¿Hay un término para Autorizar antes de Autenticarse? ¿Es incluso común?

He visto sistemas que filtran primero por una lista de direcciones IP permitidas, por lo que, para intentar incluso utilizar un método de autenticación, debe provenir de un rango o dirección IP específicos. Esto es similar a lo que estás describiendo. Pero en general, la autorización se refiere a decidir qué puede hacer un usuario autenticado, y por lo tanto, lógicamente viene después del paso de autenticación, excepto cuando se permite el acceso anónimo, por supuesto.

Lo que estás describiendo es, de hecho, autenticación. Es solo una descripción más explícita de los pasos involucrados en la autenticación de lo que generalmente se puede ver.

Específicamente, los pasos en el proceso de autenticación son la identificación y la autenticación. Primero obtiene un identificador (como un nombre de usuario) y si es un identificador válido y se puede hacer coincidir en el sistema de identidad con una cuenta con una credencial de autenticación, intenta autenticar o igualar la credencial de autenticación presentada (como una contraseña). ) a la credencial de autenticación almacenada para esa cuenta.

Por lo tanto, puede llamar a esto "Identificación y autenticación" si lo desea, pero dado que ambas partes son parte integral de la autenticación exitosa, realmente no hay necesidad de ser tan explícitos.

Google para la gestión de cookies de Amazon. La autenticación solo es válida durante un cierto período de tiempo y, una vez que caduque, no le permitirán realizar operaciones críticas sin volver a realizarla. Es decir, primero verifican si su identidad de "baja calidad" está autorizada para realizar una operación y, de lo contrario, le piden que se autentique nuevamente para obtener una "identidad fuerte".

Yo diría que Windows UAC esencialmente funciona de la misma manera.

No estoy familiarizado con un término para tal enfoque, pero yo mismo lo llamaría "justo a tiempo" o "en la necesidad" de autenticación.

Supongo que lo realmente confuso de esto es que va en contra de la forma típica en que se hacen las cosas. Pero si desea desglosarlo, veamos las formas en las que ha propuesto.

Autenticación luego autorización

De esta manera, un usuario debe demostrar que es quien dice ser (en este caso, con un nombre de usuario y contraseña, y una vez que lo hacen, la sesión está autorizada para realizar ciertas funciones. Si la autenticación falla, sabemos que el usuario no puede hacer nada. Lo que es más, es que no les brindamos ninguna información sobre el sistema que no sea la combinación de nombre de usuario y contraseña elegida.

Autorización y luego autenticación

Por razones de simplicidad, asumiré que está presentando un identificador (como un nombre de usuario), para verificar si hay algún recurso autorizado para ese identificador. Si la hay, solicita una contraseña y se autentica, y la sesión continúa. Si no hay, dices nop y continúa. El problema aquí es que revela los nombres de usuario en uso a los atacantes. En general, los nombres de usuario se ven como inseguros de todos modos, pero revelar cuentas activas y no deshabilitadas para un ataque puede facilitar su trabajo. Puede crear una lista completa de nombres de usuario mediante el sondeo a través de todas las opciones y hacer sus elecciones desde allí.

Probablemente por eso no lo hacen de esa manera.

En realidad estás provocando un punto muy interesante. En lugar de ver simplemente la autenticación como prueba de su identidad (el hecho de que usted es realmente Bob), vea la autenticación en un sentido más amplio mediante el cual puede demostrar la autenticidad de una reclamación. Por ejemplo, puede decir que tiene 21 años de edad, puede ser ciudadano de la UE o tener una licencia de conducir válida. En los 3 casos, los escenarios de autorización serían:

• capacidad para comprar y consumir alcohol en los EE. UU.
• posibilidad de entrar en la UE sin una visa
• capacidad para conducir un coche

Tenga en cuenta que en estos 3 casos de uso, todo sobre la autorización, la identidad del usuario final no es relevante. Más bien, un atributo del usuario, un reclamo si lo desea, es lo que importa.

Por lo tanto, para comprar alcohol, no necesita estrictamente autenticarse (es decir, probar que es Bob). Solo necesita demostrar la autenticidad de la afirmación de que tiene más de 21 años.

De hecho, el Reino Unido tenía este ambicioso programa de Tarjeta de Identidad Nacional que fue desechado hace unos años. En ese esquema, tuvieron la idea de que usted podría mostrar su tarjeta de identificación a un portero / camarero y que usted podría configurar la tarjeta para que solo muestre si tiene más de 18 años o no, pero esconde el resto (por ejemplo, su nombre, dirección ...) no es relevante para el caso de uso.

En conclusión, para que la autorización funcione, debe probar la autenticidad de todas las reclamaciones que necesitará para esa verificación de autorización en particular.