Verificatie vergeleken met autorisatie

Wat is gebruikersverificatie?

Verificatie (vaak ook door elkaar gebruikt met authenticatie) is een proces binnen de cyberbeveiliging. Bedrijven gebruiken dit om zich te beschermen tegen ongeoorloofde toegang tot hun systemen. Bij gebruikersverificatie wordt de identiteit van een gebruiker bevestigd, voordat het systeem de gebruiker toegang verleent tot een toepassing, werkstation, tool of VPN. De gebruiker bewijst zijn identiteit door een beveiligingstoken aan te leveren aan de server of client van de dienstverlener.

Soorten verificatiemethoden

1. Tweevoudige verificatie: Vaak ook twee-factor authenticatie of 2FA. Hierbij meldt een gebruiker zich eerst aan met een combinatie van een gebruikersnaam en wachtwoord, of via single sign-on. Vervolgens bevestigt hij die aanmelding met een extra verificatie. Hiervoor worden vaak eenmalige wachtwoorden of codes gebruikt, maar ook sms-berichten, pushberichten op een mobiele telefoon en toegangstokens (bijvoorbeeld met een hardwaresleutel zoals YubiKey).
2. Meervoudige verificatie (MFA): Ook wel multifactor authenticatie of MFA. Dit is hetzelfde principe als tweevoudige verificatie, maar met extra stappen. Het principe blijft hetzelfde, maar de gebruiker moet nu meerdere verificatiemethoden gebruiken. Hij voert bijvoorbeeld een wachtwoord in en bevestigt daarna niet alleen met een code, maar ook met een hardwaresleutel.
3. Biometrische verificatie: Bij biometrische MFA wordt de identiteit van een gebruiker bevestigd op basis van een fysiek kenmerk. In de praktijk betekent dit dat de gebruiker een vingerafdruk of gezichtsscan nodig heeft om toegang te krijgen.
4. Contextuele MFA: Dit is een geavanceerde verificatiemethode, die met contextfactoren werkt om de identiteit van een gebruiker te bevestigen. Het systeem controleert bijvoorbeeld de geolocatie, het IP-adres of tijdgebaseerde factoren. Als het bedrijf bijvoorbeeld weet dat u vanuit Groningen werkt, maar een aanmelding is afkomstig uit Antwerpen, dan verleent het systeem geen toegang.
5. Single sign-on (SSO): Technische gezien is ook SSO een vorm van verificatie. We maken echter onderscheid tussen SSO en MFA omdat het om verschillende processen gaat. Bij SSO werkt de verificatie door een koppeling met een identiteitsprovider (ook wel referentieprovider). De provider stelt de identiteit van een gebruiker vast – meestal via een ID-token, zoals een JSON Web Token (JWT), dat wordt aangemaakt door de identiteitsprovider – en geeft deze door aan de client om de toegang goed te keuren. Omdat de gebruiker al is aangemeld bij de identiteitsprovider (het centrale domein), wordt de identiteit geverifieerd met het ID-token, en verleent het systeem toegang.

Wat is autorisatie?

Verificatie of authenticatie is de sleutel die toegang geeft tot een account, website of tool. Bij autorisatie gaat het om het vastleggen van de verschillende toegangsniveaus, die bepalen of een gebruiker gemachtigd is om gevoelige informatie te bekijken. Cloudopslag is een gedeelde instantie waar de autorisatie wordt geïmplementeerd. Beheerders kunnen de toegang beveiligen en beperken, en bijvoorbeeld instellen welke acties er toegestaan zijn (bijv. alleen lezen, of ook bewerken van documenten).  

Een bekend voorbeeld is OneDrive van Microsoft: een bestandsbeheerder kan bestanden delen met andere gebruikers, maar niet bepalen:

• Wie er toegang heeft tot een document.
• Of het document alleen kan worden gelezen, of ook bewerkt.
• Wie binnen de organisatie bewerkingsrechten kan krijgen.
• Of het document kan worden gedeeld met anderen.
• Of het document kan worden gedeeld in een team, in de organisatie of ook daarbuiten.

De vier types autorisatie

1. Attribute-based Access Control (ABAC): ABAC is het autorisatie van gebruikerstoegang op basis van beleid. Voordat een autorisatie wordt goedgekeurd, controleert het systeem de machtigingen van een gebruiker. Hiervoor wordt vaak de identiteit bevestigd en gekeken welke bron de gebruiker wil openen, welke actie hij wil uitvoeren en in welke omgeving hij toegang aanvraagt. De toegang wordt alleen verleend als de gebruiker aan alle voorwaarden voldoet.
2. Discretionary Access Control (DAC): Bij DAC worden de toegangsrechten van een gebruiker of groep gecontroleerd. DAC is een snelle en veilige manier om gebruikers te autoriseren op basis van hun identiteit of lidmaatschap van een groep.
3. Mandatory Access Control (MAC): MAC kijkt niet naar de identiteit of het groepslidmaatschap van een gebruiker, maar autoriseert gebruikers op het niveau van hun besturingssysteem. MAC bepaalt of verdere toegang tot een systeem wordt verleend om ernstige gegevensinbreuken tegen te gaan.
4. Role-based Access Control (RBAC): Bij RBAC worden de principes van DAC en MAC gecombineerd voor een krachtige autorisatiecontrole. Het configureert de toegang tot bestanden en systemen op basis van de rol en machtigingen van een gebruiker, en beperkt de toegang tot specifieke rollen binnen de organisatie.

In LastPass Business kan toegang tot specifieke items in een kluis of gedeelde mappen worden gebaseerd op kenmerken als afdeling, functie of senioriteit. Financiële documenten zijn dan bijvoorbeeld alleen toegankelijk voor gebruikers van de afdeling financiën, en aanmeldingsgegevens voor beheerders kunnen alleen worden gedeeld met IT-medewerkers.

Verificatie vergeleken met autorisatie

Er zijn allerlei systemen beschikbaar voor verificatie, en ook voor autorisatie. Veel organisaties denken ten onrechte dat ze moeten kiezen tussen verificatie en autorisatie.  

Dat hoeft echter niet: u kunt verificatie van de identiteit combineren met een systeem voor dat de toegangsrechten bepaalt. Bij verificatie wordt in principe alleen maar vastgesteld dat een aanmelding daadwerkelijk afkomstig is van de betreffende gebruiker, en dus niet van een hacker met een gestolen wachtwoord. Bij autorisatie gaat het om de vraag welke systemen, documenten en middelen die gebruiker mag openen, bewerken en gebruiken. De combinatie van deze twee technieken versterkt de verdediging voor alle toegangspunten tot uw organisatie en houdt uw gegevens veilig.

Met LastPass kunt u beleidsregels voor verificatie en autorisatie inzetten om een krachtige oplossing voor identiteitsbeheer te configureren.  

Verifiëren en autoriseren zonder wachtwoorden

Om een goede beveiligingsinfrastructuur te ontwikkelen, moeten beheerders van identiteits- en toegangsbeheer (IAM) begrijpen hoe ze alle verschillende technologieën kunnen inzetten, van MFA en SSO tot aan RBAC. Het lijkt in eerste instantie complex, maar LastPass biedt hiervoor een intelligente, gebruiksvriendelijke oplossing.

• Werk met biometrische en contextuele verificatie om uw bedrijf beter te beschermen.
• Geef medewerkers, thuiswerkers en klanten een gebruiksvriendelijke optie voor verificatie zonder wachtwoorden.
• Verifieer gebruikers probleemloos vanaf alle apparaten, voor soepele workflows en hoge productiviteit.
• Beveilig alle toegangspunten met gebruiksvriendelijke verificatie voor toepassingen in de cloud en on-premises, VPN's en werkstations.
• Zorg dat biometrische gegevens worden versleuteld op apparaatniveau en uitsluitend op het apparaat van de gebruiker blijven, voor betere privacy en beveiliging.
• Werk met verschillende MFA-methoden en maak een configuratie op maat voor toegangscontrole per gebruiker of groep.
• Maak een centrale lijst met fijnmazige beleidsregels voor toegang op gebruikers-, groeps- en organisatieniveau.
• Bespaar tijd en geld met een eenvoudige uitrol, zonder kosten voor externe ondersteuning.
• Automatiseer de inrichting voor gebruikers met gebruikersdirectory’s als Microsoft AD en Microsoft Entra ID, met een eenvoudige configuratie en minimaal dagelijks beheer.
• Werk met verschillende verificatieprotocollen en autorisatiemogelijkheden, passend bij de bedrijfsgrootte, de beveiligingsbehoeften en het budget.