分布式系统下的认证与授权 · 构建我的被动收入

[utterances-bot]

分布式系统下的认证与授权 · 构建我的被动收入

本文从高层次梳理在不同架构演进中认证、授权及凭证这些和架构安全相关的技术的发展过程。

https://www.bmpi.dev/dev/authentication-and-authorization-in-a-distributed-system/

[eos21]

最后一个图是用什么软件画的？

[yutaodou]

看起来像是excalidraw

[sbilly]

感觉“传输”放在这里非常奇怪。
———
认证：系统如何识别合法用户，也就是解决 你是谁 的问题；
授权：系统在识别合法用户后，还需要解决 你能做什么 的问题；
凭证：系统如何保证它与用户之间的承诺是双方真实意图的体现，是准确、完整且不可抵赖的；
保密：如何安全的持久化用户的账户信息，确保不会被任何人窃取与滥用；
传输：在复杂的用户环境中，如何安全的传递用户信息，保证不被第三方窃听、篡改和冒充。

[madawei2699]

感觉“传输”放在这里非常奇怪。 ——— 认证：系统如何识别合法用户，也就是解决 你是谁 的问题； 授权：系统在识别合法用户后，还需要解决 你能做什么 的问题； 凭证：系统如何保证它与用户之间的承诺是双方真实意图的体现，是准确、完整且不可抵赖的； 保密：如何安全的持久化用户的账户信息，确保不会被任何人窃取与滥用； 传输：在复杂的用户环境中，如何安全的传递用户信息，保证不被第三方窃听、篡改和冒充。

在客户端访问服务端的过程中，传输安全也很重要。首先这都属于架构安全要考虑的，其次认证授权包括凭证的安全都需要传输层的安全来保障，否则再严密的算法设计也很难阻挡中间人攻击、重放攻击之类，而这种风险会让认证授权的安全设计形同虚设。