அங்கீகாரத்தை சரிபார்க்க தோல்வி அல்லது க्लায়েंट இதை நிர్ணயம் செய்ய நம்பியிருப்பது.

அணுக நிয​ன்திரணம் (அங்கீகாரம் + அதिकार நிर्ણयம்) பயன்பாடு பாதுகாப்புக்கு அடிப்படையாக இருப்பதால் மற்றும் இந்த கருத்துக்களை குழப்புவது அல்லது தவறாகக் கையாள்வது தீவிரமான பாதுகாப்பு பாதிப்புகளுக்கு வழிவகுக்கிறது (குறிப்பாக முறிந்த அணுக நிய​ன்திரணம், முக்கிய ஆபத்து), மற்றும் வேறுபாடு, அவற்றின் வரிசை மற்றும் பொதுவான அதిकார நிर्ણयம் தவறுகளைப் புரிந்துகொள்வது பாதுகாப்பான அமைப்புகளை உருவாக்குவதற்குத் தேவையாக இருப்பதால், அங்கீகாரம் எதிராக அதிகார நிர்ணயம் புரிந்துகொள்வது அவசியமான, அடிப்படை பாதுகாப்பு அறிவு — அணுக நிய​ன்திரணத்திற்கான கோர் கருத்துக்கள் ஒவ்வொரு தன்னிச்ச்வேதக் புரிந்துகொள்ள வேண்டும், பாதுகாப்பான பயன்பாடுகளை உருவாக்குவதற்கு மத்திய மற்றும் முறிந்த-அணுக-நிய​ன்திரணம் பாதிப்புகளை தவிர்ப்பதற்கு மிகவும் பொதுவான மற்றும் தீவிரமான பாதுகாப்பு குறைபாடுகளாக இருப்பது.