Het verschil tussen authenticatie en autorisatie is dat authenticatie controleert wie je bent en autorisatie bepaalt wat je daarna mag doen. In deze blog lees je welke methoden en modellen er zijn, waarom het onderscheid belangrijk is voor beveiliging en welke protocollen je tegenkomt.
Hoe werken authenticatie en autorisatie samen?
Het verschil tussen authenticatie en autorisatie is de vraag die ze beantwoorden. Authenticatie controleert wie je bent, autorisatie bepaalt wat je daarna mag. Authenticatie komt altijd eerst: zonder geslaagde login vindt geen autorisatie plaats.
Vergelijk het met een kantoorgebouw. Bij de receptie laat je je identiteitsbewijs zien: dat is authenticatie. Je toegangspas bepaalt daarna op welke verdiepingen je mag komen: dat is autorisatie.
Kenmerk
Authenticatie
Autorisatie
Vraag
Wie ben je?
Wat mag je?
Moment
Eerst, bij het inloggen
Daarna, bij elke actie
Gebaseerd op
Wachtwoord, code, vingerafdruk
Rol, rechten, beleid
Zichtbaar voor gebruiker
Ja, je logt actief in
Meestal niet
Voorbeeld van een fout
Iemand logt in met een gestolen wachtwoord
Een medewerker ziet salarisgegevens van collega’s
In de praktijk loggen een medewerker van de financiële afdeling en een collega van de klantenservice in via hetzelfde systeem. Toch zien ze andere gegevens, omdat hun rollen andere rechten hebben.
Wat zijn voorbeelden van authenticatiemethoden?
Authenticatiemethoden vallen in drie categorieën: iets wat je weet, iets wat je hebt en iets wat je bent. Combineer je er twee, dan heet dat multifactorauthenticatie (MFA). MFA is inmiddels de standaard voor veilige toegang, omdat een gestolen wachtwoord dan niet genoeg is.
De drie categorieën hebben elk hun eigen sterke en zwakke punten.
Iets wat je weet Denk aan een wachtwoord of pincode. Dit is de meest gebruikte methode, maar ook de zwakste, omdat wachtwoorden te raden of te stelen zijn. Gebruik het daarom nooit als enige factor.
Iets wat je hebt Een telefoon met een authenticator-app, een hardwaretoken of een smartcard. Je bewijst dat je het apparaat bezit, bijvoorbeeld met een eenmalige code. Een code via sms is minder veilig dan een app, omdat aanvallers sms-berichten kunnen onderscheppen.
Iets wat je bent Biometrie, zoals een vingerafdruk of gezichtsherkenning. Het is gebruiksvriendelijk, omdat je niets hoeft te onthouden. Passkeys combineren dit vaak met je apparaat, zodat je helemaal zonder wachtwoord inlogt.
Een autorisatiemodel bepaalt op welke manier je rechten toekent. De bekendste zijn RBAC, ABAC, DAC, MAC en PBAC. Welk model past, hangt af van de grootte van je organisatie, hoe gevoelig je data is en hoe complex je toegangsregels zijn.
RBAC (Role-Based Access Control): rechten hangen aan een rol, zoals beheerder, medewerker of gast.
ABAC (Attribute-Based Access Control): toegang hangt af van kenmerken zoals afdeling, tijdstip of locatie.
DAC (Discretionary Access Control): de eigenaar van een bestand bepaalt wie erbij mag.
MAC (Mandatory Access Control): een centraal beleid beslist, los van de eigenaar. Je ziet dit vooral bij overheid en defensie.
Grote organisaties combineren vaak modellen. Een ziekenhuis geeft verpleegkundigen bijvoorbeeld via RBAC toegang tot patiëntdossiers, maar beperkt dat met ABAC tot de eigen afdeling.
Waarom is het onderscheid belangrijk voor IT-beveiliging?
Een fout in authenticatie en een fout in autorisatie leveren een ander risico op. Zwakke authenticatie laat de verkeerde mensen binnen. Gebrekkige autorisatie laat ingelogde gebruikers meer doen dan de bedoeling is.
Dat tweede risico wordt vaak onderschat. Een webshop kan een sterke login hebben, terwijl een klant door een ander ordernummer in de URL te typen de bestelling van iemand anders ziet. Dat heet Broken Access Control. In de OWASP Top 10, de bekendste lijst met risico’s voor webapplicaties, staat het op de eerste plaats. Authentication Failures staan op plaats zeven.
Een sterk wachtwoordbeleid beschermt je niet tegen fouten in autorisatie. Test beide lagen daarom apart.
Andersom geldt het ook: met een gestolen wachtwoord krijgt een aanvaller precies de rechten van de echte gebruiker. Goede autorisatie helpt dan alleen als die rechten zo beperkt mogelijk zijn.
Welke protocollen en standaarden worden gebruikt?
De meest gebruikte protocollen zijn OpenID Connect en SAML voor authenticatie en OAuth 2.0 voor autorisatie. Ze zorgen ervoor dat systemen van verschillende leveranciers veilig met elkaar samenwerken. Daarnaast spelen LDAP en XACML een rol in grotere omgevingen.
Protocol
Doel
Waar je het tegenkomt
OpenID Connect (OIDC)
Authenticatie, bovenop OAuth 2.0
Inloggen met een Microsoft- of Google-account
SAML
Authenticatie en SSO via XML-berichten
Zakelijke SSO tussen organisaties
OAuth 2.0
Autorisatie zonder je wachtwoord te delen
Een app die toegang vraagt tot je agenda
LDAP
Gebruikers en groepen opvragen uit een directory
Active Directory in Windows-omgevingen
XACML
Autorisatiebeleid vastleggen en uitwisselen
Complexe omgevingen met veel toegangsregels
Een ontwikkelaar die een klantportaal bouwt, kiest bijvoorbeeld voor OpenID Connect. Klanten loggen dan in met een bestaand account, en de app krijgt via OAuth 2.0 alleen toegang tot de gegevens die nodig zijn.
Waar leer je authenticatie en autorisatie goed inrichten?
Voor een stevige basis begin je met de concepten: identiteit, MFA, rollen en Zero Trust, het principe dat je geen enkele gebruiker of apparaat standaard vertrouwt. Daarna leer je die concepten toepassen in de omgeving waarmee je werkt. Voor veel organisaties is dat Microsoft Entra ID.
Kies de training die past bij jouw rol in beheer of security.
Swipe voor meer
Microsoft Security, Compliance, and Identity Fundamentals (SC-900)
1 dag
De Microsoft Security, Compliance, and Identity Fundamentals (SC-900) training biedt een stevige basis voor iedereen die zich wil verdiepen in cybersecurity en identiteitsbeheer. De SC-900 cursus is de ideale eerste stap om je kennis van deze essentiële onderwerpen te vergroten en je voor te bereid
Microsoft Identity and Access Administrator (SC-300)
4 dagen
De training Microsoft Identity and Access Administrator (SC-300) bereidt je voor op het beheren en beveiligen van identiteits- en toegangsbeheer binnen een organisatie. In de SC-300 training leer je hoe jij identiteiten kunt configureren, hoe jij toegang tot resources kunt beveiligen en hoe jij bele
De CompTIA Security+ training biedt een complete basis in cybersecurity, ideaal voor IT-professionals die hun vaardigheden in netwerkbeveiliging willen uitbreiden. Tijdens de CompTIA Security+ training leer je over risico-identificatie, dreigingsbeheer en netwerkbescherming. Deze internationaal erke
SC-200 Training: Microsoft Security Operations Analyst
4 dagen
Met de SC-200 training (Microsoft Security Operations Analyst) leer je cyberdreigingen detecteren, onderzoeken en verhelpen met Microsoft Sentinel, Microsoft Defender XDR en Microsoft Defender for Cloud. Tijdens deze praktijkgerichte SC-200 cursus schrijf je KQL-queries (Kusto Query Language), zet j
Certified Information Systems Security Officer (CISSO)
5 dagen
De training Certified Information Systems Security Officer (CISSO) van Mile2 is gericht op de cruciale elementen van cybersecurity. Deze training is speciaal ontworpen voor (toekomstige) beveiligingsexperts die hun kennis willen verdiepen en erkend willen worden met een internationaal certificaat.
In de Certified Ethical Hacker (CEH) v13 training ontdek je de geavanceerde technieken en tools die hackers gebruiken om in te breken in systemen. Door deze kennis leer je hoe je organisaties effectief kunt beschermen tegen cyberaanvallen en kwetsbaarheden kunt identificeren voordat kwaadwillenden d
MFA is een vorm van authenticatie. Je bewijst met twee of meer factoren wie je bent, bijvoorbeeld een wachtwoord plus een code uit een app. Wat je daarna mag doen, bepaalt de autorisatie.
Wat is het verschil tussen identificatie en authenticatie?
Bij identificatie geef je aan wie je zegt te zijn, bijvoorbeeld met je gebruikersnaam. Bij authenticatie bewijs je dat, met een wachtwoord, code of vingerafdruk. Identificatie zonder authenticatie is dus alleen een bewering.
Wat is het verschil tussen OAuth 2.0 en OpenID Connect?
OAuth 2.0 regelt wat een app namens jou mag doen, zonder dat je je wachtwoord deelt. OpenID Connect voegt daar een laag aan toe die bevestigt wie je bent. Voor inloggen gebruik je dus OpenID Connect, voor toegang tot gegevens OAuth 2.0.
Is een wachtwoord genoeg om veilig in te loggen?
Nee. Wachtwoorden zijn te raden, te hergebruiken of te stelen via phishing. Combineer een wachtwoord daarom altijd met een tweede factor, zoals een authenticator-app of passkey.
Wat betekent least privilege?
Least privilege betekent dat een gebruiker alleen de rechten krijgt die hij voor zijn werk nodig heeft. Daardoor beperk je de schade als een account toch wordt overgenomen. Het is een basisprincipe bij het inrichten van autorisatie.
Welke training past als je met authenticatie en autorisatie aan de slag wilt?
Benieuwd wat een incompany training voor jouw organisatie kan betekenen? Vul het formulier in en wij nemen snel contact met je op om jullie wensen te bespreken. Samen kijken we naar de mogelijkheden voor een training op maat, afgestemd op jullie team, locatie en planning.
