Wat is het verschil tussen authenticatie en autorisatie?

Het verschil tussen authenticatie en autorisatie is de vraag die ze beantwoorden. Authenticatie controleert wie je bent, autorisatie bepaalt wat je daarna mag. Authenticatie komt altijd eerst: zonder geslaagde login vindt geen autorisatie plaats.

Vergelijk het met een kantoorgebouw. Bij de receptie laat je je identiteitsbewijs zien: dat is authenticatie. Je toegangspas bepaalt daarna op welke verdiepingen je mag komen: dat is autorisatie.

In de praktijk loggen een medewerker van de financiële afdeling en een collega van de klantenservice in via hetzelfde systeem. Toch zien ze andere gegevens, omdat hun rollen andere rechten hebben.

Authenticatiemethoden vallen in drie categorieën: iets wat je weet, iets wat je hebt en iets wat je bent. Combineer je er twee, dan heet dat multifactorauthenticatie (MFA). MFA is inmiddels de standaard voor veilige toegang, omdat een gestolen wachtwoord dan niet genoeg is.

De drie categorieën hebben elk hun eigen sterke en zwakke punten.

1. Iets wat je weet
   Denk aan een wachtwoord of pincode. Dit is de meest gebruikte methode, maar ook de zwakste, omdat wachtwoorden te raden of te stelen zijn. Gebruik het daarom nooit als enige factor.
2. Iets wat je hebt
   Een telefoon met een authenticator-app, een hardwaretoken of een smartcard. Je bewijst dat je het apparaat bezit, bijvoorbeeld met een eenmalige code. Een code via sms is minder veilig dan een app, omdat aanvallers sms-berichten kunnen onderscheppen.
3. Iets wat je bent
   Biometrie, zoals een vingerafdruk of gezichtsherkenning. Het is gebruiksvriendelijk, omdat je niets hoeft te onthouden. Passkeys combineren dit vaak met je apparaat, zodat je helemaal zonder wachtwoord inlogt.

Bedrijven gebruiken daarnaast vaak Single Sign-On (SSO): één keer inloggen geeft toegang tot meerdere applicaties. Een servicedeskmedewerker die MFA en SSO moet uitrollen, loopt al snel tegen de vraag aan hoe dat in Microsoft Entra ID werkt. In de SC-900-training leer je de basis van identiteit en toegangsbeheer in de Microsoft-omgeving.

Een autorisatiemodel bepaalt op welke manier je rechten toekent. De bekendste zijn RBAC, ABAC, DAC, MAC en PBAC. Welk model past, hangt af van de grootte van je organisatie, hoe gevoelig je data is en hoe complex je toegangsregels zijn.

• RBAC (Role-Based Access Control): rechten hangen aan een rol, zoals beheerder, medewerker of gast.
• ABAC (Attribute-Based Access Control): toegang hangt af van kenmerken zoals afdeling, tijdstip of locatie.
• DAC (Discretionary Access Control): de eigenaar van een bestand bepaalt wie erbij mag.
• MAC (Mandatory Access Control): een centraal beleid beslist, los van de eigenaar. Je ziet dit vooral bij overheid en defensie.
• PBAC (Policy-Based Access Control): beleidsregels combineren meerdere factoren tot één toegangsbeslissing.

Grote organisaties combineren vaak modellen. Een ziekenhuis geeft verpleegkundigen bijvoorbeeld via RBAC toegang tot patiëntdossiers, maar beperkt dat met ABAC tot de eigen afdeling.

Een fout in authenticatie en een fout in autorisatie leveren een ander risico op. Zwakke authenticatie laat de verkeerde mensen binnen. Gebrekkige autorisatie laat ingelogde gebruikers meer doen dan de bedoeling is.

Dat tweede risico wordt vaak onderschat. Een webshop kan een sterke login hebben, terwijl een klant door een ander ordernummer in de URL te typen de bestelling van iemand anders ziet. Dat heet Broken Access Control. In de OWASP Top 10, de bekendste lijst met risico’s voor webapplicaties, staat het op de eerste plaats. Authentication Failures staan op plaats zeven.

Een sterk wachtwoordbeleid beschermt je niet tegen fouten in autorisatie. Test beide lagen daarom apart.

Andersom geldt het ook: met een gestolen wachtwoord krijgt een aanvaller precies de rechten van de echte gebruiker. Goede autorisatie helpt dan alleen als die rechten zo beperkt mogelijk zijn.

De meest gebruikte protocollen zijn OpenID Connect en SAML voor authenticatie en OAuth 2.0 voor autorisatie. Ze zorgen ervoor dat systemen van verschillende leveranciers veilig met elkaar samenwerken. Daarnaast spelen LDAP en XACML een rol in grotere omgevingen.

Een ontwikkelaar die een klantportaal bouwt, kiest bijvoorbeeld voor OpenID Connect. Klanten loggen dan in met een bestaand account, en de app krijgt via OAuth 2.0 alleen toegang tot de gegevens die nodig zijn.

Voor een stevige basis begin je met de concepten: identiteit, MFA, rollen en Zero Trust, het principe dat je geen enkele gebruiker of apparaat standaard vertrouwt. Daarna leer je die concepten toepassen in de omgeving waarmee je werkt. Voor veel organisaties is dat Microsoft Entra ID.

In ruim 25 jaar IT-training zien we dat authenticatie en autorisatie in de praktijk vaak door elkaar lopen. In de SC-900-training leer je die basis in één dag. Beheer je zelf identiteiten en toegang? Met Microsoft Identity and Access Administrator (SC-300) leer je dat inrichten in Entra ID.

Twijfel je welke securitycertificering het best bij je loopbaan past? Lees dan CEH vs OSCP vs CompTIA Security+: welke cybersecuritycertificering past bij jou?