Авторизация — процесс проверки подлинности¶

Авторизация (от лат. auctor — «основатель, поручитель») — процедура проверки подлинности субъекта (пользователя, процесса, устройства) и предоставления ему прав доступа к ресурсу. В повседневной речи глагол «авторизоваться» означает пройти процедуру входа в систему — подтвердить, что вы тот, за кого себя выдаёте, после чего система откроет доступ к личным данным, функциям или сервису.

¶Отличие от аутентификации

Часто путают два близких понятия:

• Аутентификация — подтверждение личности («вы тот, за кого себя выдаёте»). Например, ввод логина и пароля.
• Авторизация — определение и выдача прав («что вам разрешено делать»). Например, доступ к разделу «Админ-панель» только для роли «администратор».

На практике эти этапы идут последовательно: сначала аутентификация, затем авторизация. В обиходе и в интерфейсах сайтов слово «авторизация» часто используется в более широком смысле — как обозначение всего процесса входа в аккаунт.

¶Способы авторизации

¶По знанию

• Логин и пароль — классический способ, основанный на знании секретной информации.
• PIN-код — короткий код для банковских карт, мобильных устройств и приложений.
• Контрольные вопросы — «кличка вашего первого питомца?» и подобные.

¶По владению объектом

• Смс-код — разовый код, отправляемый на привязанный номер телефона.
• Токен или ключ доступа — физическое устройство (например, USB-ключ) или программный токен.
• Смарт-карта — карта с чипом, считываемая специальным устройством.

¶По биометрии

• Отпечаток пальца — сканирование папиллярных линий на смартфоне или ноутбуке.
• Распознавание лица — анализ геометрии лица (Face ID и аналоги).
• Сканирование радужной оболочки — наиболее точный, но менее распространённый метод.
• Голос — анализ тембра и речевых особенностей.

¶Многофакторная аутентификация (MFA)

Комбинация двух и более факторов из разных категорий: что-то знаете (пароль), чем-то владеете (телефон), что-то из вас (отпечаток). MFA существенно повышает безопасность: утечка пароля сама по себе не даёт злоумышленнику доступа.

¶Протоколы и технологии

¶Базовая аутентификация HTTP

Простейший механизм веб-авторизации: браузер отправляет заголовок Authorization: Basic base64(логин:пароль). Пароль передаётся в открытом виде, поэтому способ применяется только поверх HTTPS и в основном для служебных интерфейсов.

¶Cookie и сессии

После успешного входа сервер создаёт идентификатор сессии и передаёт его браузеру в cookie. Дальше браузер автоматически прикладывает этот идентификатор к каждому запросу — пользователю не нужно вводить пароль заново.

¶OAuth 2.0

Протокол делегированной авторизации. Позволяет третьему сервису получить ограниченный доступ к аккаунту на другом сервисе без передачи пароля. Именно на нём построена кнопка «Войти через Google/ВКонтакте/Яндекс».

¶OpenID Connect

Надстройка над OAuth 2.0, добавляющая стандартный слой аутентификации: сервис получает не только токен доступа, но и подтверждённые данные о пользователе (идентификатор, email, имя).

¶SAML и корпоративные решения

Протокол SAML используется для единого входа (SSO) в корпоративные системы: один аккаунт открывает доступ ко множеству внутренних сервисов — почте, CRM, документообороту.

¶JWT (JSON Web Token)

Формат токенов, содержащий подписанные данные о пользователе и его правах. Популярен в веб-приложениях и API: сервер не хранит состояние сессии, а проверяет подпись токена.

¶Авторизация в операционных системах

В Windows, macOS и Linux вход в систему — тоже процесс аутентификации и авторизации. Пользователь вводит пароль, система проверяет его и выдаёт сеанс с определёнными правами: доступ к файлам, возможность устанавливать программы, права администратора. В Linux разграничение прав развито сильнее: даже root-доступ рекомендуется получать через sudo, а не постоянной работой под суперпользователем.

¶Типичные проблемы

• Забытый пароль — решается процедурой восстановления через email или смс.
• Брутфорс — перебор паролей автоматизированными инструментами; защита — блокировка после неудачных попыток, капча, MFA.
• Фишинг — поддельная страница входа, имитирующая настоящий сервис, для кражи учётных данных.
• Утечки баз паролей — рекомендация по безопасности: использовать уникальные пароли для каждого сервиса и менеджер паролей.

¶История термина

В философии и теологии слово «авторизация» означало «признание авторитета» — подтверждение подлинности текста или учения. В информатике термин закрепился с развитием многопользовательских систем в 1960-х годах: сначала в мейнфреймах IBM, затем в локальных сетях и вебе.

¶Источники

• ГОСТ Р ИСО/МЭК 27000-2021 «Информационная технология. Системы управления безопасностью информации»
• RFC 7235 — Hypertext Transfer Protocol (HTTP/1.1): Authentication
• RFC 6749 — The OAuth 2.0 Authorization Framework
• Справочник IETF по протоколам аутентификации