Glossario
Autenticazione
Il processo con cui un sistema verifica, con un certo livello di garanzia, l'identità dichiarata da un soggetto.
Conosciuto anche come Authentication, AuthN
Approfondimento
Nel contesto Architecture Coffee
L'autenticazione risponde alla domanda «chi sta cercando di operare?». In un'applicazione verifica che il soggetto controlli gli strumenti di autenticazione associati all'account dichiarato; non coincide necessariamente con l'accertamento dell'identità anagrafica della persona. La garanzia dipende dal meccanismo utilizzato e dalle sue proprietà, non dal semplice fatto che un login sia riuscito. Va distinta dall'autorizzazione, che stabilisce quali azioni quel soggetto può eseguire su specifiche risorse. Un'autenticazione più forte non assegna automaticamente maggiori permessi. Esempio ipotetico: un'operatrice accede tramite Single Sign-On al portale rimborsi. Il sistema ha verificato la sua identità, ma deve ancora decidere se può rimborsare quello specifico ordine. Il login non dimostra che l'ordine appartenga al suo perimetro societario. Conseguenza architetturale: il componente che verifica l'identità deve fornire un contesto attendibile ai componenti che decidono e applicano i permessi. Separare queste responsabilità non richiede necessariamente servizi separati. Riferimenti: NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management — https://pages.nist.gov/800-63-4/sp800-63b.html ; OWASP, Authorization Cheat Sheet — https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html
Tag