whatsapp call admin

تحقیق در مورد ایجاد ارتباط ایمن در برنامه های وب

word قابل ویرایش
23 صفحه
8700 تومان
87,000 ریال – خرید و دانلود

ایجاد ارتباط ایمن در برنامه های وب
پرداختن به مقوله امنیت در برنامه های وب با توجه به ماهیت این نوع از برنامه ها و جایگاه آنان در ارائه سرویس ها و خدمات پیشرفته ای همچون تجارت الکترونیکی بسیار حایز اهمیت است . زمانیکه در رابطه با امنیت برنامه های وب بحث می شود، می بایست بر روی دو محور اساسی متمرکز گردید:
• با استفاده از چه مکانیزمهائی می توان دستیابی کاربران به یک برنامه را کنترل و پس از شناسائی آنان ، امکان استفاده از برنامه را برای کاربران تائید شده و متناسب با سطح دستیابی فراهم نمود؟

• برخی از برنامه های وب ، اطلاعات حساس متعددی را از طریق محیط انتقال و زیر ساخت ایجاد شده ، ارسال و یا دریافت می دارند . در این رابطه از چه نوع مکانیزمهائی می بایست استفاده گردد تا این اطمینان حاصل شود که اطلاعات حساس ارسالی (نظیر اطلاعات مربوط به کارت های اعتباری ) ، توسط افراد غیر مجاز قابل خواندن نبوده و امکان دستکاری آنان نیز وجود نداشته باشد.دریافت کننده اطلاعات، می بایست از صحت اطلاعات ارسالی،اطمینان حاصل نماید . این نوع از برنامه های وب ، نیازمند استفاده از یک ارتباط ایمن بین سرویس گیرنده و سرویس دهنده می باشند . وجود یک ارتباط ایمن بین سرویس گیرنده و

سرویس دهنده در برنامه ها ی وب تجاری و یا سایت هائی که بر روی آنان کالا و یا خدماتی عرضه می گردد ، بسیار حائز اهمیت بوده و از موارد حیاتی در موفقیت آنان محسوب می گردد .

 

ضرورت ایجاد یک ارتباط ایمن بین سرویس گیرنده و سرویس دهنده
مبادله اطلاعات در اینترنت مبتنی بر پروتکل TCP/IP بوده که در آن از پروتکل های متعددی نظیر HTTP (Hypertext Transfer Protocol )، Telnet و( FTP(File Transfer Protocol ، استفاده می گردد . پروتکل های فوق ، گزینه مناسبی برای ایجاد یک ارتباط ایمن نمی باشند ، چراکه مبادله اطلاعات به صورت Plaintext انجام می شود . اطلاعات محرمانه و یا حساسی که با استفاده از اینچنین پروتکل هائی منتقل می گردد ، بسادگی قابل ره گیری و خواندن بوده و در این رابطه

لازم است ،اطلاعات ارسالی با استفاده از روش های متفاوت رمزنگاری ، رمز گردند. سرویس گیرندگان وب ، درخواست های خود را با استفاده از پروتکل HTTP برای سرویس دهندگان وب ارسال می نماید . مبادله اطلاعات با استفاده از پروتکل فوق و با توجه به ماهیت آن ، چالش های امنیتی خاصی را برای سرویس

دهندگان و سرویس گیرندگان به دنبال خواهد داشت . سرویس دهندگان وبی که صرفا” از استاندارد HTTP به منظور ارتباط با سرویس گیرندگان استفاده می نمایند ، اهداف مناسبی برای حملاتی از نوع ( DoS (Denial-of-Service و سایر حملاتی از این نوع می باشند. علاوه براین ، سرویس دهندگانی اینچنین، اهداف مناسبی برای سرویس دهندگان وب تائید نشده محسوب خواهند شد. . این نوع سرویس دهندگان ، وب سایت هائی می باشند که خود را به عنوان یک سایت مثبت وانمود کرده و نرم افزارهائی شامل ویروس های کامپیوتری و یا اسکریپت های مخرب را بر روی سایت مستقر تا کاربران با دریافت و نصب آنان ، دچار مشکلات امنیتی گردند.

پروتکل های ارتباطی ایمن وب ، روشی به منظور تائید سرویس گیرندگان و سرویس دهندگان بر روی وب وحفاظت لازم درخصوص محرمانگی ارتباط بین سرویس گیرندگان و سرویس دهندگان را ارائه می نمایند. تاکنون استانداردهای ارتباطی ایمن متعددی با استفاده از تکنولوژی رمزنگاری کلید عمومی ، پیاده سازی شده است. پروتکل های Secure Hypertext Transfer Protocol ) SHTTP ، ( IP Security) IPSec) و PPTP نمونه هائی در این زمینه می باشند . پروتکل ( SSL ( Secure Socket Layer ، پیشگام تمامی پروتکل های ایمن ارتباطی بوده که در ابعاد گسترده ای به منظور ارائه کانال ایمن ارتباطی و مبادله اطلاعات حساس و محرمانه بر روی وب ، استفاده می گردد .

در پروتکل SSL از مدل رمزنگاری کلید عمومی به عنوان زیرساخت اولیه و در جهت ارائه یک ارتباط ایمن در شبکه استفاده می شود.گواهینامه های سرویس دهنده ، که از آنان با نام Server IDs نیز نام برده می شود،به سرویس دهندگان امکان استفاده از یک پروتکل ایمن ارتباطی نظیر SSL را داده و همچنین ، امکان شناسائی سرویس دهنده و یا وب سایت مربوطه نیز برای کاربران و قبل از ارسال اطلاعات محرمانه ، فراهم می گردد . لازم است به این موضوع مجددا” اشاره گردد که وجود یک کانال ارتباطی ایمن یکی از مهمترین عوامل در ارتباط با گسترش تجارت الکترونیکی محسوب می گردد. حصول اطمینان از وجود یک ارتباط ایمن بین خریداران ( سرویس گیرندگان ) و ارائه دهندگان کالا و یا خدمات (سرویس دهندگان ) از مهمترین عوامل موفقیت در برپاسازی یک سایت تجارت الکترونیکی است . نقش و جایگاه پروتکل SSL در این نوع سایت ها بسیار حیاتی و تعیین کننده است . در ادامه با این پروتکل بیشتر آشنا می شویم .

رمزنگاری اطلاعات
گسترش و رشد بی سابقه اینترنت باعث ایجاد تغییرات گسترده در نحوه زندگی و فعالیت شغلی افراد ، سازمانها و موسسات شده است . امنیت اطلاعات یکی از مسائل مشترک شخصیت های حقوقی وحقیقی است . کاربران اینترنت در زمان استفاده از شبکه، اطلاعات حساس و مهمی را بدفعات ارسال و یا دریافت می دارند. اطمینان از عدم دستیابی افراد غیر مجاز به اطلاعات حساس از مهمترین چالش های امنیتی در رابطه با توزیع اطلاعات در اینترنت است . اطلاعات حساس که ما تمایلی به مشاهده آنان توسط دیگران نداریم ، موارد متعددی را شامل می شود. برخی از اینگونه اطلاعات بشرح زیر می باشند :

اطلاعات کارت اعتباری

شماره های عضویت در انحمن ها

اطلاعات خصوصی

جزئیات اطلاعات شخصی

اطلاعات حساس در یک سازمان

اطلاعات مربوط به حساب های بانکی

تاکنون برای امنیت اطلاعات بر روی کامپیوتر و یا اینترنت از روش های متعددی استفاده شده است . ساده ترین روش حفاظت از اطلاعات نگهداری اطلاعات حساس بر روی محیط های ذخیره سازی قابل انتقال نظیر فلاپی دیسک ها است . متداولترین روش حفاظت اطلاعات ، رمز نمودن آنها است . دستیابی به اطلاعات رمز شده برای افراد غیر مجاز امکان پذیر نبوده و صرفا” افرادیکه دارای کلید رمز می باشند ، قادر به باز نمودن رمز و استفاده از اطلاعات می باشند.

رمز نمودن اطلاعات کامپیوتر مبتنی بر علوم رمز نگاری است .استفاده از علم رمز نگاری دارای یک سابقه طولانی و تاریخی است . قبل از عصر اطلاعات ، بیشترین کاربران رمزنگاری اطلاعات ، دولت ها و مخصوصا” در موارد نظامی بوده است . سابقه رمز نمودن اطلاعات به دوران امپراطوری روم بر می گردد. امروزه اغلب روش ها و مدل های رمزنگاری اطلاعات در رابطه با کامپیوتر بخدمت گرفته می شود. کشف و تشخیص اطلاعاتی که بصورت معمولی در کامپیوتر ذخیره و فاقد هر گونه روش علمی رمزنگاری باشند ، براحتی و بدون نیاز به تخصصی خاص انجام خواهد یافت .

رمزنگاری کلید خصوصی(Private key)
منداولترین نوع رمزنگاری مبتنی بر کلید ، رمزنگاری “کلید خصوصی” است . به این نوع رمزنگاری ، متقارن ، سنتی ، رمز مشترک ، کلید رمز ، نیز گفته می شود . در این نوع رمزنگاری ، فرستنده و گیرنده از کلید استفاده شده به منظور رمزنگاری اطلاعات ، آگاهی دارند. رمزنگاری کلیدخصوصی ، گزینه ای مناسب به منظور مبادله اطلاعات بر روی اینترنت و یا ذخیره سازی اطلاعات حساس در یک بانک اطلاعاتی ، ریجستری و یا یک فایل می باشد . از روش فوق ، به

منظورایمن سازی ارسال اطلاعات در شبکه های عمومی استفاده می گردد ( از گذشته تا کنون ) . ایده اولیه و اساسی در چنین سیستم هائی ، “اشتراک یک رمز” بوده و دو گروه شرکت کننده در مبادله اطلاعات ، بر روی یک “کلید رمزمشترک ” ، با یکدیگر توافق می نمایند. بدین ترتیب امکان رمزنگاری و رمزگشائی پیام ها برای هر یک از آنان با توجه به آگاهی از “کلید رمز ” ، فراهم می گردد . شکل زیر نحوه عملکرد رمزنگاری کلید خصوصی را نشان می دهد .

رمزنگاری متقارن و یا کلید خصوصی دارای چندین نقطه ضعف می باشد. مبادله کلیدهای رمز در شبکه های بزرگ امری دشوار و مشکل است .علاوه بر این ، اشتراک کلیدهای رمز ، مستلزم این واقعیت است که فرستندگان و گیرندگان می بایست معتبر بوده و قبل از برقراری ارتباط ، آشنائی لازم را نسبت به یکدیگر داشته باشند( با تمام افرادیکه قصد ارتباط ایمن با آنان وجود داشته باشد ) . همچنین ، این نوع سیستم های رمزنگاری ، نیازمند استفاده از یک کانال ایمن به منظور توزیع کلیدهای ” رمز” می باشند . در صورتیکه چنین کانال ایمنی وجود داشته باشد ، چرا از آن به منظور ارسال تمامی پیام رمز استفاده نشود ؟

درسیستم های مبتنی بر وب که دارای تعاملات گذرا و کاربران متعددی می باشند، به امکانات قدرتمندتری در ارتباط با رمزنگاری نیاز خواهد بود.بنابراین ، رمزنگاری مبتنی بر کلید، عملا” به منظورایجاد یک ارتباط ایمن به تنهائی کافی نخواهد بود. توزیع و عرضه کلید ( یکی از مسائل مهم در ارتباط با مدیریت کلید ) ، از جمله مسائل مهم و درعین حال موثر به منظور شناخت سیستم های رمزنگاری جدید می باشد. رمزنگاری کلید خصوصی دارای نقشی مهم در پروتکل SSL است( به همراه رمزنگاری کلید عمومی نامتقارن ) .

 

رمزنگاری کلید عمومی(public key)
رمزنگاری کلید عمومی و سیستم زیربنائی SSL از جمله ملزومات مورد نیاز برای هر زیرساخت مطمئن در تجارت الکترونیکی می باشند. رمزنگاری ، فرآیندی است که در آن اطلاعات بگونه ای تبدیل می گردند که برای تمامی افراد ( به غیر از گیرندگان تائید شده )، نامفهوم و عملا” غیرقابل استفاده باشند . در فرآیند فوق ، از فرمول های ریاضی (الگوریتم های رمزنگاری ) و اعداد ( کلید ) ، به منظور رمزنگاری و رمزگشائی اطلاعات استفاده می گردد .

رمزنگاری کلید عمومی که از آن با نام رمزنگاری نامتقارن نیز یاد می گردد ، دارای یک تفاوت مهم با رمزنگاری کلید خصوصی است . رمزنگاری کلید عمومی از دو کلید متفاوت استفاده می نماید : یک کلید برای رمزنگاری و کلیدی دیگر برای رمزگشائی . در رمزنگاری کلید خصوصی ، فرض بر این است که فرستنده و گیرنده دارای آگاهی لازم دررابطه با کلید استفاده شده در فرآیند رمزنگاری می باشند . در رمزنگاری کلید عمومی ، با استفاده از یک روش کاملا” ایمن یک کلید برای

ارسال کننده اطلاعات ایجاد و وی با استفاده از کلید فوق ، اقدام به رمزنگاری و ارسال پیام رمز شده برای گیرنده می نماید . امکان رمزگشائی پیام رمز شده صرفا” توسط دریافت کننده ، امکان پذیر خواهد بود. در رمزنگاری کلید عمومی ، سیستم یک زوج کلید خصوصی و عمومی ایجاد می نماید . کلید عمومی برای شخصی که از آن به منظور رمزنگاری یک پیام استفاده می نماید ، ارسال می گردد. وی پس از رمزنگاری پیام با استفاده از کلید عمومی که دراختیار دارد ، پیام رمز شده را ارسال می نماید . دریافت کننده با استفاده از کلید خصوصی ، اقدام به رمزگشائی پیام می نماید .( ماهیت کلید خصوصی استفاده شده در

رمزنگاری کلید عمومی ، مشابه کلید خصوصی استفاده شده در رمزنگاری کلید خصوصی نمی باشد ) .حتی اگر یک فرد مزاحم ، به کلید عمومی دستیابی پیدا نماید وی نمی تواند با استفاده از آن اقدام به رمزگشائی پیام رمز شده نماید ، چراکه رمزگشائی پیام ، صرفا” با استفاده از کلید خصوصی امکان پذیر می باشد . برخلاف رمزنگاری کلید خصوصی ، کلید های استفاده شده در رمزنگاری کلید عمومی چیزی بمراتب بیشتر از رشته های ساده می باشند . کلید در این نوع رمزنگاری دارای یک ساختار خاص با هشت فیلد اطلاعاتی است : از دو فیلد آن به منظور رمزنگاری با استفاده از کلید عمومی استفاده می گردد و شش فیلد دیگر به منظور رمزگشائی پیام با استفاده از کلید خصوصی مورد استفاده قرار می گیرد. در سیستم رمزنگاری کلید عمومی با توجه به عدم ضرورت مبادله رمز مشترک ، اولین مسئله در مدیریت کلید برطرف می گردد. رمزنگاری کلید عمومی ، شامل مراحل زیر است :

مرحله اول : وب سایت مورد نظر ، یک زوج کلید عمومی و خصوصی را ایجاد می نماید .
مرحله دوم : وب سایت موردنظر ، کلید عمومی را برای کاربر ارسال می نماید .
مرحله سوم : کاربر از کلید عمومی به منظور رمزنگاری داده مورد نظر خود استفاده می نماید ( مثلا” شماره کارت اعتباری)

مرحله چهارم : کاربر پیام رمز شده ( در این مثال عدد رمز شده ) را برای سرویس دهنده ارسال می نماید .
مرحله پنجم : سرویس دهنده با استفاده از کلید خصوصی ، پیام رمز شده دریافتی را رمزگشائی می نماید .

سیستم های مدرن رمزنگاری : یک رویکرد ترکیبی
در سیستم های جدید رمزنگاری از ترکیب رمرنگاری مبتنی بر کلید عمومی و کلید خصوصی ، استفاده می گردد. هر یک از روش های فوق دارای مزایای خاص خود بوده که با استفاده و ترکیب مزایای موجود در هر یک می توان یک مدل جدید رمزنگاری را ایجاد نمود. حجم عملیات محاسباتی در مدل رمزنگاری کلید عمومی بالا می باشد ( در مقایسه با مدل رمزنگاری کلید خصوصی ) . با توجه به سرعت مناسب مدل رمزنگاری کلید خصوصی ( متقارن ) در رابطه با حجم گسترده ای از اطلاعات ، در سیستم های رمزنگاری پیشرفته ، عموما” از مدل رمزنگاری کلید عمومی به منظور عرضه کلید استفاده شده و در ادامه از مدل رمزنگاری خصوصی به منظور رمزنگاری حجم بالائی از اطلاعات استفاده می گردد . از سیستم های پیشرفته رمزنگاری در پروتکل SSL و به منظور ایمن سازی تراکنش های وب و یا ایمن سازی مدل نامه های الکترونیکی نظیر S/MIME که در محصولاتی نظیر مرورگر نت اسکیپ و IE پیش بینی شده است ، استفاده می گردد .

 

مسئله مدیریت کلید
در هر سیستم رمزنگاری ،مجموعه ای از مسائل عملی و سوالات مختلف در رابطه با وجود امنیت لازم ، میزان اعتماد پذیری سیستم و رعایت حریم اطلاعات خصوصی ، مطرح می گردد. روش های رمزنگاری کلید عمومی و خصوصی که به آنان اشاره گردید، دارای امکانات لازم به منظور پاسخگوئی وارائه اطمینان لازم در خصوص امنیت اطلاعات می باشند . مثلا” مرورگرهای وب از کلید عمومی یک وب سایت به منظور ارسال شماره کارت اعتباری برروی وب استفاده می نمایند . با روشی مشابه ، شخصی که به فایل ها و یا اطلاعات حفاظت شده و رمز شده دستیابی پیدا می نماید ، می تواند با استفاده از یک کلید خصوصی ، اقدام به رمزگشائی آنان نماید . در عمل ، هر یک از مسائل فوق ، نیازمند استفاده از یک کلید عمومی تضمین شده بوده که با استفاده از آن صحت عملیات رمزنگاری بین دو طرف درگیر در فرآیند رمزنگاری تضمین و امکان دخالت افراد غیر مجاز نیز سلب گردد . رویکرد فوق ، سوالات متنوع دیگری را ذهن ایجاد می نماید :
• چگونه می توان اطمینان حاصل نمود که کلید عمومی استفاده شده توسط مرورگر به منظور ارسال اطلاعات کارت اعتباری ، همان کلید عمومی مورد نظر وب سایت دریافت کننده اطلاعات کارت اعتباری می باشد؟ ( کلید عمومی تقلبی نباشد ) .

• چگونه می توان با اطمینان اقدام به مبادله کلیدهای عمومی خود برای متقاضیان نمود تا آنان با استفاده از آن اقدام به رمزنگاری و ارسال اطلاعات نمایند ؟
به منظور پاسخگوئی به این نوع از سوالات و رفع نگرانی های موجود ، می بایست فرآیند نسبت دهی یک کلید عمومی ( یک ارتباط ایمن با یک کلید عمومی ، آغاز می گردد) به یک entity ( یک شی دلخواه که در یک تراکنش فعالیت دارد ) بصورت ایمن و مطمئن انجام شود ( Secure Binding ) .

تاریخچه SSL
Sslنخستین بار به ابتکار نت اسکیپ بوجود آمد.ssl توسط IETF برای پروتکل امنیت لایه انتقال پذیرفته شد.جامعه WAP پروتکل WTLS را برای تولید تجهیزات بیسیم پذیرفت.اگرچه اختلافاتی اندک میان این پروتکل ها وجود دارد،اما در اصل همه آنها یک سرویس امنیتی را فراهم می آورند و آن ایجاد یک کانال ارتباطی ایمن میان سرویس دهنده و کاربر است.دست آورد پروتکل SSL/TLS/WTLS این است که به سادگی پروتکل های ارتبای دیگر مانند http را نیز بکار میگیرد.

نخستین نسخه عمومی SSL (نگارش ۲) دارای عیب ها و کاستی های امنیتی بودکه در نگارش ۳ برطرف گردید.از آنجا که امروزه مرورگرها هنوز ازنگارش ۲ پشتیبانی می کنند،در این بخش به کوتاهی مشکلات امنیتی آن برشمرده میشود.SSL برای رمزگذاری و رمزگشایی کلیدهای امنیتی همانندی را بکار می برد،این بدان معناست که در حالت خروجی از امنیت MAC کاسته می شود.نگارش ۲ یک ساختار MAC ضعیف دارد و سراسر متکی به توابع رمزکننده MD است.نگارش دوم SSL هیچگونه حفاظتی برای “توافق” ندارد،بنابراین ممکن است داده ارسالی مورد هجوم و دستبرد قرار گیرد و ارسال داده قطع گردد.سرانجام روشن نیست که آیا داده بطور کامل ارسال شده است یا نه؟

گروه کاری”IETF TLS”نگارش SSL 3 را که برای بالا بردن امنیت تغییراتی اندک را در نگارش ۲ داده پذیرفته است.
WTLS کاربرد رمزنگار بیضی شکل (پردازش و حافظه محدود) را بطور پیش فرض در بر دارد.WTLS همچنین بر لایه بالایی روندنمای اتصال بر لایه مخابراتی (قابل مقایسه با UDP وTCP در اینترنت) کار می کند.وسرانجام پروتکل WTLS فرمت گواهینامه خود را از نظر اندازه – در پهنای باند محدود – تعریف و بهینه میسازد،اما گواهینامه رایج X.509 را نیز پشتیبانی میکند.

SSL چیست؟
Secure socket layer, یا همان SSL یک تکنولوژی استاندارد و به ثبت رسیده برای تامین ارتباطی امن مابین یک وب سرور و یک مرورگر اینترنت است . این ارتباط امن از تمامی اطلاعاتی که ما بین وب سرور و مرورگر اینترنت ( کاربر) انتقال میابد , محافظت میکند تا در این انتقال به صورت محرمانه و دست نخورده باقی بماند . SSL یک استاندارد صنعتی است و توسط ملیونها وب سایت در سراسر جهان برای برقراری امنتیت انتقال اطلاعات استفاده میشود . برای اینکه یک وب سایت بتواند ارتباطی امن از نوع SSL را داشته باشد نیاز به یک گواهینامه SSL دارد .

زمانیکه شما میخواهید SSL را بر روی سرور خود فعال کنید سؤالات متعددی در مورد هویت سایت شما ( مانند آدرس سایت ) و همین طور هویت شرکت شما ( مانند نام شرکت و محل آن) از شما پرسیده میشود . آنگاه سرور دو کلید رمز را برای شما تولید میکند , یک کلید خصوصی (private key) و یک کلید عمومی (public key) . کلید خصوصی به این خاطر , این نام را گرفته است , چون بایستی کاملا محرمانه و دور از دسترس دیگران قرارگیرد . اما در مقابل نیازی به حفاظت از کلید عمومی نیست و این کلید در قالب یک فایل درخواست گواهینامه یا certificate signing request که به اختصار آنرا csr مینامیم قرارداده میشود که حاوی مشخصات سرور و شرکت شما بصورت رمز است . آنگاه شما باسیتی که این کد csr را برای صادرکننده گواهینامه ارسال کنید . در طول مراحل سفارش یک SSL مرکز صدور گواهینامه درستی اطلاعات وارد شده توسط شما را بررسی و تایید میکند و سپس یک گواهینامه SSL برای شما تولید کرده و ارسال میکند .
وب سرور شما گواهینامه SSL صادر شده را با کلید خصوصیتان در سرور و بدور از دسترس سایرین مطابقت میدهد . سرور شما آنگاه امکان برقراری ارتباط امن را با کاربران خود در هر نقطه دارد .

نمایش قفل امنیت SSL
پیچیده گیهای یک پروتکل SSL برای کاربران شما پوشیده است لیکن مرورگر اینترنت آنها در صورت برقراری ارتباط امن , وجود این ارتباط را توسط نمایش یک قفل کوچک در پایین صفحه متذکر میشود .

و در هنگامی که شما روی قفل کوچک زرد رنگی که در پایین صفحه IE نمایش داده میشود دوبار کلیک میکنید باعث نمایش گواهینامه شما به همراه سایر جزئیات می شود .

گواهینامه های SSL تنها برای شرکتها و اشخاص حقیقی معتبر صادر میشوند . به طور مثال یک گواهینامه SSL شامل اطلاعاتی در مورد دامین , شرکت , آدرس , شهر , استان , کشور و تاریخ ابطال گواهینامه و همینطور اطلاعاتی در مورد مرکز صدور گواهینامه که مسؤول صدور گواهینامه میباشد .
زمانیکه یک مرورگر اینترنت به یک سایت از طریق ارتباط امن متصل میشود , علاوه بر دریافت گواهینامه SSL ( کلید عمومی) , پارامترهایی را نظیر تاریخ ابطال گواهینامه , معتبر بودن صادرکننده گواهینامه و مجاز بودن سایت به استفاده از این گواهینامه نیز بررسی میکند و هرکدام از موارد که مورد تایید نباشد به صورت یک پیغام اخطار به کاربر اعلام میدارد .

 

چند نمونه از پروتکل های رمزنگاری انتقال
پروتکلهای رمزنگاری انتقال با ترکیب تواناییها برای تایید هویت توسط رمزنگاری متقارن و نامتقارن برای ممکن ساختن ارتباطات تاییدشده و رمزشده، این پروتکلها پایههای امنیت را فراهم میکنند. تقربیاً تمام پروتکلها نیازهای جامعیت را پشتیبانی میکنند به طوری که محتویات ارتباطات نمیتوانند تغییر یابند، اما بیشتر آنها از Non-Repudiation پشتیبانی نمیکنند و به این ترتیب امکان ایجاد رکوردهای پایداری را که هویت منبع را به محتوای پیام پیوند میدهند، ندارند.
به این چند پروتکل به طور مختصر اشاره میشود:
SSL
تکنولوژی SSL (Secure Socket Layer) اساس World Wide Web امن را تشکیل میدهد. SSL که در مرورگرهای وب کاملاً جاافتاده است، توسط بسیاری از سازمانها برای رمزنگاری تراکنشهای وبی خود و انتقال فایل استفاده میشود. بعلاوه SSL بصورت روزافزون بعنوان یک مکانیسم امنیت در تلاقی با پروتکلهای پرشمار دیگر استفاده میشود و بهمین ترتیب ابزاری برای ارتباط سروربهسرور امن است. SSL ارتباطات رمزشده و بشکل آغازین خود تایید هویت سرور از طریق استفاده از گواهی را (در حالت کلاینتبهسرور) پشتیبانی میکند. کاربران اغلب برای استفاده از برنامهها از طریق کلمه عبور تایید هویت میشوند، و با پیشرفت SSL استاندارد (مثلا SSL V.3.0) تایید هویت کلاینت از طریق گواهی به این پروتکل اضافه شده است.

*برای FT (انتقال فایل): ابزار FT اغلب از SSL برای انتقال فایل در یکی از دو حالت استفاده میکنند. اولی، مد کلاینتبهسرور است که کاربر را قادر میسازد، در حالیکه در حال استفاده از یک مرورگر وب استاندارد است مستندات را از یک سرور دریافت یا آنها را به سرور منتقل کند. که این قابلیت نیاز به نرمافزار مختص انتقال در کلاینت را برطرف میسازد و بسیار راحت است، اما اغلب فاقد بعضی ویژگیهای پیشرفته مانند نقاط آغاز مجدد و انتقالهای زمانبندیشده است که سازمانها نیاز دارند. SSL همچنین میتواند برای اتصالات سروربهسرور امن – برای مثال، در اتصال با FTP و سایر پروتکلها – مورد استفاده قرار گیرد.
TLS
TLS (Transport Layer Security)، جانشین SSL، برپایه SSL3.0 بنا شده است، اما به کاربران یک انتخاب کلید عمومی و الگوریتمهای Hashing میدهد. (الگوریتمهای Hashing فانکشنهای یکطرفهای برای حفظ جامعیت پیامها هستند و توسط بیشتر پروتکلها استفاده میشوند.) اگرچه TLS و SSL تعامل ندارند، اما چنانچه یکی از طرفین ارتباط TLS را پشتیبانی نکند، ارتباط با پروتکل SSL3.0 برقرار خواهد شد. بیشتر مزایا و معایب SSL به TLS هم منتقل میشود، و معمولا وجه تمایز خاصی وجود ندارد، و از همه نسخهها به عنوان SSL یاد میشود.

S/MIME

S/MIME ( Secure Multipurpose Internet Mail Extention) که اختصاصاً برای پیامرسانی ذخیره-و-ارسال طراحی شده است، بعنوان استاندارد امنیت ایمیل برتر شناخته شده است. مانند بیشتر پروتکلهای رمزنگاری (مثلا SSL ، TLS و IPSec)، S/MIME با رمزنگاری تنها سروکار ندارد. بهرحال، علاوه بر تصدیق هویت کاربران و ایمنسازی جامعیت پیامها (برای مثال مانند آنچه SSL انجام میدهد)، S/MIME توسط امضای دیجیتال، رکوردهای پایداری از صحت پیامها ایجاد میکند (ضمانت هویت فرستنده چنانچه به محتوای پیام مشخصی مرتبط شده). این عمل باعث میشود فرستنده پیام نتواند ارسال آنرا انکار کند.

*برای FT :
سیستمهای ایمیل رمزشده (با استفاده از S/MIME) میتوانند برای ارسال فایلهای کوچک استفاده شوند (محدودیت حجم فایل بخاطر داشتن محدودیت حجم فایل در بیشتر سرورهای ایمیل است)، ولی S/MIME کلاً میتواند برای انتقال فایلهای بزرگتر توسط پروتکلهای انتقال فایل استفاده شود.

SSH
SSH (Secure Shell) هم یک برنامه و یک پروتکل شبکه بمنظور وارد شدن و اجرای فرمانهایی در یک کامپیوتر دیگر است. به این منظور ایجاد شد تا یک جایگزین رمزشده امن برای دسترسیهای ناامن به کامپیوترهای دیگر مثلا rlogin یا telnet باشد. نسخه بعدی این پروتکل تحت نام SSH2 با قابلیتهایی برای انتقال فایل رمزشده از طریق لینکهای SSH منتشر شد.
*برای FT :

SSH می تواند برای پشتیبانی انتقال فایل رمزشده (به شکل SFTP) استفاده شود اما طبیعت خط فرمان بودن آن به این معنی است که بیشتر توسط مدیران سیستمها برای ارسال درون سازمان استفاده میشود تا برای انتقال فایل تجاری. بعلاوه استفاده از SSH نیاز به نرمافزار یا سیستم عاملهای سازگار با SSH در دو طرف اتصال دارد، که به این ترتیب SSH برای سروربهسرور انجام میگیرد.

پروتکل SSL
پروتکل SSL ، توسط نت اسکیپ و با هدف مبادله ایمن اطلاعات بر روی اینترنت پیاده سازی گردیده است . پس از گذشت مدت زمانی اندک ، پروتکل SSL به عنوان استانداردی در جهت تائید وب سایت ها برای کاربران و سرویس دهندگان وب و به منظور مبادله اطلاعات رمز شده بین آنان ، مطرح گردید . گواهینامه های سرویس دهنده از طریق مراکز صدور گواهینامه ها ( CA ) برای سازمان ها ، افراد و وب سایت ها ، صادر می گردد . مراکزصدور گواهینامه ها ، از روش های متفاوتی به منظور بررسی و حصول اطمینان از معتبر بودن گواهینامه کاربران ، استفاده می نمایند . گواهینامه دیجیتال SSL مربوط به مراکز معتبر صدور

گواهینامه ، در تمامی مرورگرها ( نظیر مرورگر وب مایکروسافت و مرورگر نت اسکیپ ) و سرویس دهندگان وب اصلی ، پیش بینی شده است. بدین ترتیب ، با نصب یک گواهینامه دیجیتال بر روی یک سرویس دهنده وب ، امکان استفاده از قابلیت های SSL در زمان مبادله اطلاعات با مرورگرهای وب ، فراهم می گردد.گواهینامه های سرویس دهنده SSL به منظور برقراری یک ارتباط ایمن دو عملیات اساسی زیر را انجام می دهند :

• SSL server Authentication ، گواهینامه های سرویس دهنده امکان شناسائی یک سرویس دهنده وب را برای کاربران فراهم می نمایند. مرورگرهای وب به صورت اتوماتیک ، بررسی لازم در خصوص اعتبار یک گواهینامه سرویس دهنده ، شناسه عمومی و صدور آن توسط یک مرکز صدور گواهینامه (CA ) معتبر را انجام می دهند.تائید سرویس دهنده SSL ، امری حیاتی برای ایمن سازی تراکنش های تجارت الکترونیکی بوده که در آن هر یک از کاربران شماره کارت اعتباری خود را بر روی وب ارسال و تمایل دارند در ابتدا بررسی لازم در خصوص هویت سرویس دهنده دریافت کننده را انجام دهند .

• Encryption SSL، گواهینامه های سرویس دهنده یک کانال ایمن به منظور مبادله اطلاعات بین مرورگر کاربر و یک سرویس دهنده وب را با استفاده از ارسال نرم افزار و رمزگشائی توسط نرم افزار دریافت کننده و حفاظت اطلاعات خصوصی در مقابل ره گیری اطلاعات برروی اینترنت را ارائه می نمایند. علاوه بر این ، تمامی داده ارسالی از طریق یک ارتباط رمز شده SSL با استفاده از مکانیزم های لازم به منظور عدم دستکاری اطلاعات ، حفاظت می گردد. بدین ترتیب ، کاربران اطمینان لازم به منظور ارسال اطلاعات خصوصی و محرمانه خود را برای یک وب سایت پیدا می نمایند.

 

نحوه عملکرد گواهینامه های سرویس دهنده SSL
شناسه های سرویس دهنده (Server IDs) ، از مزایای SSL به منظور ارائه یک ارتباط ایمن بین وب سایت ها و مرورگرهای وب کاربران استفاده می نمایند. پروتکل SSL از ترکیب مدل رمزنگاری کلید عمومی و رمزنگاری سریع متقارن، استفاده می نماید .فرآیند ایجاد یک ارتباط ایمن با برقراری یک SSL Handshake ، آغاز می گردد.در این راستا ، سرویس دهنده خود را برای مرورگر کاربر تائید نموده و در ادامه به سرویس دهنده و سرویس گیرنده اجازه داده می شود که با همکاری یکدیگر کلیدهای خصوصی لازم به منظور استفاده در رمزنگاری ، رمزگشائی و تشخیص عدم دستکاری داده را ایجاد نمایند .

• سرویس گیرنده با یک سایت و به منظور دستیابی به یک URL ایمن ( یک URL که با https در مقابل http شروع شده است) ، ارتباط برقرار می نماید . صفحه ایمن درخواستی ، می تواند یک فرم خرید Online باشد که در آن اطلاعات خصوصی کاربران، نظیر : آدرس ، شماره تلفن و شماره کارت اعتباری اخذ می گردد.
• مرورگر سرویس گیرنده بصورت اتوماتیک شماره نسخه SSL مرورگر ، تنظیمات رمز، داده تولید شده بصورت تصادفی و سایر اطلاعات مورد نیاز به منظور برقراری یک ارتباط ایمن را برای سرویس دهنده ارسال می نماید.

• سرویس دهنده بصورت اتوماتیک پاسخ لازم را در این رابطه داده و گواهیینامه دیجیتال ، شماره نسخه SSL سرویس دهنده ، تنظیمات رمز و سایر موارد مورد نیاز را برای مرورگر سرویس گیرنده ،ارسال می نماید .
• مرورگر سرویس گیرنده بررسی لازم در خصوص اطلاعات موجود در گواهینامه سرویس دهنده را انجام می دهد :
– آیا گواهینامه سرویس دهنده و تاریخ آن معتبر می باشند ؟
– آیا مرکزی که گواهینامه را صادر نموده است ، یکی از مراکز صدورمعتبری است که گواهینامه آنان به همراه مرورگر ارائه شده است ؟
– آیا کلید عمومی مرکز صادرکننده گواهینامه ( ایجاد شده درون مرورگر ) ، معتبر بودن امضای دیجیتالی صادر کننده را تائید می نماید ؟
– آیا نام Domain مشخص شده توسط گواهینامه دیجیتال با نام واقعی Domain سرویس دهنده ، مطابقت می نماید ؟
در صورتی که ، سرویس دهنده تائید نگردد به کاربر اعلام می گردد که امکان برقراری یک ارتباط رمزشده و مطمئن وجود ندارد .
• در صورتی که سرویس دهنده بصورت موفقیت آمیز تائید گردد ، مرورگر سرویس دهنده یک “session key ” منحصربفرد را به منظور رمزنگاری تمامی اطلاعات مبادله شده با سرویس دهنده با استفاده از مدل رمزنگاری کلید عمومی ، ایجاد می نماید .
• مرورگر سرویس گیرنده ، session key را با استفاده از کلید عمومی سرویس دهنده ( وب سایت مورد نظر ) ، رمز و آن را برای سرویس دهنده ارسال می نماید. بدین ترتیب ، صرفا” سرویس دهنده قادر به خواندن session key ، خواهد بود .
• سرویس دهنده با استفاده از کلید خصوصی مربوط به خود ، اقدام به رمزگشائی session key می نماید .
• مرورگر سرویس گیرنده در ادامه پیامی را برای سرویس دهنده ارسال و به وی اعلام می نماید که پیام های آتی خود را با استفاده از session key رمز و ارسال می نماید .
• سرویس دهنده در ادامه ، پیامی را برای سرویس گیرنده ارسال و به وی اعلام می نماید که پیام های آتی خود را با استفاده از session key رمز و ارسال می نماید .
• با اتمام مراحل فوق ، یک ارتباط ایمن مبتنی بر SSL بین سرویس گیرنده و سرویس دهنده برقرار می گردد . در ادامه پروتکل SSL به منظور رمزنگاری و رمزگشائی پیام ها از مدل رمزنگاری متقارن که بمراتب سریعتر نسبت به رمزنگاری کلید عمومی می باشد ، استفاده می نماید .
• پس از اتمام ارتباط بین سرویس دهنده و سرویس گیرنده ، session key حذف می گردد .
مراحل فوق در زمان بسیار کوتاهی ( چندین ثانیه ) انجام و کاربران در این رابطه ضرورتی به انجام عملیاتی خاص نخواهند داشت . مرورگرهای نت اسکیپ و IE ، دارای مکانیزم های امنیتی از قبل تعبیه شده ای به منظوریشگیری در خصوص ارسال ناخواسته اطلاعات شخصی می باشند. در صورتی که کاربری قصد ارسال اطلاعات برای یک سایت غیرایمن ( سایتی که دارای یک گواهینامه سرویس دهنده SSL نمی باشد ) را داشته باشد ، مرورگر یک پیام هشداردهنده را نمایش خواهند داد .

در صورتی که ، کاربران شماره کارت اعتباری و سایر اطلاعات خود را برای سایتی ارسال نمایند که دارای یک گواهینامه سرویس دهنده معتبر و یک ارتباط SSL می باشد ، پیام نمایش داده نمی شود . علیرغم اعتبار ارتباط ایمن ایجاد شده ، کاربران می توانند با توجه به نکات زیر اطمینان لازم در خصوص ایمن بودن ارتباط برقرار شده با یک وب سایت را پیدا نمایند:
• URL مشخص شده در پنجره مرورگر با https در مقابل http آغاز می گردد .
• درمرورگر IE ، یک آیکون Podlock ، در قسمت پائین پنجره نمایش داده میشود.

انواع SSL ( چهل بیتی و یکصدوبیست و هشت بیتی )
پروتکل SSL به دو صورت ۴۰ و ۱۲۸ بیتی که به طولKey session تولید شده بستگی دارد ، ارائه شده است . هر اندازه طول کلید بیشتر باشد ، امکان شکستن رمز مشکل تر خواهد بود . رمزنگاری SSL از نوع ۱۲۸ بیتی ، قویترین نوع رمزنگاری بوده که با استفاده از تکنولوژی های موجود به میلیاردها سال زمان برای شکستن رمز آن نیاز خواهد بود. قدرت رمزنگاری ۱۲۸ بیتی تقریبا” ۲۶ ۱۰ * ۳ مرتبه قویتر از رمزنگاری ۴۰ بیتی SSL است. مرورگرهای IE و نت اسکیپ ، سطوح متفاوتی از رمزنگاری را بر اساس نوع گواهینامه سرویس دهنده SSL ارائه می نمایند ( گواهینامه های سرویس دهنده SSL از نوع ۴۰ بیتی ، گواهینامه های سرویس دهنده SSL از نوع ۱۲۸ بیتی ) .

در رمان ایجاد یک مشخصه سرویس دهنده ( Server ID ) و به منظور استفاده از رمزنگاری ۱۲۸ بیتی می بایست کلید خصوصی به درستی ایجاد گردد. در صورتی که کلید خصوصوصی ۱۰۲۴ بیتی انتخاب گردد ، امکان رمزنگاری ۱۲۸ بیتی و در صورتیکه کلید خصوصی ۵۱۲ بیتی در نظر گرفته شود، صرفا” امکان رمزنگاری ۴۰ بیتی وجود خواهد داشت . نوع کلید خصوصی در زمان ایجاد یک Certificate Signing request CRc) ) به همراه سرویس دهنده وب ، مشخص می گردد .

 

مراحل لازم به منظور استفاده از SSL در برنامه های وب
به منظور استفاده از SSL در برنامه های وب ، می بایست مراحل زیر را دنبال نمود :
• ایجاد یک درخواست گواهینامه از طریق IIS
• درخواست یک گواهینامه از یک مرکز صدور گواهینامه ( CA )

• نصب گواهینامه بر روی سرویس دهنده با استفاده از IIS
• نصب گواهینامه بر روی مرورگر در صورتیکه از یک گواهینامه تستی استفاده می گردد.
• استفاده از پروتکل ایمن https ، در زمان دستیابی به صفحات ایمن در برنامه وب
در ادامه به تشریح هر یک از مراحل فوق ، خواهیم پرداخت .

ایجاد یک درخواست گواهینامه ( ( Certificate Signing Request (CSR)
به منظور درخواست گواهینامه از یک مرکز صدور گواهینامه، می بایست در ابتدا درخواست یک گواهینامه توسط IIS ، ایجاد گردد . درخواست فوق ، شامل اطلاعات رمزشده در رابطه با سرویس دهنده مورد نظر شما بوده که مرکز صدور گواهینامه از آن به منظور تشخیص هویت وشناسائی سرویس دهنده بر روی اینترنت استفاده می نماید . برای ایجاد یک درخواست گواهینامه مراحل زیر را در IIS ، دنبال می نمائیم :
• مرحله اول : انتخاب وب سایت پیش فرص در IIS و گزینه Properties از طریق منوی Action . در ادامه IIS ، جعبه محاوره ای سایت پیش فرض را نمایش خواهد داد .

• مرحله دوم : انتخاب ( کلیک ) Directory Security Tab و فعال نمودن گزینه Server Certificates . ویزارد مربوطه در ادامه توسط IIS فعال می گردد.

• مرحله سوم : پس از دنبال نمودن ویزارد و اتمام مراحل مربوطه ، IIS یک فایل Text رمزشده با انشعاب cer . را ایجاد می نماید . فایل فوق ، درخواست مربوط به یک گواهنیامه بوده که می بایست به مرکز صدور گواهینامه ارسال گردد.
در ابتدا می بایست گواهینامه در ریشه سرویس دهنده ایجاد گردد.( قبل از این که IIS ، قادر به برقراری یک ارتباط ایمن گردد) . پس از نصب یک گواهینامه سرویس دهنده در سطح ریشه ، می توان پردازش فوق را برای سایت های زیرمجموعه تکرار نمود( در صورتی که لازم است برای هر یک از سایت ها از یک گواهینامه جداگانه ، استفاده گردد ) .

درخواست یک گواهینامه
فرآیند درخواست یک گواهینامه سرویس دهنده از یک مرکز صدور گواهینامه با توجه به مرکز انتخاب شده ، متفاوت می باشد .برای درخواست یک گواهینامه ، مراحل زیر را دنبال می نمائیم :
• مرحله اول : ملاقات وب سایت مرکز صدور گواهینامه و درخواست یک گواهینامه سرویس دهنده برای SSL . ( در این رابطه گزینه ها ی متعددی بر اساس سطح امنیت وجود دارد ) .

• مرحله دوم : انتخاب نوع گواهینامه سرویس دهنده مورد نظر و تکمیل فرم اطلاعاتی مربوطه .
• مرحله سوم : کپی و یا ارسال درخواست گواهینامه ایجاد شده در مرحله “ایجاد یک درخواست گواهینامه” توسط نامه الکترونیکی
پس از انجام عملیات فوق ، می بایست در انتظار تائید اطلاعات ارسالی و صدور گواهینامه توسط مرکز صدور گواهینامه ماند . پس از تائید ، مرکز صدور گواهنیامه اقدام به ارسال گواهینامه سرویس دهنده می نماید. ( معمولا” از طریق یک نامه الکترونیکی ) . گواهینامه صادر شده را در یک فایل متنی و با انشعاب cer. ، ذخیره می نمائیم ( استفاده از عملیات Copy&Paste در ویرایشگر notpad )

نصب گواهینامه
پس از ذخیره گواهینامه سرویس دهنده ، می توان در ادامه آن را در IIS نصب تا امکان استفاده از پروتکل SSL در برنامه ها ی وب ، فراهم گردد . به منظور نصب یک گواهینامه سرویس دهنده ، مراحل زیر را دنبال می نمائیم :
• مرحله اول : انتخاب وب سایت پیش فرص در IIS و گزینه Properties از طریق منوی Action . در ادامه IIS ، جعبه محاوره ای سایت پیش فرض را نمایش خواهد داد .

• مرحله دوم : انتخاب ( کلیک ) Directory Security Tab و فعال نمودن گزینه Server Certificates . ویزارد مربوطه در ادامه توسط IIS فعال می گردد.
• مرحله سوم : دکمه Next را فعال و گزینه … Prosecc The Pending Request And را انتخاب می نمائیم .
• مرحله چهارم : دکمه Next را فعال نموده و در ادامه نام فایل حاوی گواهینامه را وارد می نمائیم ( فایل فوق ، فایلی است که در مرحله ” درخواست یک گواهینامه ” ایجاد شده است )
• مرحله پنجم : با فعال نمودن دکمه Next

و در ادامه Finish ، عملیات نصب گواهینامه به اتمام می رسد .
استفاده از ارتباط ایمن
پس از نصب گواهینامه سرویس دهنده ، ارتباط ایمن فعال ومی توان با استفاده از پروتکل https ، درخواست یک صفحه ایمن را نمود.
ارتباط ایمن تا زمان معرفی یک سایت غیرایمن ، همچنان وجود خواهد داشت . به منظور اتمام ارتباط ایمن ، می بایست از پروتکل http ، در URL مربوطه استفاده نمود .

با استفاده از IIS می توان ارتباط ایمن را برای فولدرها و یا فایل ها

ی خاصی در یک برنامه وب ،ایجاد نمود. به منظور ایجاد یک ارتباط ایمن برای یک صفحه خاص با استفاده از IIS ، مراحل زیر را دنبال می نمائیم .
• مرحله اول : انتخاب فولدر و یا فایل مورد نظری که نیازمند استفاده از یک ارتباط ایمن می باشد .با انتخاب گزینه Properties از طریق منوی Action ، جعبه محاوره ای Properties نمایش داده می شود.
• مرحله دوم : انتخاب ( کلیک ) Directory Security Tab و فعال نمودن گزینه Secure Communication . در ادامه IIS ، جعبه محاوره ای Secure Communication را نمایش خواهد داد.

• مرحله سوم : گزینه Require Secure Channel ( (SSL را انتخاب و در ادامه دکمه OK را فعال می نمائیم .
زمانی که نحوه دستیابی به یک صفحه توسط یک ارتباط ایمن مشخص می گردد، امکان مشاهده صفحه فوق با استفاده از پروتکل http وجود نخواهد داشت .

یک گواهینامه چیست؟
گواهینامه دیجیتال ،رکوردی منحصربفرد مشتمل بر اطلاعاتی ضروری به منظور بررسی هویت یک فرد و یا یک سازمان می باشد . گواهینامه های دیجیتال از فرمت استاندارد X.509 تبعیت می نمایند . استاندارد فوق ، برخی از ملزومات موردنیاز گواهینامه را تشریح می نماید : فرمت نسخه استفاده شده توسط گواهینامه ، شماره سریال گواهینامه ، شناسه الگوریتم استفاده شده به منظور تائید گواهینامه ،مرکز صادرکننده گواهینامه ، تاریخ صدور و سررسید اعتبار گواهینامه ، مشخصات صاحب گواهینامه ، کلید عمومی صاحب گواهینامه ، امضای دیجیتال مرکز صادر کننده گواهینامه .

این فقط قسمتی از متن مقاله است . جهت دریافت کل متن مقاله ، لطفا آن را خریداری نمایید
word قابل ویرایش - قیمت 8700 تومان در 23 صفحه
87,000 ریال – خرید و دانلود
سایر مقالات موجود در این موضوع
دیدگاه خود را مطرح فرمایید . وظیفه ماست که به سوالات شما پاسخ دهیم

پاسخ دیدگاه شما ایمیل خواهد شد