Memahami Authentication dan Authorization

Sebelum anda melangkah lebih jauh kedalam dunia security, ada baiknya terlebih dulu anda memahami apa itu authentication dan authorization karena semua proses security berpusat pada kedua hal itu.

Banyak orang yang masih bingung, mengira bahwa authentication sama dengan authorization, padahal keduanya sangat berbeda.

Mengutip pernyataan Mas Rizki Wicaksono dari salah satu websitenya yang menyebutkan bahwa "salah satu tujuan dari security adalah menjamin agar resource hanya boleh diakses oleh orang yang berhak dan orang yang berhak itu bisa mengakses resource tanpa halangan". Karenanya penyedia layanan membutuhkan kedua hal di atas supaya dapat memberikan layanannya kepada pengguna yang sah dengan tepat.

Authentication: Proof That You Are Who You Claim to Be

Sebelum memberikan layanannya kepada pengguna, penyedia layanan perlu tahu siapa anda. Apakah benar anda adalah orang yang anda klaim sebagai anda. Misal, saat anda mengaku sebagai Julian Assange pemilik Wikileaks, maka anda harus bisa membuktikan bahwa anda benar-benar Julian. Proses pembuktian inilah yang disebut authentication. Apabila authentication berhasil, maka akan terjalin hubungan yang trust antara pengguna dengan pemberi layanan.

Salah satu bukti yang diterima berupa informasi rahasia. Dengan asumsi, tidak ada orang lain yang mengetahui informasi rahasia tersebut kecuali Julian, maka jika ada orang yang dapat menyebutkan informasi rahasia tersebut akan dianaggap sebagai Julian.

Bukti lain yang dapat diterima adalah sesuatu yang unik, dimana sesuatu tersebut hanya dimiliki oleh satu orang saja di seluruh dunia. Logikanya apabila seseorang membawa sesuatu yang hanya mungkin dimiliki oleh Julian, maka saya yakin bahwa dian benar-benar Julian.

Metode authentication berdasarkan kerahasiaan informasi:

• Password/PIN: Hanya pemiliknya yang tahu password/PIN
• Digital Certificate: Berbasis pada asymmetric criptography yang mengandung informasi rahasia berupa private key.
• Private Key: Hanya pemiliknya yang tahu private key, sedangkan orang lain hanya tahu public key.

Metode authentication berdasarkan keunikan:

• Retina: Tidak mungkin ada 2 orang yang memiliki pola retina yang sama.
• Fingerprint/Sidik Jari: Tidak mungkin ada 2 orang yang memiliki sidik jari yang sama.
• Paspor: Hanya pemiliknya yang bisa menunjukan foto di paspor sesuai dengan wajahnya.
• Tanda Tangan: Hanya pemiliknya yang bisa menuliskan tanda tangan dengan sempurna.

Setelah proses authentikasi berhasil, penyedia layanan baru akan memberikan layanan kepada pengguna tergantung dari proses authorization.

Authorization: What Are You Allowed to Do

Authorization merupakan proses menentukan layanan apa saja yang diperbolehkan untuk bisa digunakan oleh pengguna yang sudah jelas identitasnya (authenticated user). Jadi sebelum memasuki authorization, pengguna harus melalui proses authentication. Identitas yang dibuktikan pada pross sebelumnya (authentication), pada proses authorization akan dijadikan sebagai dasar pemberian layanan apa saja yang berhak anda nikmati.

Jadi kesimpulanya, tanpa adanya proses authenticaton yang sah/disetujui, tidak akan ada proses authorization. Setelah authentication berhasil, akan terjadi hubungan yang trust antara pengguna (client) dengan penyedia layanan (server) sehingga client cukup satu kali saja melakukan authentication sampai client logout/keluar, Selanjutnya setiap ada request dari client, server akan menghubungi system authorization untuk menentukan apakah client tersebut berhak atas request yang diminta.

Untuk lebih memahami apa yang terjadi dalam kedua proses tersebut, artikel lainya yang terkait adalah: Memahami Cookies

Terima kasih