ARK. 1Słownik pojęćKryptografia, tożsamość i uwierzytelnianie
autoryzacja
Rozstrzygnięcie, do czego uwierzytelniony już podmiot ma prawo — odpowiedź na pytanie „co mu wolno”, następująca po uwierzytelnieniu i często z nim mylona.
TAB. 1Nazwapo polsku
| Po angielsku | authorization |
|---|---|
| Po polsku | autoryzacja |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | nadawanie uprawnień · kontrola uprawnień · kontrola dostępu (szerzej) |
| Odmiana | ta autoryzacja, tej autoryzacji, tę autoryzację, o autoryzacji; l.mn. autoryzacje, autoryzacji; czas. autoryzować (coś); przym. autoryzacyjny („serwer autoryzacyjny”) |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | „autoryzacja”; para „uwierzytelnianie i autoryzacja” (sekurak); „autoryzacja przelewu/transakcji” w znaczeniu bankowym (niebezpiecznik) |
|---|---|
| Urząd i ustawa | brak dowodu w tej partii; w prawie płatniczym funkcjonuje „autoryzacja transakcji płatniczej” w znaczeniu zgody płatnika (wiedza ogólna, nie z dowodów tej partii) |
TAB. 3Źródła5
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „szkolenie dotyczące właśnie problemów z uwierzytelnianiem oraz autoryzacją” | sekurak.pl |
| PL | „Docelowo OAuth 2.0 ma służyć delegacji autoryzacji do zasobów.” | sekurak.pl |
| PL | „aspektach bezpieczeństwa bankowych aplikacji mobilnych dotyczących uwierzytelnienia i autoryzacji” | niebezpiecznik.pl |
| PL | „może autoryzować „zły” przelew nie posiadając dostępu do telefonu ofiary” | niebezpiecznik.pl |
| PL | „Bezpieczeństwo Windows. Autoryzacja od środka, czyli czego prawdopodobnie nie wiesz o ACL” | sekurak.pl |
TAB. 4Obok w tej dziedzinie6
| certyfikat cyfrowy | digital certificate | Podpisany przez zaufanego wystawcę (urząd certyfikacji) dokument elektroniczny w formacie X.509, który wiąże klucz publiczny z tożsamością (domeną, firmą, osobą), obowiązuje przez określony termin ważności i może zostać wcześniej unieważniony (CRL, OCSP). |
| dane uwierzytelniające | credential | Dana lub obiekt służący do potwierdzenia tożsamości — hasło, klucz, certyfikat lub token — będący głównym łupem w większości ataków na konta. |
| FIDO2 / WebAuthn | WebAuthn / FIDO2 | Standardy FIDO Alliance i W3C opisujące logowanie kluczem kryptograficznym trwale powiązanym z konkretną domeną, stanowiące podstawę działania passkeyów i kluczy sprzętowych. |
| forward secrecy | forward secrecy | Właściwość protokołu uzgadniania kluczy, w której każda sesja korzysta z klucza wyprowadzonego z efemerycznej wymiany (ECDHE/DHE), więc późniejszy wyciek długoterminowego klucza serwera nie pozwala odszyfrować wcześniej przechwyconego ruchu. „Perfect forward secrecy” (PFS) to w praktyce ten sam termin. Nie chroni przed wyciekiem klucza samej sesji ani przed aktywnym atakiem MITM w czasie rzeczywistym; w TLS 1.3 jest obowiązkowe w pełnym uzgodnieniu (handshake), a wyjątkiem pozostaje wznawianie sesji w trybie PSK bez wymiany (EC)DHE. |
| funkcja skrótu (hashowanie) | hashing | Jednokierunkowe przekształcenie dowolnych danych w skrót o stałej długości, którego nie da się odwrócić i który zmienia się całkowicie przy najmniejszej zmianie wejścia, dzięki czemu służy do kontroli integralności i do przechowywania haseł. |
| HSM | hardware security module (HSM) | Dedykowane, odporne na manipulacje urządzenie (karta, appliance sieciowy lub usługa chmurowa), które generuje i przechowuje klucze oraz wykonuje na nich operacje kryptograficzne tak, by klucz nigdy nie opuścił sprzętu w jawnej postaci. To nie to samo co TPM (układ przylutowany do płyty, chroniący konkretny komputer) ani co klucz U2F/FIDO2 (token uwierzytelniający użytkownika). |
TAB. 5