Definisi Dasar
Autentikasi dan otorisasi adalah dua pilar utama dalam keamanan sistem informasi yang memiliki fungsi berbeda. Autentikasi adalah proses verifikasi identitas pengguna untuk memastikan bahwa seseorang adalah benar-benar orang yang mereka klaim. Sebaliknya, otorisasi adalah proses penentuan hak akses atau izin yang diberikan kepada pengguna yang telah terautentikasi untuk melakukan tindakan tertentu atau mengakses sumber daya tertentu dalam sistem.
Matriks Perbandingan
| Fitur | Autentikasi | Otorisasi |
|---|---|---|
| Fokus Utama | Identitas Pengguna | Hak Akses/Izin |
| Pertanyaan Kunci | Siapa Anda? | Apa yang boleh Anda lakukan? |
| Urutan Proses | Terjadi lebih dulu | Terjadi setelah autentikasi |
| Contoh Data | Username, Password, OTP, Biometrik | Role (Admin/User), Scope, Token |
| Kegagalan | Akses ditolak (identitas tidak dikenal) | Akses ditolak (tidak memiliki izin) |
Analogi Sederhana
Bayangkan Anda memasuki sebuah gedung perkantoran. Proses menunjukkan kartu identitas (ID Card) kepada petugas keamanan di lobi adalah autentikasi. Setelah identitas Anda terverifikasi, Anda diberikan akses ke lantai tertentu. Jika Anda hanya memiliki akses ke lantai 2, namun mencoba menekan tombol lift ke lantai 10, sistem akan menolak Anda. Penolakan tersebut adalah bentuk otorisasi.
Implementasi dalam Teknologi
Dalam ekosistem pengembangan aplikasi modern, kedua proses ini sering diintegrasikan menggunakan protokol standar. Sebagai contoh, OAuth (Open Authorization) adalah protokol yang memungkinkan aplikasi pihak ketiga untuk mendapatkan akses terbatas ke sumber daya pengguna tanpa harus mengetahui kredensial (password) pengguna tersebut. Dalam konteks manajemen perangkat mobile (MDM), autentikasi memastikan perangkat terdaftar secara sah, sementara otorisasi menentukan kebijakan aplikasi apa saja yang boleh dijalankan oleh perangkat tersebut.
Proses Kerja Autentikasi
- Pengguna memasukkan kredensial (seperti username dan password).
- Sistem membandingkan data dengan database.
- Jika cocok, sistem mengeluarkan token sesi atau identitas.
Proses Kerja Otorisasi
- Sistem memeriksa token yang dibawa pengguna.
- Sistem memverifikasi apakah token tersebut memiliki izin (permission) untuk aksi yang diminta.
- Jika izin tersedia, sistem mengizinkan akses; jika tidak, sistem memberikan respons 403 Forbidden.
Memahami perbedaan ini sangat krusial bagi pengembang sistem untuk mencegah celah keamanan seperti privilege escalation, di mana pengguna biasa mendapatkan akses tingkat administrator karena kegagalan dalam logika otorisasi.