“당신이 정말 이 예약의 주인인가?”
아이디를 입력했다고 그 사람이 실제 주인이라는 보장은 없다.
신원을 확인하는 일
인증(Authentication)
사용자가 주장하는 신원이
실제로 맞는지 확인하는 과정이다.
비밀번호처럼 사용자가 알고 있는 것, 인증기기처럼 가지고 있는 것, 지문처럼 사용자 자체의 특징을 사용할 수 있다.
지식비밀번호, PIN처럼 알고 있는 것
소유휴대폰, OTP 토큰처럼 가지고 있는 것
생체지문, 얼굴처럼 사용자에게 속한 특징
로그인했다고 모든 것을 할 수 있는 것은 아니다
일반 사용자는 자신의 예약을 확인할 수 있지만, 다른 사용자의 예약까지 수정해서는 안 된다.
관리자는 운영 시간을 변경할 수 있지만, 일반 회원에게는 그 기능을 보여 줄 필요가 없다.
인가(Authorization)
인증된 사용자가
어떤 자원과 기능을 사용할 수 있는지 결정하는 것이다.
인증과 인가는 순서도 중요하다. 보통 먼저 사용자가 누구인지 확인한 뒤, 확인된 사용자에게 허용된 기능과 데이터 범위를 적용한다. 로그인 성공이 곧 모든 권한을 얻는 것은 아니라는 점이 핵심이다.
필요한 권한만 준다
모든 사용자에게 관리자 권한을 주면 편할 수는 있지만 위험은 크게 증가한다.
최소 권한 원칙
업무 수행에 필요한 최소한의 권한만 부여하는 보안 원칙이다.
권한이 적을수록 계정이 탈취되거나 실수했을 때 피해 범위도 줄어든다.
최소 권한은 사람뿐 아니라 프로그램과 서비스 계정에도 적용된다. 파일 읽기만 필요한 프로그램에 수정 권한까지 주지 않으면 오류나 침해가 발생했을 때 피해 범위를 줄일 수 있다.
권한은 한 번 부여하고 잊는 정보가 아니다. 사용자의 역할이 바뀌거나 퇴사·이동이 발생하면 불필요한 권한을 회수해야 한다. 최소 권한은 부여와 회수까지 포함한 운영 원칙이다.