رمزنگاری یا Cryptography

رمزنگاری دانشی است که به بررسی و شناختِ اصول و روش‌های انتقال یا ذخیرهٔ اطلاعات به صورت امن (حتی اگر مسیر انتقال اطلاعات و کانال‌های ارتباطی یا محل ذخیره اطلاعات ناامن باشند) می‌پردازد. رمزنگاری یا هنر پنهان کردن اطلاعات موضوعی است که مورد علاقه دولتها شرکتها و افراد می باشد. معمولا افراد می خواهند اطلاعات شخصی و حساسشان محرمانه و دور از دسترس دیگران باشد. شرکتها و سازمانها تمایل به حفظ اطلاعات کارمندان لیست مشتریها و اطلاعات تجاری خود دارند. دولتها نیز از رمزنگاری برای کمک به حفظ امنیت کشورشان استفاده می کنند.

 

 

به افرادی که در زمینه توسعه و ایجاد کدهای رمز تخصص دارند رمز نگار یا Cryptographer می گویند. همچنین به افرادی که در زمینه شکستن (باز کردن) این کدها تخصص دارند تحلیلگر رمز یا Cryptanalyst می گویند. افرادی که در این بخش فعالیت می کنند از دانش قوی در زمینه ریاضی و کامپیوتر برخوردارند. آنها در دنیای خودشان زندگی می کنند و تمایلی به صحبت کردن راجع به کاری که میکنند ندارند.

داده ها باید حفظ شوند. اطلاعات شخصی شما می بایست از دسترسی های غیرمجاز و تخریبها حفاظت گردند. اولین روش حفاظت از داده ها رمزنگاری یا Cryptography است. رمز نگاری قدمتی به طول تاریخ بشر دارد. اولین سند رمز شده ای که کشف گردیده به 4000 سال پیش برمیگردد. این سند شامل ترجمه یک پیام از یک زبان به زبان دیگر با کاراکترهای جایگزین می باشد.

انواع رمز نگاری:
سه نوع رمز نگاری وجود دارد: فیزیکی – ریاضیاتی – کوانتومی

1 -رمزنگاری فیزیکی Physical Cryptography
روش های مختلفی دارد، عمومی ترین این روش عبارتیست از جابجایی یا جایگزینی حروف (کاراکترها) یا کلمات میباشد. این روش شامل یک حالت دیگری است که به آن Stenography گفته می شود. این روش علمی است که شامل پنهان سازی اطلاعات داخل اطلاعات دیگر است مانند یک تصویر. به طور کلی در رمز نگاری فیزیکی پردازش ریاضی روی متن صورت نمی گیرد. Cipher روشی است که برای کد کردن حروف (کاراکترها) برای پنهان کردن ارزش خود استفاده می شود. به فرآیند کد کردن یک پیام Ciphering گفته می شود.

2 – رمزنگاری ریاضی (Cryptography Mathematical)
از فرآیندها و پردازشهای ریاضی روی متن یا کاراکترها استفاده می کند. معروفترین این روش ادغام سازی یا همان Hashing است. در این روش یک محاسبه روی پیام انجام می شود و آنرا به یک مقدار عددی تبدیل می کند که به آن Hash Value گفته می شود. مثال:
هر کاراکتر را در 2 ضرب کن
مقادیر بدست آمده را با هم جمع کن
حاصل جمع را بر 10 تقسیم کن

Message : this
ASCII Value : 116 104 105 115
Calculated Values : 232 208 210 230
Hash value Calculation : ( 232+208+210+230)/10
Hash value : 88

این الگوریتم یک طرفه است و نمی توان از مقدار Hash به متن رسید.

3 – رمزنگاری کوانتومی (Cryptography Quantum)
روشی جدید در رمز نگاری می باشد. تا قبل از 2002 کاربرد آن در آزمایشگاهها و برخی مراکز امنیتی دولتی بود. در این روش پیام با استفاده از یکسری فوتون ارسال می گردد. اگر دریافت کننده ترتیب (توالی) و حال مثبت و منفی (قطب مغناطیسی) فوتون ها را بفهمد میتواند پیام را decode کند. در غیر اینصورت فوتون ها تغییر یافتده اند. این به گیرنده مفهماند که فرد یا افرادی پیام را شنیده اند. فرستنده پس از اطلاع از این موضوع Pattern (قالب) پیام را عوض کرده و شروع به ارسال مجدد پیام با یک سری جدیدی از فوتون ها می نماید. رمزنگاری کوانتومی بسیار پرهزینه است و کاربرد محمدودی دارد.

حملات به رمزنگاری
برخی از معروفترین روشهای شکستن کد ها عبارتند از:

• Frequency Analysis
• Algorithm Errors
• Brute Force Attacks
• Human Error
• Social Engineering

الگوریتمهای رمز نگاری
3 روش اصلی برای کد کردن عبارتند از: Hashing – Symmetric  Asymmetric

الگوریتم های Hashing دو نوع اصلی دارد: SHA و MD

1 – الگوریتم SHA – Secure Hash Algoritm 

• یک طرفه است
• یک کد 160 بیتی تولید می کند.

2 – الگوریتم MD – Message Digest:

• یک الگوریتم یکطرفه است.
• چندین نسخه دارد که مهمترین آنهاعبارتند از: MD2 ,MD4,MD5
• یک کد 128 بیتی تولید می کند.
• از hashing برای اطمینان از صحت اطلاعات استفاده می شود.

الگوریتمهای متقارن (Symmetric):
یک کلید امنیتی تولید می کند. یک کلید اختصاصی دارد که برای بقیه افراد غیر مجاز قابل استفاده نیست. اگر این کلید ذر اختیار دیگران قرار گیرد و یا دزدیده شود کل فرآیند با شکست مواجه می شود. کلید بین فرستنده و گیرنده یکسان است.

انواع الگوریتمهای متقارن:
1 – (DES (Data Encryption Standard

• از سال 1970 ایجاد شده است.
• استاندارد اصلی که در مراکز دولتی و صنعتی بکار میرود.
• یک کلید 128 بیتی ایجاد می کند.
• یک مطالعه اخیرا نشان داده است که یک سیستم فوق العاده قوی توانسیته است این الگوریتم را در حدود 2 سال بشکند.

2 – (AES (Advanced Encryption Standard

• جایگزین DES می باشد.
• کلیدهای 128 و 192 و 256 بیتی تولید می کند.
• توسط 2 نفر بنامهای Vincent Rijmen و Joan Damon طراحی شده است.

3 – 3DES

• نسخه ارتقا یافته DES می باشد.
• از DES امن تر می باشد و شکستن قفل آن بسیار مشکل است.

4 – CAST

• توسط Carlisle Adams and Stafford Tavares طراحی شده است.
• شرکتهای مایکروسافت و IBM از این الگوریتم استفاده میکنند.
• کلیدهای 40 و 128 بیتی استفاده میکند.

5 – RC

• توسط آزمایشگاههای RSA استفاده می شود.
• طراح آن Ron Rivest می باشد.
• انواع نسخه ها: RC5 , RC6
• کلید 2048 بیتی تولید می کند.

6 – Blowfish

• توسط سیستمهای Counterpane ایجاد گردیده است.
• نویسنده اصلی آن Bruce Schneier می باشد.
• نسخه بعدی آن Twoofish می باشد.
• از کلیدهای 448 بیتی استفاده میکند.

7 – (IDEA (International Data Encryption Algorithm

• از کلید 128 بیتی استفاده میکند
• به لحاظ سرعت و قبلیت شبیه الگوریتم DES می باشد ولی امن تر از آن است.
• در(PGP (Pretty Good Privacy (امنیت در پست الکترونیک) استفاده می شود.

الگوریتمهای نا متقارن (Asymmetric Algorithm):
از 2 کلید برای code و decode کردن داده ها استفاده می کند. این کلیدها را Public key و Private key می گویند. Public برای کد کردن پیام توسط فرستنده و Private key برای رمزگشایی توسط گیرنده استفاده می شود.

انواع الگوریتمهای نامتقارن:
1 – RSA

• طراحان آن Ron Rivest , Adi Shamir , Leonard Adleman می باشد.
• هم برای امضای دیجیتال و هم برای SSL استفاده می شود.

2 – الگوریتم Diffie Helman 

• توسط 2 نفر بنامهای دکتر W.Diffie و دکتر M.E.Hellman توسعه یافته است.

3 –(ECC (The Elliptic Curve Cryptosystem

• شبیه الگوریتم RSA است.
• در شبکه های وایرلس کاربرد دارد.

4 – EL Gamal

• نام دیگر آن DSA است.
• برای انتقال امضای دیجیتال و تبادل کلیدها استفاده می شود.
• در سال 1985 ایجاد شده است.

حملات در رمزنگاری

• Attacking the key
• Attacking the Algorithm
• Intercepting the Transmission
• Birthday Attack
• Weak key Attack
• Mathematical Attack

منبع: https://geekboy.ir

معرفی فایروال های نسل بعدی NGFW

فایروال های سنتی قدیمی بر اساس فیلتر کردن یک پورت یا یک پروتکل خاص فعالیت می کردند. مثلا کلیه ترافیکی که مربوط به پورت 80 بوده را بسته و به پروتکل HTTP اجازه عبور نمی دادند و یا اینکه تمامی ترافیک مربوطه به پورت 443 را مسدود کرده و تمامی صفحاتی که با پروتکل HTTPS کار می کنند را مسدود می کردند. این نشانگر یک قانون است: یا همه چیز یا هیچ چیز.

 

فایروال های جدید تر این امکان را دارند که ترافیک را بر اساس نوع نرم افزار مورد استفاده و پورت و ترافیک مورد استفاده توسط هر نرم افزار کاربردی مسدود یا عبور دهند. مثلا شما میتوانید به یک برنامه خاص اجازه استفاده از پورت 80 را و صرفا به یک وب سایت خاص بدهید و بدینوسیله به نرم افزار اجازه فیلتر کردن بر اساس پورت،پروتکل،آدرس و حتی یک سرویس خاص را بدهید. تصور کنید در این حالت یک فایروال و سرویس QoS را با هم در یکجا دارید.

اینگونه فایروال ها را با عنوان فایروال های نسل بعدی می شناسید، اما در حقیقت به نوعی تشکیل یک راهکار از نوع سیستم مدیریت یکپارچه تهدیدات یا UTM را خواهند داد. اما فراموش نکنید که هنگامی که اسم سیستم یکپارچه مدیریت تهدیدات یا همان UTM به گوش می خورد به یاد تجهیزات سخت افزاری خواهیم افتاد که برای همین فعالیت ها در نظر گرفته شده اند اما اینگونه تجهیزات بیشتر به درد تجارت های کوچک و خانگی یا به اصطلاح (SMB) می خورند. UTM ها امکانات بیشتری نسبت به یک فایروال دارند و در بیشتر اوقات شما می تواند در یک دستگاه UTM، یک فایروال، یک آنتی ویروس، یک آنتی اسپم، یک سیستم تشخیص و جلوگیری از نفوذ و بسیاری دیگر از امکانات باشید.

از این به بعد به فایروال های نسل بعدی NGFW می گوییم. اینگونه فایروال های به دلیل اینکه بسیار مناسب Tune شده اند میتوانند مدیریت بسیار مناسبی بر روی امنیت و پهنای باند عبور کننده از خود داشته باشند و دلیلی اصلی آن هوشمندی و دقت بیشتر در قدرت واکاوی داده هایی است که از آنها عبور میکنند. قدرت فیلترینگ محتویات یا content filtering همچنین وجود سرویس Qos در این فایروال ها این اجازه را به فایروال میدهد که پهنای باند را با توجه به اولویت نرم افزارها به آنها اختصاص دهد، مثلا نرم افزاری که دارای اولویت در استفاده از اینترنت باشد میتواند پهنای باند بیشتری را به خود اختصاص دهد. با توجه به رشد روز افزون فناروی و استفاده از سرویس های پردازش ابری، امکان سرویس دهی به اینگونه فناوری ها نیز در NGFW دیده شده است.

در اینجا برخی از ویژگیهای معمول فایروال های NGFW را بررسی می کنیم:

امکانات استاندارد یک فایروال: در این نوع فایروال های قابلیت های همان فایروال های قدیمی ( نسل اولی ) از قبیل مسدود کردن پورت ها و پروتکل ها و همچنین سرویس شبکه خصوص مجازی یا VPN و سرویس NAT وجود دارد.

شناسایی و فیلتر کردن نرم افزارها: این قابلیت در واقع بزرگتری نقظه قوت اینگونه فایروال ها است، آنها می توانند به جای اینکه صرفا پورت یا پروتکل خاصی را فیلتر کنند، نوع ترافیک یک نرم افزار را تشخیص داده و بر اساس نوع نرم افزار پورت یا سرویس آن را فیلتر کنند. این قابلیت باعث میشود که نرم افزارهای مخرب نتوانند از پورت های معمول و غیر معمول برای ورود به شبکه و آسیب رسانی به آن استفاده کنند.

واکاوی SSH و NGFW :SSL ها میتوانند ترافیک رمزنگاری شده پروتکل های SSL و SSH را نیز واکاوی کنند . آنها توانایی رمزگشایی ترافیک را داشته و پس از رمز گشایی و اطمینان از سالم بودم و عدم وجود ترافیک غیر مجاز با توجه به خط مشی تعیین شده برای آن مجددا رمزگذاری کرده و ارسال می کنند. این قابلیت از مخفی شدن کد های مخرب در درون ترافیک رمزنگاری شده توسط نرم افزارهای مخرب جلوگیری کرده و از ورود اینگونه ترافیک به درون شبکه جلوگیری کند.

جلوگیری از نفوذ: با هوشمندی خاصی که برای اینگونه از فایروال ها در نظر گرفته شده است و توانایی واکاوی فوق العاده ای که در آنها دیده شده است، این NGFW ها توانایی جلوگیری و تشخیص نفوذ را در خود جای داده اند. برخی از اینگونه NGFW ها قابلیت های تشخیص و جلوگیری از نفوذی دارند که حتی یک دستگاه IPS مجزا هم این ویژگیها را به تنهایی ندارد.

هماهنگی با دایرکتوری سرویس ها: از قابلیت های جدید اینگونه NGFW ها هماهنگی کامل با ساختار های دایرکتوری مانند اکتیودایرکتوری است و با این روش دیگر نیازی به تعریف کاربر در فایروال نیست و از همان گروه ها و کاربرانی که در اکتیودایرکتوری وجود دارند می توان در فایروال نیز استفاده کرد.

فیلتر کردن کدهای مخرب : NGFW میتوانند بر اساس نوع فعالیت یک نر مافزار و مخرب بودن آن از ادامه کار یا حتی شروع به کار یک کد مخرب جلوگیری کنند، اینگونه NGFW ها میتوانند بوسیله شناسایی سایت های مخرب و ذخیره آنها در دیتابیس خود از بروز حمله از طریق آنها جلوگیری کنند، همچنین یعضی از آنها توانایی شناسایی حملات از نوع Phishing و همچنین شناسایی ویروس ها و تروجان ها را دارند.

همیشه هنگام انتخاب یک محصول برای استفاده در شبکه به عنوان یک فایروال نسل بعدی باید به تعداد نرم افزار ها و تعداد شناسایی هایی که آن فایروال می تواند تشخیص دهد توجه کرد، برخی از آنها توانایی شناسایی بیش از 15000 حمله و نرم افزار را دارند و این در حالی است که نوع دیگری تنها قادر به شناسایی 800 نوع حمله است، همچنین الگوریتم هایی که هر یک از آنها در شناسایی استفاده میکنند بسیار می تواند تعیین کننده باشد بطوریکه برخی از این نوع فایروال ها میتوانند برای یک نرم افزار مانند مسنجر یاهو تعیین کنند که کاربر بتواند چت کند اما نتواند فایلی را ارسال یا دریافت کند. همیشه در انتخاب یک محصول توانایی های آن را در اولویت قرار دهید.

 منبع : https://geekboy.ir

 

جنگ بر سر رمزنگاری

زمانی که شما به رمزنگاری فکر می‌کنید، احتمالاً چیزی که به فکر شما خطور می‌کند فیلم‌ها و نمایش‌های تلویزیونی هستند که درون آنها پر از پیام-های هک و عجیب و غریب است. شاید هم اولین چیزی که به فکر شما می‌رسد داستان جنگ بین کمپانی اپل و سازمان FBI به علت این که این کمپانی حاضر به بازکردن قفل گوشی iPhone مجرم دستگیر شده به وسیله FBI نشده است، باشد. اما این بحث خیلی ساده تر از این حرف‌هاست: رمزنگاری یک تکنیک است که به وسیله آن عبارت‌های نامفهوم و گنگ و غیرقابل فهم را ارائه می‌دهیم-یعنی این عبارات تنها برای افرادی نامفهوم است که کلید مورد نظر را در دست ندارند. جاسوس‌ها برای ارسال اطلاعات از رمزنگاری استفاده می‌کنند، همچنین در جنگ‌های مختصاتی، و استفاده‌های جرم شناسی این رمزنگاری کاربرد فراوان دارد.
همچنین سیستم‌های رمزنگاری در همه جنبه‌های فناوری امروزی وارد شده‌اند، و نه تنها برای مخفی کردن اطلاعات از مجرمان، دشمنان و جاسوسان بلکه برای تایید و شفاف سازی اطلاعات اولیه و شخصی افراد کاربرد دارند. داستان رمزنگاری به قرن‌ها پیش بازمی‌گردد، و به همان اندازه‌ علم ریاضی، که به این سیستم معنا داده است، مشکل و پیچیده است. و دیدگاه‌ها و ایده‌های متفاوت می‌توانند به طور کلی سیستم رمزنگاری را تغییر دهند.
ما در این زمنیه با چند متخصص صحبت کردیم تا برای فهمیدن جنبه‌های فراوان رمزنگاری به ما کمک کنند: هدف ما فهمیدن تاریخ رمزنگاری، وضعیت کنونی آن، و آینده‌ی احتمالی آن بود. صحبت‌های این متخصصان به این گونه بود:
تولد رمزنگاری مدرن
پروفسور مارتین هلمن یک شب در ماه مه، سال ۱۹۷۶، یعنی ۴۰ سال پیش، بر روی میز کار خود مشغول کار بود، در همین زمان با من تماس گرفت تا به من بگوید که در آن چه چیزهایی نوشته است. او مقاله مشهور ‘New Directions in Cryptography’ را نوشته بود که به طور کامل نحوه-ی نگه‌داری اطلاعات محرمانه را تغییر می‌داد و کم و بیش، اینترنت را به این صورتی که امروز می‌بینیم قادر به نگه داری این اطلاعات می‌کرد.
قبل از منتشر کردن این مقاله، رمزنگاری یک نظم مشخصی داشت و سرراست بود. شما یک کلید داشتید که وقتی برای یک سری داده به کار می-بردید باعث می‌شد این داده برای افرادی که این کلید را ندارند غیرقابل خواندن باشد. برخی از ارکان آن هنوز هم وجود دارند، مثل پازل‌هایی که از شما می‌خواهند یک حرف را با حرف دیگر جایگزین کنید. زمانی که شما این حرف را بیابید و جانشین‌سازی را انجام دهید، خواندن بقیه پیام موردنظر برای شما ممکن می‌شود.
برای این که یک رمز کار کند، باید کلید آن محرمانه بماند. این قانون حتی بعد از پیچیده و پیچیده‌تر شدن روش‌های رمزنگاری نیز ثابت ماند. پیچیدگی فناوری و شدت زیاد و کشنده جنگ جهانی دوم باعث ساخته شدن دستگاه‌های رمزنگاری زیادی شد، که در حالی که چالش‌هایی هم داشتند ولی بازهم بر پایه همین قانون عمل می‌کردند.
متحدین دارای سیستم SIGSALY، سیستمی که می‌توانست ارتباطات صوتی را به صورت real-time تجزیه و تحلیل کند، بودند. کلیدهای این سیستم شبیه به رکوردهای تصویری مشابهی بودند که زمانی که یک مکالمه در حال انجام بود به صورت همزمان با هم عمل می‌کردند. زمانی که فردی با تلفن صحبت می‌کرد، حرف‌های او دیجیتالی شده و به وسیله نویزهای به خصوصی بر روی رکورد نگه داری می‌شدند. سپس سیگنال رمزگشایی شده به یک ایستگاه SIGSALY دیگر ارسال می‌شد، در آنجا به وسیله دستگاه‌های مخصوص کدشکنی می‌شدند و صدای فرد موردنظر از بلندگوها مجدداً تولید می‌شد. بعد از هر مکالمه، این رکوردها را نابود می‌کردند. پس برای هر تماس جدید از رمزها و کدهای جدید استفاده می‌کردند. پس هر پیام به وسیله‌ی یک کد متفاوت از قبلی تولید می‌شد و رمزگشایی آن هم به مراتب سخت‌تر می‌شد.
ارتش آلمان هم از یک سیستم مشابه اما پیچیده‌تر برای ارتباطات متنی استفاده می‌کرد. نام این ماشین Enigma بود و از صفحه‌کلید، سیم، یک بورد مشابه سوئیچ‌‌بورد تلفن، چرخ‌های چرخنده، و یک بورد خروجی تشکیل شده بود. با فشردن یک دکمه، این ماشین شروع به برنامه‌ریزی‌های ریاضی خود می‌کرد و هربار یک حرف را خارج می‌کرد، که این لغت بر روی بورد خروجی روشن می‌شد. سپس پیام‌ها به محض تایپ شدن می‌توانستن رمزگذاری یا رمزگشایی شوند اما رمز موفقیت این دستگاه این بود که رمز و کد مربوط به هر حرف، بعد از هربار فشردن عوض می‌شد. با فشردن A دستگاه حرف E را نشان می‌داد، اما اگر بازهم A را فشار می‌دادید این ماشین یک حرف کاملاً متفاوت از قبلی را نشان می‌داد.
سیستم‌ ماشین‌های Enigma و SIGSALY تقریباً شبیه به یک الگوریتم (یا چندین الگوریتم) بودند، به طوری که یک تابع ریاضی را چندین و چند بار اجرا می‌کردند. اولین بار زمانی که Alan Turing به اتفاق همکاران کدشکن خود در محوطه‌ی Bletchley Park در انگلستان توانستند کدهای Enigma را بشکنند، باعث شد قادر باشند که روش کار این ماشین را درک کنند و بر نحوه کدگذاری آن واقف شوند.
اما کار آقای هلمن بر روی رمزنگاری از چند نظر کاملاً متفاوت بود. یکی از این دلایل این بود که او و آقای Diffie (که هردو ریاضیدانانی از دانشگاه استنفورد بودند) تحت نظر سازمان‌های دولتی کار نمی‌کردند و از کسی دستور نمی‌گرفتند، و همه به او می‌گفتند که تو دیوانه‌ هستی. طبق تجربه آقای هلمن، این کار جدیدی نبود. او می‌گوید: «زمانی که همکاران من به من گفتند که بر روی رمزنگاری کار نکن- به جای اینکه من را از عواقب آن بترسانند، این حرف‌ها مرا بیشتر جذب این زمینه می‌کرد».
رمزگذاری‌های عمومی
Hellman و Diffie، با کمک یک فرد سوم به نام Ralph Merkle، یک نوع متفاوت از رمزگذاری را پیشنهاد کردند. به جای این که برای قفل کردن یک سیستم از یک کلید استفاده کنند، آنها از دو کلید استفاده کردند. یکی از این کلیدها، همان کلید خصوصی، که به وسیله سیستم رمزگذاری سنتی قرار داده می‌شد بود و دیگر کلید به صورت عمومی (public) قرار داده می‌شد.
برای این که شما یک پیام برای هلمن ارسال می‌کردید از کلید عمومی او برای کدگذاری بر روی پیام استفاده می‌کردید و سپس آن را ارسال می-کردید. به این ترتیب هرکس که بدون اجازه این پیام را مشاهده می‌کرد تنها مقداری متن به هم ریخته و ناخوانا را می‌دید. ‌مزیت این نوع از کدگذاری شاید بلافاصله مشخص نباشد، اما SIGSALY را به یاد بیاورید، برای این که سیستم این ماشین کار کند باید هردوی ارسال‌کننده و دریافت کننده دارای کلیدهای رمز مشابه باشند. اگر دریافت‌کننده کلید رمز خود را گم می‌کرد، هیچ راهی برای رمزگشایی کردن پیام وجود نداشت. اگر کلید رکورد موردنظر دزدیده یا کپی می‌شد، به راحتی افراد سودجو یا دشمن می‌توانستند پیام‌ها را باز کرده و بخوانند. به این ترتیب با باز کردن و خواندن و تجزیه و تحلیل کردن چند پیامی که به وسیله این ماشین تولید شده می‌توانستند نحوه کدگذاری آن را یاد بگیرند و هر پیامی را در آن کدشکنی کنند. پس اگر شما می‌خواستید یک پیام ارسال کنید و کلید رمز موردنظر را گم کرده بودید، نمی‌توانستید از ماشین SIGSALY استفاده کنید.
سیستمی که آقای هلمن طراحی کرده بود می‌گفت که کلید رمز کدگذاری نیازی نیست محرمانه باشد. هر فردی می‌تواند کلید عمومی را داشته باشدو به وسیله آن پیام‌ها را ارسال کند، اما فقط دارند کد خصوصی و محرمانه می‌توانست پیام را کدگشایی کند.
روش رمزگذاری عمومی همچنین توانست نیاز به ابزار امن جهت نگه داری کدهای رمزنگاری را از بین ببرد. ماشین‌های Enigma و بسیاری از دستگاه‌های کدگذاری دیگر نیاز شدیدی به امنیت فیزیکی داشتند، و اگر به دست دشمن می‌افتادند باید به سرعت نابود می‌شدند. با استفاده از یک سیستم کلید عمومی، می‌توان کلیدهای عمومی را به صورت عمومی و برای همه رد و بدل کرد، و هیچ خطری در این کار نیست. پس هلمن می-توانست کلید عمومی مربوط به خودش را بلند به همه اعلام کند. سپس ما می‌توانیم کلیدهای عمومی همدیگر را گرفته و آنها ترکیب کرده و به عنوان کلید رمز خصوصی خود قرار دهید که به این کار امنیت مشترک (shared secret) گفته می‌شود. این کلید ترکیبی سپس می‌تواند برای کدگشایی کردن پیام‌هایی که به همدیگر ارسال می‌کنیم، مورد استفاده قرار گیرد. هلمن به من گفت که از پتانسیل کار خود در سال ۱۹۷۶ آگاه بوده است. او گفت: «به یاد دارم که داشتم با Horst Feistel، یک فرد فوق‌العاده باهوش در زمینه رمزنگاری که با همکاری که با کمپانی IBM داشت منجر به استاندارد کدگذاری بر روی داده‌ها شد، صحبت می‌کردم، و سعی کردم که کار خودم یعنی «کلید عمومی رمزنگاری» را برای او توضیح دهم. که او بلافاصله حرف من را قطع کرد و گفت تو نمی‌توانی».
این حرف Fiestel تنها دلیل برای هلمن جهت استفاده عمقی از ریاضیات در کار خود، نبود، چون عشق او به ریاضیات هم تاثیر داشت. او گفت: «زمانی که من برای اولین بار به کتاب ‘mathematical systems’ نگاه کردم حس آلیس در سرزمین شگفتی‌ها به من دست داد».

شهرت بد رمزگذاری
رمزنگاری از نظر آقای هلمن و همکارانش مانند یک سرزمین عجایب ریاضیات است، اما شاید دید عوام به این قضیه این باشد که رمزگذاری تعدادی از کارهایی است که عجیب و غریب است.
آقای Phil Dunkelberger فردی است که سال‌ها بر روی رمزگذاری کار کرده است. او کار خود را بنیانگذاری شرکت PGP شروع کرد، و کار خود بر اساس پروتوکل Pretty Good Privacy که توسط Phil Zimmerman اختراع شده بود آغاز کرد و با روزنامه‌نگار مشهور آمریکایی به نام ادوارد اسنودن همکاری کرده بود. Dunkelberger اکنون مدیرعامل و رئیس Nok Nok Labs است، شرکتی که بر روی سیستم ‌هایFIDO کار می‌کند تا به خوبی شناسایی افراد را انجام دهند- و البته امیدوار هستند که استفاده از پسورد را از بین ببرند.
Dunkelberger گفت مشکلی که برای استفاده از رمزگذاری وجود دارد واضح است، و آن مشکل این است که به صورت گسترده‌ای غیرقابل دیدن است، و با وجود این که قسمتی از زندگی روزمره برای ما شده است هنوز کسی از نحوه کار کردن آن مطلع نیست. اکثر مردم زمانی که شما یک PIN را وارد می‌کنید چیزی بیشتر از اجرای یک طرح رمزگذاری، و تبادل کلیدها، و حفاظت از داده‌های شما جهت دزدیده نشدن آنها، اتفاق نمی‌افتد، و به این طریق است که به راحتی می‌توانید پول‌های خود را جابه‌جا کنید.
Dunkelberger افزود: «رمزگذاری، به موازات پیشرفت فناوری محاسباتی گسترش پیدا کرده است. رمزگذاری باید قادر باشد از داده‌های شما محافظت کند تا نیازهای قانونی و اعتمادی که سال‌هاست در دنیا وجود دارد را برای شما فراهم کند.»

اهمیت ریاضیات قوی در رمزنگاری
آقای Bruce Schneier تخصص ریاضی در زمینه رمزنگاری دارد، اما بیشتر به دلیل تخمین‌های صحیح در مسائل مربوط به امنیت کامپیوتر شهرت دارد. این فرد برای خیلی‌ها حکم یک اسطوره را دارد. برای مثال، یکی از همکاران من یک تی‌شرت دارد که بر روی آن تصویر آقای Schneier حک شده است و آن را به تن می‌کند.
او از لحاظ شخصیتی خیلی روراست و بی‌پروا است. مثلاً در کنفرانس RSA سال ۲۰۱۳ در مورد رمزگذاری گفت «سازمان امنیت ملی نیز نمی‌تواند این رمز را بشکند و همین امر باعث عصبانیت مقامات آن خواهد شد» او همچنین عنوان کرد که احتمالاً سازمان امنیت ملی در نوع خاصی از سیستم رمزگذاری توانسته یک ضعف پیدا کند و با دست کاری کردن همان ضعف سعی در اعمال تغییرات در آن داشته است تا به این ترتیب این ضعف بیشتر رخ دهد. پس کارهایی که NSA (سازمان امنیت ملی) برای شکستن این رمزها می‌کند بیشتر یک کار مهندسی است نه کار ریاضی. او همچنین گفت که شاید بتوانند رمزنگاری را بشکنند اما بازهم نیاز به کدشکنی پیام ها در این سیستم دارند.
Schneier فردی است که به خوبی به ارزش ریاضی قوی، در این زمینه واقف است. او به من گفت که رمزنگاری ترکیبی از ریاضیات و درهم و برهم کردن، و درنهایت ساختن یک منطق خیلی قوی است اما در عین حال بسیار کار پیچیده‌ای است. او گفت: «این کار نظریه اعداد، یعنی همان نظریه پیچیدگی در ریاضیات است، و بسیاری از رمزنگاری‌های ضعیف در دنیا توسط افرادی صورت گرفته است که ریاضیات ضعیفی دارند».

امضاهای دیجیتالی
یکی از رایج‌ترین استفاده‌ها از رمزگذاری، خصوصاً رمزگذاری کلید عمومی (public key) که هلمن به وجود آورد و به مشهور شدن آقای Dunkelberger کمک کرد، تایید مشروع بودن داده‌ها و اطلاعات است. امضاهای دیجیتالی دقیقاً همان چیزی هستند که می‌توان از نام آنها برداشت کرد. مانند یک امضا که با دست انجام می‌دهید، این امضا برای فرد موردنظری که امضا را زده است راحت بوده و برای فردی که می‌خواهد آن را کپی کند سخت می‌باشد، و به راحتی و با یک نگاه قابل تشخیص هویت فرد نخواهد بود. هلمن گفت: «یک امضای دیجیتالی نیز بسیار شبیه به امضای دست است. برای من امضا کردن یک پیام کار راحتی است. و برای شما نیز بررسی کردن این که من این امضا را زده ام کار راحتی است، اما شما قادر نخواهید بود پیام من را تغییر دهید یا یک پیام جدید را با نام و امضای من ایجاد کنید.»
به طور طبیعی، زمانی که شما یک پیام را با استفاده از رمزگذاری کلید عمومی امن می‌کنید، از کلید عمومی دریافت‌کننده برای رمزگذاری بر روی پیام استفاده می‌کنید تا اینکه هرفردی که فاقد کلید خصوصی دریافت‌کننده است قادر به خواندن این پیام نباشد. امضاهای دیجیتالی در جهت عکس این موضوع عمل می‌کنند. هلمن برای من یک مثال شرح داد و یک قرارداد فرضی را در نظر گرفت که من بابت این مصاحبه باید به او پولی را پرداخت کنم، که البته گفت من در واقع قصد گرفتن پولی را ندارم و این فقط یک مثال برای درک این مطلب خواهد بود.
پس با این فرض که من باید به هلمن پول پرداخت کنم، از من می‌خواست که یک قرارداد بنویسم و سپس با استفاده از کلید خصوصی خودم آن را رمزگذاری کنم. این امر باعث به وجود آمدن یک متن رمزگذاری شده می‌شود. سپس هر فردی با استفاده از کلید عمومی من، که بدون هیچ ترسی از لو رفتن کلید خصوصی خودم، می‌توانم آن را به همه بدهم، می‌تواند این متن را رمزشکنی کرده و متوجه نوشته‌های من شود. اگر رمز خصوصی من لو نرود هیچ کس قادر به اعمال تغییرات در این متن نخواهد بود. حال یک امضای دیجیتالی، نویسنده‌ی این متن را تایید می‌کند، اما مانند یک نامه معمولی کسی حق دخل و تصرف در آن را ندارد.

ظهور بلاکچین (Blockchain)
درحالی که اطلاعاتی که به وسیله‌ی رمزنگاری امضا شده‌اند غیرقابل خواندن هستند، با این حال کلیدهای نهفته‌ای (رمزنگاری شده) وجود دارند که می‌توانند این اطلاعات را باز کنند و امضای موردنظر را تایید هویت کنند. بنابراین می‌توان از رمزنگاری برای تایید اطلاعات استفاده کرد، و به جای مبهم کردن اطلاعات، آنها را شفاف تر کرد. این کلیدی به بلاکچین، یعنی یک فناوری که با رمزگذاری مشکل دارد، می‌باشد.
سردبیر مجله‌ی PCMag آقای Rob Marvin که چند صندلی آن طرف تر از من کار می‌کند، گفت: «بلاکچین یک دفتر توزیع شده و غیرقابل تغییر است که بدون درنظر گرفتن دلیل استفاده شما از آن، وظیفه ایمن کردن اسناد دیجیتالی را برعهده دارد- این اسناد ممکن است مبلغی پول، قراردادها یا میلیون‌ها دلار نقد باشند. به این دلیل که این رمز در بین کاربران و شریکان مختلفی تقسیم شده است، هیچ خطری برای حمله به آن وجود ندارد. قدرت این سیستم در اعداد آن است.»
همه بلاکچین‌ها مانند هم نیستند. مشهورترین کاربرد این فناوری قدرت دادن به انتقال پول‌ها توسط رمزنگاری (Cryptocurrency) مانند Bitcoin، است.

رمزشناسی کاربردی
آقای Matt Green که استادیار رشته‌ی علوم کامپیوتر در دانشگاه است و بیشتر در زمینه‌ی رمزنگاری فعالیت می‌کند می‌گوید: «اگر من بخواهم به شما یک پیام محرمانه ارسال کنم، این کار را می‌توانم با رمزگذاری بر روی آن انجام دهم. این کار یکی از ابتدایی ترین فناوری‌های روز است اما اکنون رمزنگاری برای هر نوع کاری استفاده می‌شود. یعنی کاربرد رمزنگاری بسیار گسترده‌تر از قبل شده است».
او افزود : «رمزنگاری در نوشتن ریاضیات بر روی یک وایت‌برد وجود دارد. رمزنگاری در انواع پروتوکل‌های پیشرفته تئوری که دیگران در حال کار کردن بر روی آنها هستند کاربرد دارد. چیزی که من بر روی آن تمرکز دارم درواقع این است که این تکنیک‌های رمزنگاری را انتخاب کنم و آن ها را کاربردی می‌کنم.» منظور او از کاربردها، مانند خرید کالاها، کارهایی که است که شما با آن ها سروکار دارید.
تمامی جنبه‌های انتقال‌ وجه‌های مالی شامل نوعی از رمزگذاری در خود، یا نوعی تشخیص هویت می‌باشند، که ابتدا تایید می‌کنند که این پیام را شما ارسال کرده‌اید. یک مثال دیگر مبهم از این دسته مربوط به محاسبات خصوصی است، جایی که گروهی از مردم می‌خواهند چیزی را با هم محاسبه کنند و این کار بدون به اشتراک گذاشتن ورودی‌هایی که در این محاسبات وارد شده است انجام دهند.
آقای Green گفت: زمانی که شما از یک وب‌سایت بانک بازدید می‌کنید، آن بانک دارای یک کلید رمزنگاری است که این کلید رمز را تنها کامپیوترهای آن بانک دارند. این همان کلید خصوصی است که قبلاً در مورد آن گفتیم. او گفت: «مرورگر اینترنتی من راهی برای تبادل اطلاعات با این کامپیوترها دارد، و می‌تواند بگوید که این کلید خصوصی مربوط به کدام بانک است و به نوعی خیال من را از این بابت که سایت تقلبی است یا نه راحت می‌کند».
برای اکثر مردم، باز شدن کامل یک وب‌سایت و مشاهده کردن چند آیکن بر روی آن که در مقابل آدرس URL قرار دارد به این معنی است که سایت امن است. اما در پشت صحنه در کامپیوترهای ما، سروری که از وب‌سایت میزبانی می‌کند، و یک قدرت صلاحیت‌دار که این کلید را به وب‌سایت داده است، یک تبادل رمزنگاری صورت می‌گیرد.
رمزنگاری کوانتومی، می‌تواند همه چیز را متحول کند
به دلیل علاقه مشتاقانه‌ای که برخی افراد به این مبحث نشان داده‌اند، آقای هلمن در مورد محدودیت‌های سیستم رمزنگاری که او کشف کرد، باعث روی آوردن بسیاری از محققان در این زمینه و کار کردن بر روی این موضوع شد. پس آقای هلمن وقتی می‌گوید سیستم رمزنگاری با چالش‌های هیجان‌برانگیزی روبه‌رو است، باید به حرف او اعتماد کرد.
او گفت که در سال ۱۹۷۰ در زمینه ریاضی یک نقطه عطف شکل گرفت و آن نقطه عطف به دلیل پیدایش توابع پیوسته بود. سختی موجود در فاکتورگیری از اعداد بزرگ، همان پیچیدگی موجود در سیستم‌های رمزنگاری است. سپس در سال ۱۹۸۰ این فاکتورگیری کمی جلوتر رفت و به این ترتیب هم عمل رمزنگاری پیشرفت بیشتری کرد و به همان نسبت هم کرک کردن رمزهای تولید شده توسط آن، سخت‌تر از قبل شد.
آقای Phil Dunkelberger گفت این مسئله خیلی پیچیده‌تر از آنی است که به نظر می‌رسد. او گفت در زمینه رکوردهای بانکی، ممکن است ده‌ها رکورد با کلیدهای رمزگذاری تکی وجود داشته باشند، و سپس و هر کلید هم به قسمتی از این اطلاعات ذخیره شده اختصاص داشته باشد. این امر، اصطلاحی به نام master key را به وجود می‌آورد که با ضعیف کردن ریاضیات در قلب این سیستم توانسته این لایه‌ها بردارد.
و شاید آسیبی که این کار به بدنه‌ی علم رمزنگاری وارد می‌کند حتی بیشتر از خطرهای آینده آن باشد. آقای Dunkelberger گفت: ما نباید همان مشکلات قبلی را بازنگری کنیم. به این ترتیب باید به دنبال راه‌های خلاقانه برای از سر راه برداشتن مشکلات و پیش‌برد این علم به سمت جلو با سرعت بیشتر بگردیم. تنها در این صورت است که کاربران احساس امنیت کامل خواهند کرد و به زندگی آرام روزمره خود ادامه می‌دهند.

منبع : افشین متولی در شبکه و امنیت, مجله شماره 279 - آذر 95 بهمن ۲۵, ۱۳۹۵

طراحی و معماری زیرساخت کلید عمومی یا PKI قسمت اول – شناسایی نیازمندیهای PKI

یکی از مهمترین مباحثی که در خصوص رمزنگاری داده ها وجود دارد زیرساختار کلیک عمومی یا PKI است ، این نوع رمزنگاری از نوع نامتقارن است که دارای دو کلید است که یکی برای رمزنگاری و دیگری برای رمزگشایی استفاده می شود ، معمولا تا نامی از ساختار PKI در سیستم عامل های مایکروسافت می آید به فکر سختی ها و ابهاماتی می افتیم که همیشه در این مسئله جزئی از کار هستند ، اکثر ایرانی هایی که در راه اندازی PKI دستی دارند و در سازمان خود از PKI های مایکروسافتی استفاده می کنند ، از مفاهیم موجود در آن اطلاعاتی ندارند و صرفا آن را نصب می کنند ، در این سری مقالات ضمن بررسی چیستی PKI به بررسی و طراحی این ساختار بصورت اصولی در سیستم عامل های مایکروسافت خواهیم پرداخت . در شبکه های تحت سیستم عامل ویندوز سرور 2008 زیرساخت کلید عمومی یا PKI به یک یا چندین Certificate Authority یا CA گفته می شود که از طریق سرویس Active Directory Certificate Services پیاده سازی شده باشند. تعجب نکنید در خصوص تمامی این واژه ها در ادامه توضیحات کاملی را ارائه خواهیم داد اما توجه کنید که پیاده سازی PKI به همین سادگی ها نیست که صرفا در Server Manager یک Role نصب کنید و کار تمام شود. برای بیشتر سازمان های متوسط و رو به بزرگ پیاده سازی PKI نیازمند طراحی اولیه و تهیه مستندات است.

مدت ها بود که استفاده از زیر ساختار PKI در سازمان ها چندان معمول نبود تا اینکه اکثر نرم افزارهای کاربردی و سرویس های شبکه برای بالا بردن سطح امنیتی خود استفاده از PKI را در زیرساخت نرم افزاری خود به عنوان یک الزام قرار دادند و این خود دلیلی بود که سازمان ها نیز به سمت استفاده از PKI بروند . قطعا اگر سازمان شما از استانداردهای بین المللی امنیت اطلاعات مانند ایزو 27001 استفاده می کند و یا حداقل چیزی به عنوان خط مشی امنیت سازمان وجود دارد استفاده از PKI معمولا در این سیاست های کلان دیده می شود. اگر در خط مشی امنیتی سازمانی شما PKI دیده شده است که به ندرت چنین چیزی در ساختارهای سازمانی ایران دیده می شود به سراغ بررسی نیازمندیهای اولیه PKI از قبیل نیازمندیهای تجاری ، نیازمندیهای خارجی و نیازمندیهای اکتیودایرکتوری می رویم . بعد از اینکه تمامی این موارد را بررسی کردید که با توجه به تجارب بنده بررسی نخواهید کرد به سراغ طراحی PKI برای سازمان می رویم و آن را در بر اساس خط مشی امنیتی سازمان و نیازمندیهای سازمان جلو می بریم.

---

 

مروری بر مفاهیم PKI

PKI مخفف کلمه Public Key Infrastructure یا زیرساخت کلید عمومی می باشد که در واقع یک سری از تکنولوژی ها هستند که به شما امکان استفاده از رمزنگاری نامتقارن یا در لفظی دیگر رمزنگاری کلید عمومی را می دهند. در رمزنگاری کلید عمومی یک جفت کلید با استفاده از الگوریتم های رمزنگاری ریاضی تولید می شوند که به نام های کلید عمومی یا Public Key و کلید خصوصی یا Private Key معرفی می شوند ، با استفاده از مجموع این دو کلید شما می توانید عملیات رمزنگاری و رمزگشایی اطلاعات را انجام دهید. اگر کلید خصوصی برای رمزنگاری استفاده می شود ، صرفا کلید عمومی مرتبط با آن می تواند اطلاعات مربوطه را رمزگشایی کند. عکس همین عمل هم ممکن است و اگر شما با کلید عمومی چیزی را رمزنگاری کنید ، صرفا با کلید خصوصی مرتبط با آن عملیات رمزگشایی انجام خواهد شد. اگر بخواهیم تخصصی تر در این مورد توضیح بدهیم می توانیم بگوییم که PKI یک سیستم است که از ترکیبی از گواهینامه های دیجیتال ( Digital Certificates ) ، مراکز صدور گواهینامه ( Certificate Authorities ) و مراکز ثبت گواهینامه ( Registration Authorities ) تشکیل شده است که در مجموع می توانند سرویسی برای رمزنگاری اطلاعات ایجاد کنند که بتواند تبادلات الکترونیک را رمزنگاری و یا اشخاص را احراز هویت کنند. ساختار PKI در ساده ترین حالت شامل اجزای زیر می باشد:

• گواهینامه های دیجیتال یا Digital Certificates : در ترجمه به معنی اعتبار است اما بهتر است بگوییم که Credential های الکترونیکی می باشند که شامل کلید عمومی هستند که برای رمزنگاری داده ها و استفاده به عنوان امضاء الکترونیکی استفاده می شوند. در واقع Digital Certificate ها پایه و اساس کار PKI هستند و بدون آنها PKI بی معنی است.

 

• یک یا بیش از یک مرکز صدور گواهینامه دیجیتال یا Certificate Authority : مراجع یا موجودیت های مورد اعتمادی هستند که برای صدور Digital Certificate ها مورد استفاده قرار می گیرند. زمانیکه از بیش از یک عدد CA در یک مجموعه استفاده می شود ، همیشه برای آنها یک نظم در طراحی وجود دارد که وظایف هر یک از آنها را به تفکیک روشن کرده است ، برای مثال CA ریشه یا Root در هسته اصلی مرکز قرار دارد ، در زیر مجموعه Root CA مرکزی به نام Subordinate CA وجود دارد و در نهایت مرکزی برای صدور گواهینامه برای کاربران به نام Issuing CA وجود دارد.

 

• Certificate Policy و Certificate Practice Statement : اینها دو عدد مستند مکتوب هستند که در آنها شیوه استفاده از CA و همچنین Certificate هایی که در آن وجود دارند تشریح شده است و همچنین درجه اعتمادی که می توان به Certificate های این مجموعه داد را تعیین می کند ، تمامی موارد و مسائلی که در خصوص از بین رفتن اعتماد به CA و از این قبلی مشکلاتی که در ساختار PKI به وجود می پیوندند در این مستندات دیده شده است.

 

• Certificate Repository: محلی است که مانند یک ساختار directory Service که از اکانت های کاربری محافظت می کند ، از Certificate های تولید شده توسط ساختار PKI موجود محافظت و آنها را ذخیره می کند ، Certificate ها از این محل منتشر می شوند . در یک محیط دامین معمولا پایگاه داده اکتیودایرکتوری معمولترین Repository است که برای انتشار و نگهداری Certificate ها مورد استفاده قرار می گیرد.

 

• Certificate Revocation List یا CRL : لیستی از Certificate هایی است که قبل از اینکه تاریخ انقضای آنها برسد بر اساس شرایط بوجود آمده باطل یا Revoke شده اند.

 

---

 

شناسایی ابزارها و سرویس های کاربردی PKI یا PKI-Enabled Applications

همیشه زمانی استفاده از یک تکنولوژی باب می شود که نیازی به استفاده از آن ایجاد شود و PKI هم از این قضیه استثناء نیست . سازمان هایی که امروزه از PKI استفاده می کنند نیاز به استفاده از آن را بیشتر در نرم افزاهای کاربردی و سرویس هایی می بینند که برای بالا بردن سطح امنیت خود از PKI استفاده می کنند. بعد از اینکه نیاز به PKI ملموس شد سازمان مجبور می شود که بر اساس نیاز پشتیبانی های لازم برای برآورده سازی نیازهای راه اندازی PKI را برطرف کند. در ادامه لیستی از تکنولوژی های و نرم افزارهای کاربردی که سازمان را مجبور به استفاد از PKI می کند را به شما معرفی خواهیم کرد :

• 802.1x Port Based Authentication : این قابلیت به شما اجازه می دهد که بتوانید دسترسی به شبکه وایرلس و یا شبکه اترنت خود را برای کاربران غیرمجاز مسدود کرده و صرفا به کسانی اجازه متصل شدن به سیستم را بدهند که از طریق 802.1x احراز هویت شده اند. زمانی که شما در این سرویس از پروتکل های Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Extensible Authentication Protocol-Tunneled Transport Layer Security (EAP-TTLS یا (Protected Extensible Authentication Protocol (PEAP استفاده می کنید بایستی از ساختار PKI استفاده کنید.

 

• امضای دیجیتال یا Digital Signatures : مهمترین رکن در امضاهای دیجیتال ساختار PKI است . Digital Signatures تبادلاتی که در اینترنت انجام می شوند را امن می کنند و روشی را برای شما فراهم می کنند که متوجه بشوید چه کسی ، چه اطلاعاتی و چه محتوایی را منتقل کرده است و از طرفی از دستکاری نشدن اطلاعات نیز اطمینان حاصل می کند. بسته به روشی که Certificate صادر شده است شما می توانید از امضاهای دیجیتال برای انکارناپذیری یا non-repudiation نیز استفاده کنید ، بدین معنی که اگر کسی کاری را انجام داده است نتواند انجامش را انکار کند. در این حالت اگر شخصی اطلاعاتی را منتقل کند ، نمی تواند منکر این قضیه شود به دلیل اینکه صرفا کسی که دارای Private Key مربوطه می باشد توانایی انتقال چنین داده ای را دارد.

 

• Encryption File System یا EFS : این قابلیت ، سرویس محرمانگی یا Confidentiality را به NTFS می دهد. در این قابلیت از دو کلید عمومی و خصوصی برای رمزنگاری و رمزگشایی فایل ها و همچنین برای بازیابی اطلاعات در مواقع ضروری یا Recovery Agent استفاده می شود. Certificate هایی که برای EFS ایجاد می شوند صرفا از طریق Enterprise CA ها امکان صدور دارند ، در جایی که شما Enterprise CA در اختیار ندارید هرگاه از EFS استفاده کنید ، Certificate ها بصورت Self-Signed صادر و استفاده می شوند.

 

• IPSec : اگر با پروتکل امنیتی IPSecurity یا IPSec آشنایی داشته باشید حتما می دانید که این پروتکل برای رمزنگاری و همچنین Tunneling بین دو سیستم برای برقراری ارتباط امن مورد استفاده قرار می گیرد ، اما برای اینکه بتوانید ساختار احراز هویت را نیز به IPSec اضافه کنید می توانید از Certificate ای که در PKI تولید می شود استفاده کنید. IPSec می توانید ارتباطات بین دو Endpoint را به خوبی Digitally Sign کند. توجه کنید که Certificate های بصورت مستقیم برای رمزنگاری داده هایی که توسط IPSec منتقل می شوند استفاده نمی شوند بلکه برای Authentication یا احراز هویت دو Endpoint استفاده می شوند.

 

• Secure E-Mail یا S/MIME : پروتکل Secure Multipurpose Internet Mail Extensions یا همان SMIME برای برقراری ارتباطات ایمیل محرمانه ، دارای تمامیت و صحت اطلاعات و انکارناپذیری استفاده می شود. SMIME از Certificate برای شناسایی هویت فرستنده ، اصل و ماهیت پیام ارسالی و صحت و تمامیت پیام ایمیل استفاده می کند. همچنین SMIME محرمانگی پیام ایمیل را با استفاده از رمزنگاری اطلاعات درون آن انجام می دهد.

 

• کارت های هوشمند یا Smart Card : کارت های هوشمند شبیه کارت های اعتباری هستن که در آنها Certificate کاربر ذخیره می شود. شما می توانید با استفاده از کارت های هوشمند فرآیند احراز هویت Two Factor با درجه امنیتی بالاتری نسبت به رمزعبور خالی برای ورود به سیستم ها ایجاد کنید.

 

• Code Signing : با استفاده از قابلیت Code Signing شما می توانید از نصب درایورها یا نرم افزارهای غیر مجاز بر روی سیستم جلوگیری و محافظت کنید ، نرم افزارهایی که از قابلیت Code Signing پشتیبانی می کنند مانند Microsoft Internet Explorer می توانند به گونه ای تنظیم شوند که از اجرا کنترل ها و کدهای Unsigned جلوگیری کنند.

 

• Virtual Private Network یا VPN: سرویس VPN به شما اجازه برقراری ارتباط از راه دور با شبکه های خصوصی از طریق پروتکل های Tunneling از قبیل PPTP و L2TP و SSTP را می دهد. البته تمامی پروتکل های VPN از Certificate برای برقراری ارتباط استفاده نمی کنند بلکه پروتکل L2TP زمانیکه از IPSec استفاده می کند از Certificate برای فرآیند احراز هویت استفاده می کند و از طرفی کلیه فعالیت های SSTP که با SSL رمزنگاری می شود از Certificate برای اینکار استفاده می کند.

 

• Web Authentication و SSL: این دو سرویس با استفاده از این دو سرویس با استفاده از Certificate ها می توانند برای وب سرور قابلیت رمزنگاری اطلاعات مربوط به احراز هویت در شبکه داخلی و یا اینترنت را فراهم کند ، با استفاده از SSL کاربران وب می توانند از هویت اصلی و واقعی بودن سرور وب اطمینان حاصل کنند و تمامی ارتباطات بین کلاینت و سرور رمزنگاری خواهد شد. تمامی وب سرورهایی که دارای سرویس SSL هستند دارای Certificate هستند که توسط یک Third Party CA معتبر صادر می شود اما در برخی از مواقع پیش می آید که شما می توانید از Certificate ای که Client ها دارند برای سرور هم استفاده کنید که این مورد معمولا به ندرت پیاده سازی می شود.

 

---

 

شناسایی نیازمندیهای Certificate

بعد از اینکه تعیین کردید که از کدامیک از سرویس ها یا نرم افزارهای مرتبط یا PKI می خواهید در سازمان خود استفاده کنید ، بایستی تعیین کنید که چه کسی مسئول صدور Certificate ها و نوع Certificate ای خواهد بود که قرار است صادر شود. معمولا Certificate ها به شکل زیر صادر می شوند :

• User Certificate: این نوع Certificate برای یک کاربر خاص صادر می شود که قرار است از سرویس ها یا نرم افزارهای PKI استفاده کند. کاربر مورد نظر در این حالت یک Certificate مخصوص به خود دریافت می کند که با استفاده از آن می تواند از سرویس ها و قابلیت های PKI مختص یک کاربر مانند سرویس EFS که برای رمزنگاری اطلاعات یک کاربر خاص مورد استفاده قرار می گیرد استفاده کند ، این Certificate در این حالت صرفا برای مصرف EFS مورد استفاده قرار می گیرد . Certificate هایی که برای کاربران صادر می شود در Current User Certificate Store ذخیره می شوند.

 

• Computer Certificate: این نوع Certificate همانطور که از نامش پیداست صرفا برای یک کامپیتور صادر می شود و زمانی که یک کامپیوتر یا یک User به این کامپیوتر متصل می شود این Certificate هویت واقعی این کامپیوتر را مشخص می کند. این Certificate هویت کامپیوتر را مشخص می کند و در قسمت Local Machine Certificate Store ذخیره می شود.

 

• Network Device Certificate : برخی از سخت افزارهایی که در شبکه فعالیت می کنند می توانند از امکانات و سرویس هایی که PKI در اختیار آنها قرار می دهد استفاده کنند و احراز هویت کلاینت ها و سرورها را با استفاده از PKI انجام دهند. این دستگاه ها شامل تجهیزات سخت افزاری VPN و Firewall و Router ها هستند اما فقط به اینها محدود نمی شوند. فرآیند نصب یک Certificate بر روی یک دستگاه بستگی به نوع سیستم عامل بکار رفته بر روی دستگاه مورد نظر و از طرفی Interface های شبکه ای دارد که بر روی دستگاه مورد نظر وجود دارد. Network Device Enrollment یک امکان جدید است که در CA های مایکروسافت بر روی ویندوز سرور 2008 معرفی شده است ، این قابلیت وابستگی مستقیمی به سرویس Network Device Enrollment Service یا NDES دارد. این سرویس در واقع معادل مایکروسافتی سرویسی به نام Simple Certificate Enrollment Protocol یا SCEP است ، این سرویس در واقع یک پروتکل است که به شما امکان پیاده سازی استاندارد X.509 را بر روی سخت افزارها و دستگاه هایی که قابلیت احراز هویت در شبکه را دارند فراهم می کند و این بدین معناست که این دستگاه ها می توانند از CA برای خود Certificate دریافت کنند.

 

• Service Certificate : سرویس ها نیز برای احراز هویت و رمزنگاری از Certificate هایی که برای کامپیوترها صادر می شود استفاده می کنند. Certificate ها در واقع برای سرویس ها صادر نمی شوند بلکه در عوض Certificate ای که برای کامپیوتر صادر می شود و توسط سرویس مورد استفاده قرار می گیرد در Local Machine Store یا در پروفایل اکانت سرویس مورد نظر ذخیره می شود. برای مثال اگر یک Certificate برای سرویس World Wide Web یا WWW یک سرویس وب نصب شود ، Certificate مورد نظر در قسمت Local Machine Store ذخیره خواهد شد. از طرفی دیگر Certificate ای که برای Recovery Agent مربوط به EFS مورد استفاده قرار می گیرد در User Profile کاربر سرویس مورد نظر ذخیره می شود.

نکته : کجا باید برای یک سرویس Certificate مورد نیازش را نصب کنید ؟
ساده ترین روشی که شما می توانید تعیین کنید که آیا یک سرویس نیاز به Certificate دارد یا خیر این است که تشخیص دهید که سرویس مورد نظر به وسیله چه چیزی احراز هویت را انجام می دهند ، اگر سرویس از Local System استفاده می کند ، Certificate مورد نظر بایستی در Local Machine Store ذخیره شود و اگر سرویس مورد نظر از یک نام کاربری و رمز عبور مشخص شده استفاده می کند ، بنابراین Certificate مورد نظر در پروفایل کاربر مورد نظر ذخیره می شود.

---

 

شناسایی نیازمندی های امنیتی Certificate ها

نیازمندی های امنیتی Certificate ها بر اساس نوع سرویس PKI ای که قصد استفاده از آن در سازمان خود دارید ، متفاوت است . شناسایی این نیازمندی ها به شما اجازه می دهد که تنظیمات Certificate های مورد نیاز را به خوبی برآورد کنید ، برای هر مجموعه ای از Certificate ها شما بایستی نیازمندی های امنیتی زیر را به خوبی شناسایی و درک کنید:

• طول کلید خصوصی یا Private Key Length : در یک پیاده سازی تعریف شده ، طول کلید خصوصی هایی که در یک سطح از hierarchy یا سلسله مراتب ساختار PKI قرار میگیرند نصب طول کلید خصوصی است که در سطح بالایی خود استفاده می شود. برای مثال در ساختار PKI طول کلید خصوصی که برای یک کاربر صادر می شود ممکن است 1024 بیتی باشد و در همین حال طول کلید خصوصی CA صادر کننده 2048 بیتی باشد و طول کلید خصوصی Root CA یا ریشه 4096 بیتی باشد. توجه کنید که با اگر طول کلید خصوصی شما طولانی تر باشد طبیعی است که برای شکستن این کلید زمان بیشتری از لحاظ دانش ریاضی مورد نیاز می باشد بنابراین به تناسب طول کلید بیشتر ، عمر Certificate ای که صادر می شود نیز بیشتر خواهد بود. برای انتخاب طول کلید خصوصی در هر لایه از CA ها بزرگترین مسئله قابلیت استفاده نرم افزارها و سرویس ها از کلید هایی با طول زیاد است ، برخی از سرویس ها و نرم افزارها نمی توانند از کلید هایی با طول زیاد پشتیبانی کنند.

 

• الگوریتم رمزنگاری یا Cryptographic Algorithm : الگوریتم های رمزنگاری جزء جدا ناشدنی Certificate ها هستند. تنظیمات استاندارد Certificate هایی که از طریق CA های ویندوز سرور 2008 صادر می شوند بایستی دارای یک سری پارامترهای امنیتی پیشفرض باشند. اما گاهی برای شما پیش می آید که می خواهید برای گروه خاصی که در شبکه فعالیت می کنند تنظیماتی انجام دهید که طول کلید خصوصی آنها و عمر گواهینامه یا Lifetime آن طولانی تر یا کمتر از موراد مشابهی باشد که برای سایر کاربران وجود دارد. شما با استفاده از الگوریتم های رمزنگاری خاص می توانید روش ذخیره سازی کلید خصوصی در کارت های هوشمند را به گونه ای تعیین کنید که از درجه امنیتی بالاتری برخوردار باشند.

 

• عمر گواهینامه یا Lifetime و کلید خصوصی و چرخه تجدید Certificate : یک Certificate در زمان صدور دارای یک تاریخ و زمان اعتبار و یک تاریخ و زمان انقضاء می باشد. شما نمی توانید اعتبار یک Certificate صادر شده را بعد از صدور تغییر دهید. عمر گواهینامه دیحیتال یا Certificate Lifetime بسته به نوع Certificate ، نیازهای امنیتی ، استانداردهای بکار گرفته شده در سازمان شما و همچنین مقررات دولتی می تواند متغیر باشد

نکته : عمر گواهینامه ها یا Certificate Lifetime : زمانی که شما می خواهید Certificate Lifetime را برای ساختار PKI خود تعیین کنید ، گزینه درست این است که Certificate Lifetime مربوط به CA های Parent یا والد را دو برابر CA های Subordinate یا میانی در نظر بگیرید. علاوه بر این زمان اعتبار یا Validity Period مربوط به CA ای که به عنوان صادر کننده یا Issuing CA مشغول به کار است را بایستی حداقل دو برابر زمان اعتبار Certificate هایی باشد که توسط همان CA صادر می شود. برای مثال شما برای یک Certificate که برای کاربر صادر می شود تاریخ اعتبار یک ساله در نظر می گیرد و این در حالی است که CA صادر کننده دارای تاریخ اعتبار 5 ساله می باشد و CA ریشه یا Root CA دارای تاریخ اعتبار 10 ساله می باشد.

• نگهداری و ذخیره سازی کلید های خصوصی خاص یا Special Private Keys : هر سازمانی برای خود بایست دارای یک خط مشی امنیتی یا Security Policy باشد که در آن به نیازمندی های امنیتی که برای نگهداری کلید خصوصی CA وجود دارد اشاره شده باشد. برای مثال یک سازمان ممکن است برای نگهداری کلید خصوصی خود از استاندارد محافظتی Federal Information Processing Standards یا FIPS شماره 140-2 استفاده کند. در خصوص این استاندارد به امید خدا در مقاله ای جداگانه بصورت مفصل توضیحاتی ارائه خواهیم کرد.

معیارهایی که شما می توانید برای محافظت از کلید خصوصی CA خود استفاده کنید شامل استفاده از یک Cryptographic Service Provider یا CSP است که به شما این قابلیت را می دهد که بتوانید کلید خصوصی CA خود را در درون هارد دیسک کامپیوتر خود ، در داخل یک کارت هوشمند CSP که اطلاعات مربوط به کلید خصوصی را در خود ذخیره می کند و با استفاده از یک PIN Code از آن نگهداری می کند ، در داخل یک Hardware Security Module یا HSM که بالاترین سطح امنیتی را برای کلید خصوصی شما فراهم می کند ، می باشد. HSM ها سخت افزارهای ویژه ای هستند که برای نگهداری کلید های خصوصی مورد استفاده قرار می گیرند.

---

 

Cryptographic Service Provider یا CSP چیست ؟

یک CSP در واقع چگونگی و روش دسترسی و محافظت از کلید خصوصی یا Private Key را تعیین می کند . این CSP است که تعیین می کند در کجا زوج کلید های Certificate ایجاد شود و چه زمانی Certificate در خواست شود و همچنین مکانیزم های امنیتی برای محافظت از کلید خصوصی را نیز تعیین می کند. برای مثال در یک CSP ممکن است برای دسترسی به کلید خصوصی موجود در یک کارت هوشمند حتما یک PIN Code نیاز باشد. CSP پیشفرضی که در ساختار AD CS در ویندوز سرور 2008 وجود دارد به نام RSA#Microsoft Software Key Storage Provider است . این CSP ضمن اینکه از الگوریتم های رمزنگاری قدیمی پشتیبانی می کند ، از الگوریتم های جدید نیز پشتیبانی می کند.

بازنگری و تازه سازی خط مشی امنیتی سازمان

بعد از اینکه ساختار و نیازمندیهای PKI و Certificate ها در سازمان دیده شد ، شما بایستی خط مشی امنیتی سازمان را مجددا بازنگری کنید. خط مشی امنیت اطلاعات یا Security Policy در واقع یک مستند تدوین شده توسط اعضای قانونی یا مدیران سازمان ، منابع انسانی و دپارتمان فناوری اطلاعات یک سازمان است که در آن استانداردهای امنیتی سازمان مشخص و مستند شده است. این مستند معمولا حاوی دارایی هایی است که برای سازمان دارای ازرش هستند و تهدیداتی که در مقابل این دارایی ها وجود دارد ، در نهایت کنترل هایی که برای محافظت از این دارایی ها در مقابل تهدیدات وجود دارد در این مستند آورده شده است. خط مشی امنیت اطلاعات یک سازمان برای اینکه بتواند به سئوالاتی که در سطوح بالا از پیاده سازی های PKI به وجود می آیند پاسخگو باشند بایستی به روز رسانی شوند که نمونه ای از این سئوالات به شرح زیر می باشد:

• چه نرم افزارهایی بایستی به وسیله Certificate ها امن شوند ؟
• چه سرویس های امنیتی بایستی به وسیله Certificate ها ارائه شوند ؟

معمولا در زمان طراحی و معماری ساختار PKI بایستی به خاطر داشته باشیم که PKI بایستی بتواند خط مشی امنیتی سازمان را مجبور به تغییر کند . یک ساختار PKI تنها زمانی به درستی می تواند در حیطه امنیتی خود عمل کند که خط مشی امنیتی سازمان و دستورالعمل های این خط مشی بتوانند از آن پشتیبانی کنند و PKI را قابل پیاده سازی کنند.

---

 

ارزیابی نیازمندی های تجاری

نیازمندی های تجاری مشخص کننده اهداف یک سازمان هستند. نیازمندی های تجاری تاثیر مستقیمی بر طراحی ساختار PKI در یک سازمان دارند و در واقع PKI بایستی به نحوی طراحی شود که در راستای برآورده سازی نیازهای سازمانی و فرآیندهای کاری باشد. برای مثال نیازمندی های تجاری که در ادامه مشاهده می کنید تاثیر مستقیمی بر روی طراحی ساختار سلسله مراتبی CA ها دارند:

• کاهش هزینه های مرتبط با PKI : در طراحی ساختار سلسله مراتبی PKI بایستی به این مورد توجه کنید که از حداقل تعداد ممکن از CA ها استفاده کنید برای مثال برخی از سازمان ها به جای استفاده از دو عدد CA به عنوان Policy CA و Issuing CA ، هر دوی آنها را بر روی یک سرور قرار می دهند تا هزینه های خود را پایین بیاورند ، در این حالت ضمن صرفه جویی در هزینه ها کارایی نیز تا حدودی در سطوح پایین ، بالا خواهد رفت.

 

• دسترسی پذیری بالا در صدور Certificate ها : یک سازمان همیشه به یک CA نیاز دارد که در صورت بروز مشکل برای CA های صادر کننده Certificate بتواند به روند کاری خود ادامه دهد و به هر دلیلی روند صدور Certificate ها دچار اخلال نشود. برای اطمینان از دسترسی همیشگی به یک CA شما بایستی از ساختار های Clustering برای Issuing CA های خود بر اساس Certificate Template تعریف شده استفاده کنید. اگر نیاز به uptime شما زیاد هم ضروری نیست شما می توانید Certificate Template تعریف شده در Issuing CA را در CA ها مختلفی که در ساختار سلسله مراتبی وجود دارند منتشر کنید تا در صورت بروز مشکل برای یکی از CA ها فرآیند کاری در جریان باشد.

 

• مسئولیت شرکای PKI : در یک ساختار سلسله مراتبی CA یکی از CA ها در نقش Policy CA فعالیت می کند ، این CA تعیین کننده مسئولیت های CA می باشد. این مسئولیت ها بایستی بتوانند تمامی مراوداتی که از طریق Certificate هایی که از طریق CA ها صادر شده اند را پوشش دهند. معمولا در این چنین شرایطی محلی از سازمان که مسئول قانون گذاری در سازمان شما می باشد مسئولیت ها را در این خصوص تعیین کرده و به ساختار PKI و شرکایی که از آن استفاده می کنند ابلاغ می کند.

 

---

 

ارزیابی نیازمندی های خارجی

در برخی اوقات پیش می آید که سازمان بایستی نیازمندی های خارجی را نیز در ساختار PKI خود در نظر بگیرد ، مثلا نیازمندی هایی که توسط سایز سازمان های طرف قرارداد یا مرتبط هستند و یا نیازمندی های کشورهایی که سازمان شما با آنها مراوده دارد ، برای مثال برخی از این نیازمندی های خارجی را می توان به شرح زیر معرفی کرد:

• ارائه امکاناتی برای سازمان های خارجی که بتوانند Certificate های صادر شده برای کارکنان را شناسایی کنند. اگر می خواهید سایر سازمان ها بتوانند Certificate هایی که در سازمان شما به موجودیت ها داده می شود را شناسایی کنند ، شما می توانید در این حالت به جای استفاده از یک طراحی PKI داخلی ، از یک طراحی PKI جانبی و تجاری مثل VeriSign یا RSA یا GeoTrust استفاده کنید. علاوه بر این گزینه جانبی دیگری نیز وجود دارد که شما می توانید برای CA های خود Trust بین CA ها را ایجاد کنید.

 

• استفاده از Certificate های صادر شده توسط CA های سازمان شما در سازمان های همکار ، ممکن است پرسنلی که در سازمان شما مشغول به کار هستند بخواهد اطلاعات یا امضاهای دیجیتال خود را که در سازمان شما استفاده می کنند را در یک سازمان همکار نیز مورد استفاده قرار دهند ، در این حالت شما می توانید یک Certificate دلخواه سازی شده یا Custom ایجاد کنید که نیازمندیهای سایر سازمان های همکار را نیز برطرف کند.

قوانین صنعتی و دولتی ، برخی از کشورها وجود دارند که قوانین خاصی برای طراحی ساختار سلسله مراتبی PKI و CA ها برای خود دارند. برای مثال کشور کانادا قانونی دارد که در آن نگهداری و حفاظت از اطلاعات شخصی افراد و مستندات الکترونیک که نمایانگر اطلاعات مشتری Certificate می باشد بایستی در شرکت بصورت کاملا محرمانه و حفاظت شده نگهداری شوند. این یعنی اینکه در صورت بروز مشکل برای اطلاعات شخصی افراد شرکت یا شخص مسئولی بایستی وجود داشته باشد که پاسخگوی این مشکل باشد و این اجبار در قالب یک قانون در طراحی های CA در کشور کانادا به اجرا در می آید.

Certificate ها برای اشخاص غیر خودی ( Non Personnel ) ، اگر شما برای افراد خارج از سازمان خود نیز قصد ارائه Certificate دارید ، می توانید به شکلی ساختار سلسله مراتبی CA های خود را طراحی کنید که در Certificate Policy جزئیات بیشتری در خصوص شیوه ارائه سرویس به مشتری های بیرونی لحاظ شده باشد.

---

 

ارزیابی نیازمندی های Active Directory

شما قبل از اینکه اقدام به نصب و راه اندازی یک Enterprise CA در محیط اکتیو دایرکتوری ویندوز سرور 2008 یا 2003 یا 2012 کنید بایستی یک سری آماده سازی های اولیه و همچنین نیازمندی ها را پیشبینی و انجام دهید ، این آماده سازی ها به شرح زیر می باشد:

• تعیین تعداد Forest های موجود در محیط : تعداد Forest های موجود در مجموعه در تعداد Enterprise CA هایی که می خواهید در ساختار AD CS خود داشته باشید تاثیر مستقیمی دارد. یک Enterprise CA صرفا می تواند برای User ها و Computer هایی که در همان Forest وجود دارند Certificate صادر کند.اگر تعداد Forest های شما در مجموعه بیش از یکی است ، برای هر یک از Forest های خود در طراحی بایستی یک Enterprise CA را در نظر بگیرید.

 

• تعیین تعداد Domain های موجود در محیط : اگر بیش از یک Domain در ساختار Forest شما وجود دارد ، یکی از مهمترین مسائل در طراحی ساختار PKI محل قرار دادن CA ها بر روی Domain مد نظر است .انتخاب Domain ای که میزبانی Computer Account های مربوط به CA را بر عهده داشته باشد تا حدود زیادی به این بستگی دارد که آیا مدیریت Domain های شما بصورت متمرکز انجام می شود و یا بصورت غیر متمرکز انجام می شود. در یک مدل مدیریت متمرکز معمولا CA ها در یک Domain قرار می گیرند ، در یک محیط با مدیریت غیر متمرکز شما ممکن است CA ها خود را بر روی چندین Domain قرار دهید.

 

• تعیین عضویت گروه Local Administrators بر روی Member Server : اگر شما از CSP برای نگهداری Private Key مربوط به CA استفاده می کنید ، تمامی اعضای گروه Local Administrators ای که بر روی CA قرار دارند می توانند Private Key مربوط به CA را Export کنند.در این مواقع شما بایستی Domain یا OU ای که دارای کمترین و محدودترین تعداد Local Administrators می باشد را شناسایی کنید. برای مثال در سازمانی که دارای یک Forest خالی می باشد ، شما ممی توانید تمامی Enterprise CA های خود را در ساختار Forest بر روی Forest Root Domain ایجاد کنید که کمترین تعداد ممکن Local Administrator را دارد.

 

• تعیین نسخه Schema موجود در Domain : برای پیاده سازی CA های ویندوز سرور 2008 و استفاده از تمامی امکاناتی که این CA در اختیار ما قرار می دهد شما بایستی آخرین نسخه از Active Directory Domain Services Schema را در اختیار داشته باشید. Schema در ویندوز سرور 2008 می تواند در Forest هایی که دارای دامین کنترلر های ویندوز سرور 2000 یا 2003 یا 2008 هستند پیاده سازی شود.

 

---

 

ارزیابی نیازمندی های Certificate Template

Certificate Template ها امکانی را فراهم می کنند تا شما بتوانید فرآیند ثبت نام Certificate یا Enrollment را در یک محیط مدیریت شده در Active Directory انجام دهید.با توجه به اینکه هر نسخه از محصولات ویندوز سروری که مایکروسافت ارائه کرده است دارای Certificate Template هایی با ویژگیها و نسخه های خاصی خود هستند ، مسئله هماهنگی یا Compatibility بایستی یکی از مسائلی باشد که در طراحی PKI بایستی در نظر بگیرید. اگر تاریخچه Certificate Template هایی که مایکروسافت ارائه داده است را بررسی کنیم ، میبینیم که در نسخه ویندوز سرور 2000 مایکروسافت تعداد 71 عدد Certificate Template ایستا و ثابت ارائه کرد ، در ویندوز سرور 2003 به Certificate Template ها قابلیت دلخواه سازی یا Customization را اضافه کرد و تعداد Certificate Template های خود را به 73 عدد اضافه کرد ، اما در ویندوز سرور 2008 ضمن اینکه مایکروسافت Certificate Template های نسبتا بیشتری ، نسبت به محصولات قبلی خود اضافه کرده بود امکانات بیشتری به این قابلیت در ساختار CA نیز اضافه کرده بود ، تعداد Certificate Template ها در ویندوز سرور 2008 به عدد 73 رسید.

به دلیل محدودیت ها و وابستگی هایی که مربوط به سیستم عامل می باشد ، Template های ویندوز سرور 2008 صرفا می تواند به CA هایی ارائه شوند که بر روی آنها ویندوز سرور 2008 نصب شده باشد . فقط کلاینت های ویندوز ویستا و سون و سرور 2008 می توانند برای ثبت نام هر 73 عدد Template ای که در ساختار PKI این سرور وجود دارد برای کامپیتورهای خود ثبت نام کنند. اگر تا به حال فقط 72 عدد از Template ها را در AD DS Forest نصب کرده اید ، بایستی Template های فعلی خود را بروز رسانی کرده و به جدید ترین تعداد که 73 عدد است ارتقاء دهید ، اگر هیچگونه Certificate Template ای در ساختار خود ندارید ، هر تعداد Template که تاکنون ایجاد شده است را می توانید در قسمت Configuration Container در AD DS Forest براحتی اضافه کنید.

نویسنده : محمد نصیری
منبع : انجمن حرفه ای های فناوری اطلاعات ایران

زير ساخت کليد عمومي/ نظام مديريت امنيت داده ها(نماد)

Public Key Infrastructure-PKI 

زير ساخت كليد عمومي (PKI)، معمولا به مجموعه اي از استانداردها،سيستم ها و روش هايي اطلاق مي گردد كه هدف از بكارگيري آنها، شناسايي و تعيين هويت و اعتبار اشخاصي است كه از طريق يك يا چند شبكه ارتباطي اقدام به ارسال پيام و يا انجام تراكنش هاي مالي و غير مالي مي نمايند.

در معماري يا زير ساختار PKI كه به رمز نگاري كليد عمومي و يا رمز نگاري نا متقارن نيز مشهور است بر خلاف رمزنگاري متقارن كه از يك كليد استفاده مي گردد، دو كليد يعني کليد عمومي و كليد خصوصي استفاده مي شود و اين امر باعث مي گردد كه در تراكنش هاي روزانه طرفين از اعتماد كامل به يكديگر برخوردار شوند. در اين سيستم،‌ كاربران داراي يك كليد عمومي هستند كه مي توانند در اختيار همگان قرار دهند و كليد ديگر يعني كليد خصوصي را محرمانه نگهدارند.

داده ها در اين سيستم با كليد عمومي طرف مقابل رمز نگاري شده و گيرنده پيام با كليد خصوصي خود پيام را رمزگشايي مي نمايد. اين سيستم داراي پيچيدگي هاي خاص خود مي باشد لذا بكار گيري يك تمثيل مي تواند درك آن را آسانتر نمايد.

اساس اين سيستم بر مبناي استفاده از كليدها استوار شده است. فرض شود شخصي داراي چندين صندوق است كه داري يك كليد است و صاحب كليد از روي آن چندين كليد مشابه ساخته و در اختيار افراد مختلف قرارداده است. افراد مذكور مي توانند پيام خود را در يكي از صندوق هاي مذكور گذارده و كليدي كه در اختيار وي قرارداده شده صندوق را قفل نمايد حال هيچ شخص ديگري بجز صاحب صندوق كه داراي كليد خصوصي مي باشد قادر به گشودن صندوق نخواهد بود زيرا تنها وي صاحب و دارنده كليد خصوصي است كه همراه با كليد عمومي از مركز صدور گواهي دريافت نموده است و در اين مرحله صاحب صندوق مطمئن مي گردد كه پيام براي وي و نه شخص ديگر ارسال شده است و چنانچه وي قادر به بازكردن صندوق نباشد اطمينان حاصل مي كند كه پيام از آن وي نمي باشد. افشاي اين پيام صرفا‌ زماني ميسر است كه شخص به كليد خصوصي صاحب صندوق دسترسي پيدا كند.

پس هر شخصي كه كليد عمومي صاحب صندوق را داشته باشد مي تواند با امنيت كامل پيام خود را ارسال و هيچ كس به جز صاحب  صندوق كه داراي كليد خصوصي (زوج كليد عمومي) است نمي تواند صندوق را باز و به مفاد پيام دسترسي پيدا كند.

اما سؤالي كه در اينجا مطرح مي شود اين است كه صاحب صندوق با باز كردن آن مي تواند اطمينان يابد كه پيام براي او ارسال شده است  اما اين پيام از طرف چه كسي ارسال شده؟ حتي اگر يادداشتي همراه پيام گذاشته باشيد عملا اين مسئله ثابت نمي گردد كه پيام از طرف چه شخصي ارسال گرديده زيرا هر كسي كه كليد عمومي صاحب صندوق را داشته باشد مي تواند اقدام به ارسال پيام نمايد.

باز هم فرض شود كه در داخل هر صندوق، صندوق كوچكتري قرار دارد و اگر ارسال كننده پيام بخواهد هويت خود را آشكار و پس از ارسال قادر به كتمان هويت خود نباشد مي تواند نام و هويت خود را نوشته و با كليد خصوصي خود در صندوق كوچك را قفل نمايد. در اين صورت صاحب صندوق پس از بازكردن صندوق بزرگ با كليد خصوصي خود و خواندن پيام مي تواند با كليد عمومي ارسال كننده كه در اختيار وي قرار دارد صندوق كوچك را باز كرده و از هويت ارسال كننده مطلع گردد.

در مثال فوق همه چيز و تمامي موارد بصورت فيزيكي در نظر گرفته شده است اما در دنياي فناوري اطلاعات و در دنياي رايانه بايد معادل صندوق ها و كليدها را بكار گرفت. در اين حيطه با سيستم و فناوري بنام رمز نگاري سر و كار خواهيم داشت يعني پيام ها توسط الگوريتم هاي پنهان سازي داده ها نظير R5A بصورت رمزي در آمده و دريافت كننده با كليد خصوصي خود يعني رشته اي از كاراكتر ها، از حالت رمزي خارج و با كليد عمومي ارسال كننده پيام، هويت وي را تشخيص خواهد داد. به عبارت ديگر در اين سيستم متن هاي آشكار (Clear text) بصورت متن هاي سري (cipher text) در مي آيند.

در برنامه هاي كاربردي بانكي پيام هاي درون بانكي و بين بانك ها از چند شبكه مختلف عبور كرده و حامل داده هاي حساس مي باشد. اين پيام ها به شدت محرمانه بوده و در هر گروه از شبكه ارتباطي مي بايد سنديت آن تصديق گردد. اين اسناد توسط ارسال كننده و با استفاده از الگوريتم هاي sha2, MD5 فشرده شده و توسط كليد عمومي دريافت كننده رمز نگاري و توسط كليد خصوصي ارسال كننده امضاي ديجيتال و ارسال مي كردد که اين اقدامات باعث مي گردد كه پيام ها داراي خصايص ذيل گردند:

• محرمانگي:‌ اطلاعات محرمانه و خصوصي مي گردند.
• يكپارچگي: اطلاعات در بين مسير تغيير نمي يابد.
• اصالت:‌ارسال كننده و دريافت كننده همديگر را شناسايي مي نمايند.
• انكار ناپذيري :‌ارسال كننده يا دريافت كننده نمي توانند ارسال و يا وصول پيام ها را انكار نمايند.

منبع : http://www.nicholding.net/PKI.html

 

چک کردن پورت ها بصورت آنلاین

با استفاده از این سایت میتوانید متوجه بشید کدام یک از پورت های شما باز یا بسته می باشد.
کافیه پورت مورد نظر را در باکس Port Number بنویسید بعد وضعیت پورت را مشاهده کنید.
یا اینکه اصلا بر روی Scan All Common Ports کلیک کنید .

 

عبور از پسورد ويندوز 7‌در كوتاه ترين زمان ممكن-win 7 password recovery

شرکت مایکروسافت که با ارایه دو محصول جدید Windows 7 و Windows Server 2008 تلاش فراوانی داشت تا سرانجام به همه شایعاتی که در خصوص امنیت ویندوزهایش مطرح می شود، پایان دهد، هیچگاه تصور نمی کرد که تنها با گذشت چند ماه از ارایه آخرین دستاوردهایش، مثل همیشه با مشکلات امنیتی متعددی دست به گریبان باشد.

رخنه ها و مسایل امنیتی، انگار بخشی جدایی ناپذیر از محصولات این شرکت شده اند و همچون غولی شکست ناپذیر، در برابر عظمت آن قد برافراشته اند. برای اثبات این ادعا، کافی است که مراحل زیر را اجرا کرده و فقط در چند مرحله، با گذشتن از کلمه عبور ویندوز، حتی به بازیابی دوباره آن اقدام نمایید:

ابتدا DVD ویندوز ۷ را در داخل درایو کامپیوتر قرار داده و با restart نمودن سیستم، آن را از روی DVD  راه اندازی کنید. پس از بالا آمدن صفحه نصب ویندوز، دکمه Next را زده و در پنجره بعدی، گزینه Repair your computer را انتخاب نمایید.

سپس در پنجره باز شده، پس از انتخاب سیستم عامل، دکمه Next را زده و در صفحه بعدی، بر روی گزینه Command Prompt کلیک کنید.

 

پس از اجرا شدن برنامه cmd، باید از فایلی که قرار است برای ورود به ویندوز دستکاری شود، در محل دیگری نسخه پشتیبان بگیرید. برای انجام این کار، دستور زیر را تایپ کنید:

copy c:\windows\system32\sethc.exe c

 

حالا فقط کافی است که فایل اجرایی cmd را کپی کنید. برای این کار، از دستور زیر استفاده نمایید:

copy c:\windows\system32\cmd.exe c:\windows\system32\sethc.exe

 

آنگاه، برنامه cmd را بسته، دکمه Restart را از پنجره جاری، انتخاب نموده و اجازه دهید تا به صورت عادی، ویندوز بارگذاری شود. هنگامی که صفحه خوش آمد گویی و در خواست کلمه عبور را مشاهده کردید، دکمه Shift صفحه کلید را ۵ مرتبه بفشارید تا پنجره command prompt در حالت مدیر سیستم، نمایش داده شود.

هم اکنون، زمان تغییر کلمه عبور ویندوز است. بنابراین، دستور زیر را تایپ کنید:

net user administrator NewPassword

 

توجه داشته باشید که به جای کلمه administrator، باید نام کاربری ویندوز و به جای NewPassword، رمز عبور جدیدی که می خواهید جایگزین پسورد فعلی شود را تایپ نمایید.

سپس برنامه cmd را بسته و با کلمه عبور جدیدی که داده اید، وارد ویندوز شوید. به همین راحتی!

در آخر هم باید فایل اصلی sethc.exe را که از آن نسخه پشتیبان گرفته اید، جایگزین فایل فعلی نمایید. برای انجام این کار، دوباره سیستم را از روی DVD ویندوز راه اندازی کرده و زمانی که بعد از قسمت Repair your computer پنجره cmd نمایش داده شد، دستور زیر را برای جایگزینی آن تایپ کنید:

copy c:\sethc.exe c:\windows\system32\sethc.exe

در نهایت، برای اعمال تغییرات، لازم است که سیستم دوباره راه اندازی شود.

نویسنده: محمد مهدی واعظی نژاد

منبع:www.p30download.com

web application firewallچیست؟

 

Waf یک  ابزار امنیتی برای حفاظت web app های از کسانی که می خواهند از طریق آسیب پذیری های web app های به سیستم حمله کنند.

Waf یک ابزار برای کاهش فشار حملات می باشد و یک ابزار برای رفع آسیب پذیری ها در web app ها نیست که بصورت مکانیکال به بازرسی ارتباط بین website  و user بر اساس رول های تعریف شده در waf می پردازد.

با استفاده از waf  این نتایج برای ما حاصل می شود:

1-حفاظت از  web app از حملاتی که می خواهند از آسیب پذیری ها بهره برداری کنند.

2-شناسایی حملاتی که می خواهند از آسیب پذیری ها استفاده کنند.

3-حفاظت چندین web appاز حملات

 

 

 

 

تفاوت های بین WAF  و FIREWALL

Firewall یک نرم افزار یا سخت افزاری  است  که کنترل دسترسی  کاربران را بر اساس src add وadd dst و src port و dst port   اعمال میکند

با استفاده از فایروال  این امکان وجود دارد که  یکسری محدودیت ها برای ارتباط با سرویس های که روی  سرور وجود دارد اعمال کنیم. با محدود کردن  سرویس هایی که لازم نیستند که برای عموم باشند و بستن آنها  این امکان بوجود می آید که از  دسترسی های غیر مجاز به این سرویس ها جلوگیری شود.

فایروال نمیتواند از حملاتی که میخواهند از طریق آسیب پذیری ها نفوذ کنند جلوگیری کند و از طرف دیگر  waf میتواند محتوای packet ها را بازرسی کند و برای مثال با داشتن یک رول  در waf میتواند حملات مثل sql injection  را شناسایی کند و این امکان وجود دارد که این packet  ها را block کند.

 

 

 

تفاوت های بین WAF و IDPS

هر دو این سرویس ها امکان بازرسی کردن محتوای بسته ها را بر اساس رول های تعریف شده در آنها دارند

Ips یک نرم افزار یا سخت افزاری است که  ارتباط بین دستگاه های مختلف  را بر اساس رول های تعریف شده در آن بازرسی می کند.ips  حملات مختلفی را سناسایی میکند مثلا حملاتی که میخواهند از طریق آسیب پذیری هایی که در os  وجود دارد انجام شوند

Ips  حمله را   بر اساس رول های تعریف شده در ids  شناسایی  و آن را block  میکند.

 

 

 

انواع WAF  از لحاظ lisencing

1-    Waf  های تجاری

2-    Waf های open source

انواع  waf  از لحاظ مدل و فرم:

1-بصورت یک محیط مخصوص

2-بصورت یک نرم افزار

3-بصورت یک سرویس

فایل packet tracer مربوط به برقراری تونل ipsec روی روتر های سیسکو

با سلام.

این فایل کاملا تست شده و برای روتینگ آن از ospf استفاده شده است.

برای تست این سناریو کافی است که یک tracert  از pc1  به pco بگذارید . متوجه می شوید که اصلا روتر وسطی در trace  دیده نمیشود(next hop)

دانلود

نخوه پیاده سازی ipsec روی روتر های cisco

در این مطلب نحوه پیاده سازی و ایجاد تونل  ip-sec روی روتر های cisco بصورت کامل و قدم به قدم توضیح داده شده .

دوستان در صورت نیاز به فایل pkt  آن مربوط به  packet tracer  اطلاع دهند.

موفق و پیروز و سربلند باشید.

دانلود

 (((بزرگترین اقیانوس آرام است.. پس آرام باش تا بزرگترین باشی)))

dynamic multi point VPN جیست؟

با سلام و عرض ادب و احترام خدمت دوستان عزیز.

مطلبی که براتون آماده کردم در مورد یک سرویس سیسکو هستش که برای ارتباطات تونلینگ امن به کار میره و مزایای زیادی داره و کاربرد خوبی در شبکه های بزرگ داره .یک چیزی شبیه VTUN در لینوکس را پیاده سازی میکنه با یک سری امکانات بیشتر.

ضمنا قابلیت استفاده ار routing protocol های معروف مثل BGP.EIGRP.OSPF را هم داراست و امکانای از قبیل high avabaility را در اختیار قرار میده.

موفق باشین

Download

مفاهیم امنیت شبکه

با سلام

این فایل حاوی توضیحاتی در رابطه با امنیت شبکه و ارتباطات است.

 

با تشکر از جناب مهندس عباسپور

دانلود

دانلود جزوه PDFمباحثی کامل پیرامون IDS

دانلود

با سپاس از توليد كنندگان PDF

دانلود جزوه آموزش قدم به قدم هك

 

دانلود جزوه اول

دانلود جزوه دوم

 

با سپاس از" آراز صمدي "و "آقاي من"

دانلود pdf مباحثي پيرامون نوشتن كدهاي مخرب

دانلود

با سپاس از سايت دنياي زيباي كامپيوتر

دانلود PDFمباحثي پيرامون BACKDOORS

دانلود PDF

با سپاس از محمد مسافر

دانلود راههاي مقابله با نفوذ با ASP.NET

دانلود   PDF

دانلود PDF‌ در حوزه امنيت اطلاعات با سطح مقدماتي

دانلود

دانلود PDF مروري بر معماري وب

 با تشكر از امير حسين شريفي

دانلود

ساخت یک میانبر جهت فعال و غیرفعال سازی دیوار آتشین در ویندوز

حتمأ شما نیز با Firewall یا دیوار آتشین موجود در ویندوز XP و ویستا آشنایی دارید. وظیفه اصلی این Firewall در درجه اول تأمین امنیت سیستم شما در برابر حملات خارجی به ویندوز است. اما این قابلیت همواره تأثیر مثبت ندارد و گاهی لازم میشود که آن را غیرفعال نماییم. جهت فعال سازی و غیرفعال سازی دیوار آتشین در ویندوز بایستی ابتدا به Control Panel و سپس Windows Firewall رفته و آن را فعال کنیم که این راه تا حدودی طولانی است. هم اکنون قصد داریم روشی میانبر از طریق ساخت Shortcut در ویندوز جهت فعال و غیرفعال نمودن Firewall برای شما بازگو کنیم که با بهره گیری از آن میتوانید تنها با یک دوبار کلیک بر روی آیکون مربوطه بر روی دسکتاپ دیوار آتشین را فعال نمایید و یا بلعکس.

ابتدا جهت ساخت یک Shortcut برای غیرفعال سازی دیوار آتشین :
بر روی فضای خالی از دسکتاپ راست کلیک نموده و از New گزینه Shortcut را انتخاب کنید.
در پنجره باز شده دستور زیر را وارد نموده و دکمه Next را بزنید:
netsh firewall set opmode disable

سپس نامی همانند Disable Firewall یا هر عنوان دلخواه دیگری برای آن انتخاب نمایید و بر روی دکمه Next کلیک کنید تا فایل میانبر ساخته شود.
اکنون اگر بر روی فایل ساخته شده دوبار کلیک کنید ابتدا پنجره ای سیاه رنگ باز و بسته میشود، سپس تغییر اعمال میگردد.

جهت فعال نمودن دیوار آتشین نیز به همانند روش بالا یک Shortcut جدید بسازید.
در مرحله اول دستور زیر را در آن وارد کنید:
netsh firewall set opmode enable

و نام آن را Enable Firewall بگذارید.
اکنون با دوبار کلیک بر روی این فایل جدید دیوار آتشین فعال میگردد.

جهت اطمینان از این موضوع نیز میتوانید به Control Panel > Windows Firewall مراجعه کنید و ببینید گزینه فعال سازی Firewall بر روی On یا Off تنظیم شده است.

به نقل از ترفندستان

خودتان یک آنتی ویروس بشوید

 خیلی اوقات پیش می آید که کامپیوتر شما دچار ویروسی می شود که امکان اسکن و تشخیص آن توسط آنتی ویروس وجود ندارد و یا آنکه ویروس با تشخیص نصب بودن آنتی ویروس بروی سیستمتان عملکرد آن را دچار اختلال می کند و مانع از این می شود که شما بتوانید از آنتی ویروس خود برای اسکن کامپیوتر استفاده کنید. در این شرایط چه باید کرد؟ آیا راهی وجود دارد که بتوان در این شرایط کامپیوتر را خودمان اسکن کنیم و مشکل به وجود آمده در آنتی ویروس را برطرف کرد؟ پاسخ تمامی این سوالات مثبت است! در این ترفند قصد داریم به معرفی روشی ابتکاری و در عین حال کاربردی بپردازیم که با استفاده از آن میتوانید کامپیوتر خود را شخصأ اسکن کنید و ویروس موجود را پاک کنید ، بدون بهره گیری از هیچ نوع آنتی ویروسی!

اولین قدم برای اسکن کردن کامپیوترتان نمایش فایل های مخفی در کامپیوتر می باشد.

برای انجام این کار : ابتدا با مراجعه به My Computer بروی منوی Tools کایک کنید و از منوی حاصل بروی عبارت Folder Options کلیک کنید. سپس بروی برگه View کلیک کنید و در این برگه تیک کنار عبارت های Show Hidden Files and Folders را فعال کنید و تیک کنار عبارت Hide Extensions For Known File Types را بردارید و بروی عبارت OK کلیک نمایید.
اینک از طریق مسیر C:/Windows/system32 به پوشه System32 مراجعه کنید. پس از ورود به پوشه system32 بروی منوی View کلیک کنید و از منوی حاصل عبارت Details را انتخاب کنید.
حال در پوشه system32 بروی جدا کننده Date Modified کلیک کنید و آنرا به سمت راست بکشید به طوری که تاریخ تمامی فایل ها یه طور کامل نمایش داده شود.
فایل های نمایش داده شده در پوشه system32 فایل های سیستمی مربوط به ویندوز می باشد که اکثرا با پسوند dll می باشد و این بخش معمولا مورد هدف ویروس ها و Spyware قرار می گیرد و خود را در بین این فایل ها مخفی می کنند.

اگر دقت کنید متوجه خواهید شد که اکثر این فایلهای قرار گرفته در این بخش دارای یک زمان مشخص می باشد و این زمانها (مثلا 8/10/2004) معرف این می باشد که مایکروسافت در این تاریج برنامه مربوط به فایل مورد نظر را به پایان رسانیده است (ترفندستان) و در واقع این زمان ها هیچ ربطی به زمان نصب ویندوز ندارد. حال اگر ویروس و یا spyware به این بخش حمله کند زمان آن با زمان فایل های سیستمی موجود در پوشه system32 مطابق ندارد و زمانی جدید تر از زمان مربوط به فایلهای سیستمی ویندوز خواهد بود و به راحتی از طریق مشاهده زمان های قرار گرفته در Date Modified قابل تشخیص می باشد. البته نکته بسیار مهم که باید توجه شود این است که نصب یک سخت افزار جدید و یا یک نرم افزار خاص می تواند فایلی را در این بخش کپی کند که زمان آن با زمان فایل های سیستم مطابق ندارد.

پس برای اینکه فایلی را در این بخش به اشتباه پاک نکنید روشی را مطرح میکنیم که این اشتباه رخ ندهد:
اگر میان فایل های واقع در پوشه system32 به فایلی برخورد کردیدکه تاریخ آن با تاریخ فایل های سیستمی ویندوز مطابقت نداردبروی این فایل کلیک راست کنید و گزینه Properties را انتخاب نمایید. سپس در پنجره Properties بروی برگه Version کلیک کنید و در این برگه نام کمپانی و ورژن فایل مورد نظر را مطالعه کنید.
اگر اطلاعات این فایل شامل نام کمپانی و خیلی اطلاعات دیگر برایتان آشنا نبود نام فایل مورد نظر را در موتور جستجو گر گوگل تایپ کنید و اگر در نتایج جستجو به این اشاره شده بود که این فایل ویروس است حتما آن را پاک کنید ولی اگر در نتایج جستجو به آلوده بودن این فایل اشاره نشده بود این فایل به واسطه یک سخت افزار و یا نرم افزاری به وجود آمده است.

نمایش کلیه فعالیت های اینترنتی جاری در ویندوز

یکی از مواردی که در حوزه امنیت شبکه و اینترنت بسیاری از کاربران حتی کاربران حرفه ای را نیز بسیار تهدید میکند فعالیت های اینترنتی ناخواسته ای است که در محیط ویندوز انجام میگیرد. این فعالیت ها ممکن است چه از طریق نرم افزارهای مختلف نصب شده و چه از طریق بدافزارهایی (Malware) که ممکن است بر روی سیستم شما در حال اجرا باشد و به طور مخفیانه جاسوسی سیستم را بکند صورت بگیرد. به عبارتی دیگر، ممکن است به این موضوع دقت کرده باشید که در هنگام اتصال به اینترنت ، اگر هیچ فعالیتی نظیر باز کردن صفجه وب توسط مرورگر انجام ندهید ، در پنجره Status مربوط به کانکشن اینترنت شما و در قسمت Activity مقدار Send و Receive باز هم تغییر خواهد کرد. این بدین معناست که پس از اتصال شما به اینترنت همواره در پشت پرده ارتباطات پنهانی در میان ویندوز و اینترنت برقرار است. این ارتباطات مخفی میتواند گاهی انقدر مضر باشد که باعث اشغال زیادی از پهنای باند اینترنت شما گردد. هم اکنون قصد داریم ترفندی را بازگو کنیم که با بهره گیری از آن میتوانید کلیه ارتباطات جاری انجام شده میان ویندوز و اینترنت توسط نرم افزارهای نصب شده را به شکل ریز شده و دقیق مشاهده کنید و در صورت لزوم اقدام به موقعی در جهت حل آن صورت دهید.

از منوی Start وارد Run شوید.
عبارت cmd را وارد کرده و Enter بزنید تا وارد محیط Command Prompt شوید.
سپس دستور زیر را وارد نموده و Enter بزنید (به دو فاصله Space تایپ شده در میان دستور نیز دقت کنید):
netstat -b 5

بلافاصله پس از این کار کلیه کانکشن های جاری توسط نرم افزارهای موجود در ویندوز با ذکر نام هر یک و همچنین پورت مورد استفاده و مسیری که به آن متصل شده است برای شما لیست میشود.
این لیست هر 5 ثانیه به روز میگردد.

در روش فوق اندکی اطلاعات به دلیل به روز رسانی سریع ممکن است قابل فهم نباشد.
برای حل این مشکل دستور زیر را در CMD وارد کنید:
netstat -b 5 > Kamyabonline.txt

سپس در زمانی به عنوان مثال حدود 5 دقیقه صبر کنید و سپس کلیدهای ترکیبی Ctrl+C بزنید.
اکنون عبارت Kamyabonline.txt را مستقیمأ در Run وارد کرده و Enter بزنید.
آمار اتصالات در آن بازه 5 دقیقه ای در یک فایل Notepad به شکلی دقیق قابل مشاهده است.

در پایان در صورت مشاهده هرگونه ارتباط غیرمنطقی یا ناخواسته در میان ارتباطات اینترنتی ، میتوانید علیه نرم افزار مربوطه اقدامات لازم نظیر پاک کردن یا تغییر تنظیمات برنامه را انجام دهید.

حضور مخفی در شبکه

همان طور که میدانید در صورتی که شما تحت شبکه باشید ، هر بار که وارد سیستم میشوید ، دیگر افرادی که در شبکه هستند متوجه ورود و خروج شما میشوند. اما با این ترفندی که هم اکنون به شما معرفی میکنیم میتوانید به صورت کاملا مخفی وارد شبکه شوید به طوری که هیچ کسی متوجه حضور شما نشود.

برای خواندن ترفند روی ادامه متن کلیک کنید

کافی است از منوی Start به Run بروید و در آن عبارت net config server: /hidden:yes را تایپ کنید.

با سپاس از سایت kamyabonline

حل مشكل برگشت پكت در ACCECC CONTROL LIST هاي CISCO

access list های ما در بسیاری از موارد حتی با ذکر دقیق پورت و پروتکل کار نمیکند .چرا؟

زیرا برای برگشت پکت فکری نکرده ایم.به این دستور توحه کنید:

permit tcp any any established

این دستور را ابتدای بیشتر extended access list ها باید ذکر نمود.علت این است که کلمه established در ابتدا باعث میشود در برگشت حتی اگر از پورت دیگری استفاده شود عبور پکت ممکن باشد.این مسئله بسیار ضروری است زیرا همه میدانیم که client ها از پورتهای dynamic استفاده میکنند ( برخلاف سرور ها)

موفق باشید

حل مشكل VPN در ACCESS CONTROL LIST هاي CISCO

permit tcp any any eq 47

همانطور که میدانیم تونلینگ vpn روی پورت 47 یا  gre است.این دستور در لایه چهارم   چک میشود و نکته آنکه هیچگاه موفق به اجرا نخواهد شد زیرا کاملا بی معنی است .

نحوه صحیح بدین صورت است:

permit gre any any

اینجا یک لایه پایین می آییم .gre مستقیما به عنوان یک پروتکل ذکر شده است و این یعنی ما در لایه 4 نیستیم.

این نکته مشکل بسیاری از دوستان است که تصورشان ذکر فقط tcp یا udp یا icmp بعد از دستور permit  است.

موفق باشید

امنيت در VOIP

یکی از سیگنالینگ‌های مهم در زمینه انتقال صوت در شبکه اینترنت سیگنالینگ SIP است و در انتقال صوت بر رویIP و شبکه‌های مبتنی بر IP نظیر شبکه نسل آینده(IMS)، شبکه تلفن همراه نسل سه و غیره از آن استفاده می‌شود. این سیگنالینگ در سطح کنترلی شبکه‌ها و به منظور تنظیم و برقراری ارتباط کاربران با سرورهای شبکهIP و تنظیمات مربوط به کیفیت ارتباط و غیره استفاده می‌شود. این سیگنالینگ بر رویTCP و UDP قابل انتقال هست که البته به دلیل ماهیت ارتباط صوت بیشتر بر رویUDP منتقل می‌شود و انتقال آن رویTCP به دلیل افزایش تاخیر‌ها و ارسال مجدد درTCP، کاهش کیفیت صوت منتقل شده را در بر خواهد داشت.

سیگنالینگSIP دارای آسیب‌پذیری‌های متنوعی است که می‌توان دسته‌بندی زیر را برای آن‌ها در نظر گرفت:

 

1- دسته اول بر اساس شبکهIP نظیر حملات ‌replay, DOS, Spoofing, sniffing, middle man می‌باشد.

2- دسته دوم به علت طبیعت و ساختارSIP در لایه کاربرد نظیر bogus terminate, bogus register است.

3- دسته سوم شامل حملاتی ناشی از ترکیب استفاده از SIP در شبکه و آسیب‌پذیری‌های مختلف شبکهVOIP و رسانه‌های کاربردی  نظیر SQL injection, buffer overflow می‌باشد.

در ادامه بعضی از حملات در این سیگنالینگ را با توضیح مختصری تشریح می‌نماییم.

 

§         DOS

حملات ‌DOS پهنای باند سیستم را اشغال می‌کند، زمان پردازش اضافی به سیستم تحمیل می‌نماید و باعث می ‌شود سیستم کارایی خود را از دست بدهد زیرا درگیر تعداد زیادی پیام نصفه می‌شود. در ضمن حمله‌کننده به پیام‌های ارسال شده از سرورSIPپاسخی نمی‌دهد و تنها آدرسهای منابعSIP در این پیام‌ها را شنود نموده و از آن برای DDOS بهره می‌برد.

 

    *  Voice trapping

شنود ترافیک در سیگنالینگSIP به دلیل عدم رمزنگاری پیام‌ها امکان‌پذیر است.

 

    *  Voice spam/Predicate call

مهاجم پیام‌های invite متعدد را برای مزاحمت کاربری و یا برای فروش محصول خود ارسال می‌نماید. وجود Spamدر این شبکه مزاحمت بیشتری دارد. زیرا spam  پست الکترونیکی به دلیل اینکه on-line چک نمی‌شود و هرگاه فرصت دست داد چک می‌شود، آزاردهنده نیست اما ماهیت بلادرنگ voip باعث پاسخ‌گویی به تمامinviteهای رسیده می‌شود.

 

    * Bogus terminate

برای از کار انداختن یک نشست در SIP با ارسال پیام‌های جعلیcancel و یا bye به سرورSIP مکالمه را بدون اطلاع کاربر ارتباطی قطع می‌نمایند.

 

    * Malformed message

داخل نمودن یکسری کدهای نامعتبر و اضافی درون پیامهای ارسالی، سرریز بافر ویا SQL injection از حملاتی است که می‌تواند انجام شود و از کد نویسی در بخش‌هایی از هدر SIP استفاده می‌نماید.

 

    * Phishing

در این حمله از شناسه‌های شبکه سو‌استفاده می‌شود. به این مفهوم که شناسه یک کاربر مجاز را استفاده نموده و به سرور‌SIP متصل می‌شوند تا اطلاعات لازم را از ارتباط ایجاد شده دریافت نمایند. یا آدرس خود را به عنوان یک سرور پروکسی مجازSIP در وب سایت وارد ‌نموده و کاربر به سرور جعلی که آدرس آن وارد شده است، متصل می‌شود.

 

    * Replay attack

تکرار اطلاعات درست و حقیقی یک پیام ارسال شده در شبکه درون پیامی جعلی توسط حمله‌کننده را حمله تکرار می‌نامند. در این حمله ابتدا شنود انجام می‌شود و اطلاعات بدست آمده از پیام تحت فرمت جدید دوباره در شبکه ارسال می‌شود.

در این بخش به راه‌حل‌های اشاره شده می‌پردازیم. از مکانیزم‌هایی که امنیت SIP را افزایش می‌دهند می‌توان به موارد زیر اشاره نمود:

   1. اضافه نمودن IPsec به سیگنالینگSIP دشوار و پرزحمت است زیرا منجر به تحمیل سرباز اضافی به دلیل رمزنگاری به روشIPsec-ESP می‌شود.
   2. احراز هویت در لایه انتقال  (TLS) همان HTTPS,SIPSمی‌باشد. این روش سربار کمتری نسبت به IPsecایجاد می‌کند و از الگوریتمPKI بهره می‌برد. باید از TCP برای انتقال استفاده شود.
   3. استفاده از پروتکل که  SRTPبا رمز نگاری، محرمانگی و نیز احراز هویت که می‌تواند با گذاشتن یک nonce از حمله تکرارreplay جلوگیری ‌نماید.
   4. استفاده از سیستم‌های NIDS در شبکه‌هایVOIP کاربرد دارد.

علائم هك شدن چيست؟

از این که هک شده اید حس عجیب و مضحکی دارید، اما دقیقاً نمی دانید در مرحله ی بعدی چکار کنید. اگر مانند اکثر مردم باشید، نمی دانید الزاماً باید کجا را بگردید تا شواهدی برای به خطر افتادن سیستم تان بیابید. حال نگاهی می اندازیم به چند مورد از شواهد رایجتر که ممکن است پس از ایجاد عیب در سیستم پیدا کنید.

user account های مشکوک می بایست غیر فعال شده و جستجو کنیم چه کسی و چرا آن را ایجاد کرده است. اگر سیستم auditing (بازرسی) بدرستی فعال شده باشد، audit log ها (ثبتهای بازرسی) نشان خواهند داد چه کسی آنها را ایجاد نموده است. اگر بتوانید تاریخ و زمان ایجاد account را پیدا کنید و آن account در اثر یک هک بوجود آمده باشد، شما یک قالب زمانی خواهید داشت که می توان در آن به جستجوی دیگر رویدادهای audit log که ممکن است مرتبط باشد پرداخت.

به منظور اینکه متوجه شوید آیا برنامه ی مخربی ارتباطات ورودی را تحت کنترل دارد - که می تواند به عنوان یک پورت پنهانی برای هکر استفاده شود - از ابزارهایی مانند TCPView مربوط به Sysinternals یا Fpipe مربوط به Foundstone استفاده کنید. این ابزارهای ویندوز نشان می دهند چه برنامه هایی در حال استفاده از هر یک از پورت های باز سیستم شما هستند. در مورد سیستمهای یونیکس از netstat یا lsof که درون سیستم عامل قرار دارند استفاده کنید. از آنجا که ممکن است یک هکر باهوش netstat و lsof شما را با نسخه های تروجانی (که پورت های باز شده توسط هکرها را نشان نمی دهد) جایگزین کند، بهترین کار این است که این سیستم قربانی را با استفاده از پورت اسکنر گمنام و رایگان nmap (از سایت insecure.org) از کامپیوتر دیگر اسکن کنید. این امر به شما دو دیدگاه مختلف از پورت های باز سیستم می دهد.

هکری که یک سرور ویندوز را مورد حمله قرار می دهد، ممکن است برنامه های اجرا شده را از طریق registry در نواحی ذیل اضافه یا جایگزین کند:

• HKLM > Software > Microsoft > Windows > CurrentVersion> Run
• HKCU > Software > Microsoft > Windows > CurrentVersion> Run

نرم افزارهای مخرب نیز ممکن است از طریق دستورهای اجرای سیستم عامل اجرا شود. به منظور اینکه ببینید چه برنامه هایی در دستور اجرای یک سیستم ویندوز قرار گرفته است، به command prompt بروید و تایپ کنید AT . در یک سیستم یونیکس از فرمان های cron یا crontab استفاده کنید تا لیست فعالیت هایی را که در دستور اجرا (schedule) قرار دارند ببینید.

هکرانی که به سیستم یونیکس حمله می کنند، ممکن است از یک root kit استفاده کنند که به آنان کمک می کند با استفاده از یک خلأ آسیب پذیری در سیستم عامل یا برنامه های نصب شده، به root access دست پیدا کنند. با توجه به آن که برای هکران root kit های زیادی وجود دارد، تعیین این که کدام فایل ها دستکاری شده اند بسیار مشکل است. برنامه هایی وجود دارند که به این امر کمک می کنند، مانند chrookit.

برای یک هکر هزاران راه ممکن وجود دارد تا ردپای خود را بپوشاند، اما جستجو در موارد فوق شروع بسیار خوبی برای گشت و گذار شما جهت تشخیص خطرات سیستم و حملات هکرها است.

منبع:WWW.IRITN.COM

بدست اوردن IP ارسال کننده ایمیل

برای انجام این کار ابتدا باید IP ارسال کننده ایمیل را بدست بیاورید که نحوه بدست آوردن IP در میل یاهو GMail را به طور جداگانه توضیح می دهم :

بدست اوردن IP ارسال کننده ایمیل در یاهو (Mail Beta ) : بعد از ورود به حساب خود در یاهو بروی یکی از نامه های ارسالی دوبار کلیک کنید تا نامه مورد نظر در پایین صفحه نمایش داده شود . بعد از باز شدن نامه ارسالی در بالای نامه ( مطابق تصویز زیر ) بروی عبارت Compact Header ( یا Standard Header ) کلیک کنید و از منوی حاصل بروی عبارت Full Header کلیک کنید .
بعد از کلیک بروی عبارت Full Header صفحه ای جدید مطابق تصویر زیر برای شما باز می شود . در این صفحه به دنبال عبارت Received: from بگردید . البته در این صفحه ممکن است عبارت Received: from جند بار تکرار شده باشد که ما آن Received: from را می خواهیم که در بالای آن آدرس ارسال کننده ایمیل درج شده است . بعد از پیدا کردن Received: from مورد نظر در مقابل این عبارت شما به راحتی می توانید IP ارسال کننده ایمیل را بدست بیاورید که البته در تصویر زیر به طور واضح این مطلب را شرح داده ام .

بدست اوردن IP ارسال کننده ایمیل در GMail : بعد از ورود به حساب خود در GMail بروی یکی از نامه های ارسالی دوبار کلیک کنید تا نامه مورد نظر باز شود . در بالای نامه دکمه ای با نام Reply وجود دارد . بروی آن کلیک کنید و از منوی حاصل عبارت Show Original را انتخاب کنید . اینک مشابه میل یاهو که بروی عبارت Full Header کلیک کردید در GMail نیز صفحه ای باز می شود که در این صفحه نیز باید به دنبال عبارت Received: from بگردید که نکاتی که در مورد پیدا کردن Received: from صحیح در یاهو گفتم در GMail نیز صادق می باشد .

بدست آوردن محل ارسال کننده ایمیل از طریق IP : بعد از اینکه شما IP ارسال کننده ایمیل را بدست آوردید کافیست این شماره IP را در سایت های GeoBytes IP Locator و یا IP2Location قرار دهید تا از موقعیت مکانی ارسال کننده ایمیل مطلع شوید . البته این دو سایت هر کدام دارای ویژگی های خاص خود می باشد ولی سایت GeoBytes IP Locator اطلاعات دقیق تری از موقعیت IP به شما می دهد و همچنین تشخیص می دهد که ارسال کننده ایمیل از پروکسی ( proxy ) یا نرم افزار های مخفی کننده IP استفاده کرده است یا نه ، که این مورد در برخی مواقع می تواند بسیار مفید باشد که با دانستن این موضوع و اینکه ارسال کننده نامه از پروکسی ( proxy ) استفاده کرده است می توان به امنیت نامه های ارسالی شک کرد . همچنین با ورود به سایت GeoBytes IP Locator این سایت IP و موقعیت مکانی شما را به خودتان نشان می دهد .

منبع :WWW.IRITN.COM

 

10 نكته درباره امنيت ارتباطات بي‌سيم

1 – استفاده از رمزنگاري

رمزنگاري مهم‌ترين و اصلي‌ترين ابزار امنيتي به‌حساب مي‌آيد، با ‌وجود اين، در بسياري از نقاط دسترسي بي‌سيم (WAP) ويژگي رمزنگاري به‌صورت پيش‌فرض فعال نيست. اگر چه اغلب WAPها از پروتكل WEP (سرنام Wired  Equivalent  Privacy) پشتيباني مي‌كنند، اما اين پروتكل نيز به‌صورت پيش‌فرض فعال نيست.
 
WEP داراي چند نقيصه امنيتي بوده و يك هكر مسلط مي‌تواند به آن نفوذ كند، اما در حالت كلي وجود آن بهتر از عدم وجود هرگونه پروتكل رمزنگاري خواهد بود. اطمينان حاصل كنيد كه روش تأييد WEP به‌جاي Open System روي Shared Key تنظيم شده باشد.

روش دوم، ديتاها را رمزنگاري نمي‌کند، بلكه تنها اقدام به بررسي اعتبار كلاينت مي‌كند. تغيير دادن كليد WEP در بازه‌هاي زماني مشخص و حداقل استفاده از الگوي 128 بيتي روش‌هايي هستند كه به بهبود امنيت شبكه بي‌سيم شما كمك شاياني خواهند کرد.

2 – از رمزنگاري قوي‌تري استفاده كنيد

به‌دليل وجود برخي نقاط ضعف در WEP مي‌توانيد به‌جاي آن از پروتكل WPA (سرنام Wi-Fi  Protected Access)  استفاده كنيد. براي استفاده از WPA، پروتكل WAP شما بايد از آن پشتيباني کند (با ارتقاي فريم وير مي‌توانيد پشتيباني از اين پروتكل را به نسخه‌هاي قديمي‌تر WAP بيافزاييد) همچنين كارت شبكه بي‌سيم (NIC) شما نيز بايد مناسب كار با اين پروتكل بوده و نرم‌افزار بي‌سيم كلاينت نيز از آن پشتيباني كند.

Windows XP SP2 به‌عنوان پيش‌فرض كلاينت WPA را نصب مي‌كند. ماشين‌هايي را كه روي آنان SP1 نصب شده است نيز مي‌توانيد با استفاده از بسته Wireless Update Rollup Package را به كلاينت Windows WPA مجهز کنيد 
(آدرس http://support.microsoft.com/kb/826942/ را مشاهده كنيد).

يكي ديگر از گزينه‌هاي رمزنگاري استفاده از IPSec است. البته، شرط استفاده از آن، پشتيباني روتر بي‌سيم شما از اين پروتكل خواهد بود.

3 – كلمه عبور پيش‌فرض Administration را تغيير دهيد
اغلب توليدكنندگان از كلمه عبور مشخصي براي رمز عبور Administration كليه نقاط دسترسي بي‌سيم خود استفاده مي‌كنند. اين كلمات عبور مشخص و ثابت در نزد هكرها شناخته شده بوده و مي‌توانند به‌سادگي از آن براي تغيير تنظيمات WAP شما استفاده كنند. اولين كاري كه بايد هنگام تنظيم يك WAP انجام دهيد، تغيير رمز عبور، به رمزي قوي‌تر، با حداقل هشت كاراكتر طول و استفاده تركيبي از حروف و اعداد و استفاده نكردن از كلمات موجود در فرهنگ لغت است.

4 – ويژگي انتشار SSID را خاموش كنيد

SSID (سرنام Service Set  Identifier) نام شبكه بي‌سيم شما را مشخص مي‌كند. به‌عنوان پيش‌فرض اغلب WAPها SSID را نمايش مي‌دهند. اين‌کار موجب مي‌شود تا كاربران به‌راحتي بتوانند شبكه را پيدا كنند، زيرا در اين‌صورت نام شبكه بي‌سيم در فهرست شبكه‌هاي قابل دسترس و روي كلاينت بي‌سيم قابل مشاهده خواهد بود.

اگر نمايش نام SSID را خاموش كنيد كاربران ناچار خواهند بود تا براي اتصال به شبكه بي‌سيم از نام آن اطلاع داشته باشند. برخي معتقدند، اين‌کار بي‌فايده است، زيرا هكرها مي‌توانند با استفاده از نرم‌افزار Packet Sniffing نام SSID را (حتي اگر ويژگي نمايش آن خاموش باشد) پيدا كنند.

اين مطلب صحيح است، اما چرا بايد كار را براي آنان آسان كنيم؟ اين مطلب مانند اين است كه بگوييم از آنجا كه سارقان مي‌توانند شاه‌كليد تهيه كنند، پس به‌كارگيري قفل روي درب منازل كار بيهوده‌اي است. خاموش كردن گزينه Broadcasting SSID نمي‌تواند مانع از كار يك هكر ماهر شود، اما مطمئناً جلوي کاربران كنجكاو و ماجراجو را (به‌عنوان مثال، همسايه‌اي كه متوجه وجود شبكه بي‌سيم شده و مي‌خواهد فقط به‌خاطر سرگرمي به آن نفوذ کند) خواهد گرفت.

5 – WAP را در مواقع غيرلازم خاموش كنيد

اين مورد ممكن است خيلي ساده‌انگارانه به‌نظر آيد، اما شركت‌ها و اشخاص انگشت‌شماري يافت مي‌شوند كه اين‌کار را انجام دهند. اگر كاربران بي‌سيم شما در ساعات مشخصي به شبكه متصل مي‌شوند، دليلي وجود ندارد تا شبكه بي‌سيم شما در تمام طول شبانه‌روز روشن باشد تا فرصتي را براي مهاجمان فراهم آورد. شما مي‌توانيد در مواقعي كه به نقطه‌دسترسي نيازي نداريد آن را خاموش کنيد. مانند شب‌ها كه همه به منازل خود مي‌روند و هيچ‌كس به ارتباط بي‌سيم احتياجي ندارد.

6 – SSID پيش‌فرض را تغيير دهيد

توليدكنندگان WAPها اسامي ثابت و مشخصي را براي SSID به كار مي‌برند. به‌عنوان مثال، دستگاه‌هاي Linksys از همين نام براي SSID استفاده مي‌كنند. پيشنهاد خاموش كردن نمايش SSID براي جلوگيري از اطلاع ديگران از نام شبكه شما است، اما اگر از نام پيش‌فرض استفاده كنيد، حدس زدن آن كار سختي نخواهد بود. همان‌طور كه اشاره شد هكرها مي‌توانند از ابزارهاي مختلفي براي پي بردن به SSID استفاده كنند، به همين دليل، از به كار بردن نام‌هايي كه اطلاعاتي را درباره شركت شما به آنان مي‌دهد (مانند نام شركت يا آدرس محل) خودداري کنيد.

7 – از فيلتر MAC استفاده كنيد
اغلب WAPها (به‌جز انواع ارزان‌قيمت) به شما اجازه خواهند داد از سيستم فيلترينگ آدرس‌هاي MAC (سرنامMedia Access Control )استفاده كنيد. اين به‌اين معني است كه شما مي‌توانيد «فهرست سفيدي» از كامپيوترهايي را كه مجاز به اتصال به شبكه بي‌سيم شما هستند بر مبناي MAC يا آدرس فيزيكي كارت‌هاي شبكه تعريف کنيد. درخواست‌هاي ارتباط از سوي كارت‌هايي كه آدرس MAC آن‌ها در اين فهرست موجود نيست، از جانب AP رد خواهد شد.

اين روش محفوظ از خطا نيست، زيرا هكرها مي‌توانند بسته‌هاي اطلاعاتي رد و بدل شده در يك شبكه بي‌سيم را براي تعيين مجاز بودن آدرس MAC امتحان كنند و سپس از همان آدرس براي نفوذ به شبكه استفاده کنند. با اين‌حال، اين كار باز هم قدري موضوع را براي «مهاجمان احتمالي» مشكل‌تر خواهد کرد. چيزي كه موضوع اصلي در امنيت است.

8 – شبكه بي‌سيم را از ديگر شبكه‌ها جدا سازيد

براي محافظت از شبكه باسيم داخلي خود در برابر تهديدهايي كه از طريق شبكه بي‌سيم وارد مي‌شوند مي‌توانيد نسبت به ايجاد يك DMZ بي‌سيم يا شبكه‌اي محيطي كه در برابر LAN ايزوله شده اقدام کنيد. براي اين‌کار مي‌توانيد با قرار دادن يك فايروال ميان شبكه بي‌سيم و LAN هر دو شبكه را از يكديگر جدا كنيد.

پس از آن بايد براي دسترسي كلاينت‌هاي بي‌سيم به منابع شبكه‌اي در شبكه داخلي، هويت كاربر را از طريق شناسايي توسط يك سرور راه‌دور يا به‌كارگيري از VPN تأييد كنيد. اين‌کار موجب ايجاد يك لايه محافظتي اضافي خواهد شد.

براي اطلاعات بيشتر درباره چگونگي دسترسي به شبكه از طريق VPN و ايجاد DMZ بي‌سيم با استفاده از فايروال ISA Server مايكروسافت، به آدرس زير مراجعه كنيد (براي دستيابي به اين آدرس به يک حق عضويت Tech ProGuil نياز خواهيد داشت):

http://techrepublic.com.com/5100-6350_11-5807148.html

9 – سيگنال‌هاي بي‌سيم را كنترل كنيد

يك WAP نمونه با استاندارد 802.11b امواج را تا مسافت نود متر ارسال مي‌کند. اين ميزان با استفاده از آنتن‌هاي حساس‌تر قابل افزايش است. با اتصال يك آنتن external پرقدرت به WAP خود، خواهيد توانست برد شبكه خود را گسترش دهيد، اما اين‌کار مي‌تواند دسترسي افراد خارج از ساختمان را نيز به داخل شبكه امكان‌پذير سازد.

يك آنتن جهت‌دار به‌جاي انتشار امواج در ميداني دايره‌اي شكل آنان را تنها در يك راستا منتشر مي‌سازد. به‌اين ترتيب، شما مي‌توانيد با انتخاب يك آنتن مناسب، هم برد و هم جهت ارسال امواج را كنترل کرده و در نهايت از شبكه خود در برابر بيگانگان محافظت كنيد. علاوه بر اين، برخي از WAPها به شما اجازه مي‌دهند تا قدرت سيگنال و جهت ارسال آن را از طريق تنظيم‌هاي دستگاه تغيير دهيد.

10 – ارسال امواج روي فركانس‌هاي ديگر

يك راه براي پنهان ماندن از ديد هكري كه بيشتر از فناوري رايج 802.11b/g استفاده مي‌كند، اين است که تجهيزات 802.11a را به‌كار بگيريد. از آنجا كه اين استاندارد از فركانس متفاوتي (5 گيگاهرتز به‌جاي  2/4گيگاهرتز استاندارد b/g) استفاده مي‌كند، كارت‌هاي شبكه‌اي كه بيشتر براي فناوري‌هاي شبكه‌اي معمول ساخته شده‌اند نمي‌توانند اين امواج را دريافت كنند.

به اين تكنيك Security Through Obscurity يا «امنيت در تاريكي» گفته مي‌شود، اما اين كار زماني مؤثر است كه در كنار ديگر روش‌هاي امنيتي به‌كار گرفته شود. در نهايت اين‌كه Security Through Obscurity دقيقاً همان چيزي است كه وقتي به ديگران توصيه مي‌كنيم نگذارند بيگانگان از اطلاعات خصوصي آن‌ها مانند شماره تأمين اجتماعي يا ديگر اطلاعات فردي مطلع شوند، به آن اشاره مي‌كنيم.

يكي از دلايلي كه استاندارد 802.11b/g را محبوب‌تر از 802.11a مي‌سازد اين است كه برد فركانس آن بيشتر از a و تقريباً دو برابر آن است. 802.11a همچنين در عبور از موانع و ديوارها با قدري مشكل رو‌به‌رو است. از نقطه نظر امنيتي، اين «نقص» به‌نوعي «مزيت» به‌حساب مي‌آيد، زيرا به‌كارگيري اين استاندارد باعث مي‌شود تا نفوذ سيگنال به بيرون كاهش يابد و كار نفوذگران را حتي در صورت استفاده از تجهيزات سازگار با مشكل مواجه كند.

سرورهای پروکسی-آنتی فیلتر

 

تکنولوژی فیلتر کردن محتویات اینترنت امکان کنترل دسترسی کاربران به محتویات اینترنت را فراهم میآورد. اگر چه تمرکز اولیه این تکنولوژی در سطح فردی بود (مثلا به والدین امکان میداد دسترسی کودکان را به مطالب نامناسب محدود سازند.) این تکنولوژی امروزه به طور گستردهای در سطح سازمانها و کشورها به کار گرفته میشود. برای برخی از سازمانها مثل مدارس، کتابخانه ها و شرکتها کنترل دسترسی به اینترنت یک اولویت مهم تلقی میشود. در سطح ملی نیز به طور فزایندهای از این تکنولوژی استفاده میشود. دسترسی به برخی از مطالب بدون توجیه قابل قبولی برای همه افراد یک ملت ناممکن میشود. تکنولوژیهای فیلترینگ محتوا مبتنی بر شیوه انسداد فهرستی از وب سایت ها است. این شیوه عمدتا در ترکیب با روشهای انسداد مبتنی بر کلیدواژهها قرار میگیرد تا به طور پویا و فعال محتوا را سانسور کنند. فهرستی از اسامی ( domain) سایتها و آدرس ( url) آنها بررسی و طبقه بندی شده و در اختیار نرم افزار فیلترینگ که تنها میتواند گروه محدودی از سایتها را فیلتر کند قرار میگیرد. زمانی که کاربران تلاش میکنند به یک صفحه اینترنتی دسترسی بیابند، نرم افزار فیلترینگ بانک اطلاعاتی خود را بررسی کرده و دستیابی به صفحاتی را که در آن فهرست هستند محدود میسازد. اگر انسداد با توجه به کلیدواژهها نیز فعال شده باشد، نرم افزار هر صفحه را بررسی کرده و اگر کلمات ممنوعه در آدرس، یا متن صفحه موجود باشد، آن صفحه را مسدود میسازد.

---

سیستمهای فیلترینگ مستعد دو گونه اشکال ذاتی هستند: "انسداد زیاد"( over-blocking) و "انسداد کم"( under-blocking).

تکنولوژیهای فیلترینگ نه تنها گاهی برخی سایتها را به اشتباه فیلتر میکنند، بلکه گاهی بعضی از سایتها از دست شان در میرود. نکته کلیدی محرمانه بودن این فهرست ها است. اگرچه برخی از لیست های همگانی و منتشر شده در این زمینه وجود دارد (معمولا مربوط به سایتهای پورنوگرافيک)، ولی لیست های سياه تجاری و ليست هايي که در سطح ملی مورد استفاده قرار مي گيرند، معمولا سری هستند. لیستهای تجاری طبقه بندی شده معمولا جزو داراییهای معنوی تولیدکنندگان آنها محسوب شده و منتشر نمیشوند. اگرچه برخی از تولیدکنندگان لیست ها امکان کنترل کردن آنلاین اسامی را فراهم آورده اند، اما در کل میتوان گفت که لیست های مورد استفاده برای فیلترینگ محرمانه هستند و برای بررسی و تحلیل مستقل در دسترس نیستند.

دول برخی کشورها، به لیستهای تجاری تعدادی از سایتها را افزوده و مورد استفاده قرار میدهند. سایتهای مسدود شده عمدتا مربوط به احزاب سیاسی مخالف يا مطبوعات، سازمانهای حقوق بشر، خبرگزاریهای بینالمللی و به طور خلاصه هر محتوای حساسیت برانگیزی برای دولت مورد بحث است. بسیاری از کشورها برای فیلترینگ بر روی زبان محلی خود تمرکز میکنند و به طور فزاینده ای نیز وبلاگها و تالارهای گفتگوی اینترنتی را مورد هدف قرار مي دهند.

---

تکنولوژیهای گذر از فیلتر

در پاسخ به روش کنترل و فیلترینگ بکار گرفته شده از سوی دولتها ، روشهای بسیاری برای گذر کردن از فیلترینگ ایجاد شده است. طرح های متعددی برای توسعه تکنولوژیهایی که به شهروندان و نهادهای مدنی امکان مقابله و حفظ امنیت خود در برابر سانسور اینترنتی میدهد، انجام شده است. این ابزارها اصطلاحا "تکنولوژیهای گذر از فیلتر" نامیده میشوند. در حالت کلی این کار بدین صورت انجام میپذیرد که درخواست برای محتوای مورد نیاز فردی از کشوری که فیلترینگ را اجرا میکند، از طریق یک کامپیوتر واسطه که بوسیله فیلترینگ محدود نشده است به وب سایت هدف میرسد و محتوا از طریق کامپیوتر واسطه برای کاربر فرستاده میشود. گاهی ممکن است این تکنیک ها برای شرایط خاصی طراحی شده باشند یا کاربران در کشوری که دچار سانسور است به فراخور اقتضائات تغییراتی در آنها ایجاد کرده باشند. گاهی نیز ممکن است از این تکنیکها به شیوه هایی غیر از آنچه هدف اصلی طراح بوده است استفاده شود.

---

بعضی از این تکنولوژیها توسط شرکتهای خصوصی ایجاد شده اند و برخی نیز توسط گروههای فعالان اجتماعی یا هکرها. این تکنولوژیها از تکنیک های ساده و دمدستی و برنامه های ابتدایی تا تکنیکهای بسیار پیچیده رمزنگاری و پروتکل های اتصال شبکه پیشرفته را در بر میگیرد. با توجه به این گستردگی، برای کاربران ضروری است که ارزیابی از نقاط قوت و ضعف این تکنولوژیها داشته باشند تا بتوانند روشی را که مناسب شرایط آنان است انتخاب کنند.

بايد ميان "ارائه دهنده گان سیستمهای فیلتر شکن" و استفاده کنندگان آن تفاوت قائل شد. ارائه دهنده کسی است که نرم افزاری را در جایی که محدودیتی وجود ندارد روی کامپیوتر اجرا کرده و آنها را در اختیار کاربران در کشورهايي که اينترنت سانسور و مسدود مي شود، مي گذارد. از این رو برای موفقیت در گذر از فیلترینگ باید هر دو سوی آنها موفق باشند.  این امر بوسیله تعیین نیازها و ظرفیت های کاربران درگیر با مساله قابل انجام است. در عین حال باید تعادلی بین سطح امنیت مورد نیاز و کارآمدی این تکینیک ها برقرار کرد. فیلترشکنی موثر، امن و پایدار بوسیله پیوند دادن تکنولوژی مناسب با کاربر مناسب محقق میشود .

---

تعیین نیازها و ظرفیتها استفاده از تکنولوژی

تکنولوژیهای فیلترشکنی برای کاربران مختلف با منابع متفاوت و میزان تخصص متنوع طراحی  . روشی که در شرایط خاصی کار میکند ممکن است شیوه بهینه برای حالت دیگر نباشد. ضروری است که تهیه کننده و کاربر تکنولوژیهای گذر از فیلتر سوالهای زیر را از خود بپرسند: 

  تعداد کاربران احتمالی و پهنای باند لازم چقدر است؟ (برای تهیه کننده و کاربر)

  نقطه اتصال مبدا برای کاربران احتمالی کجاست و آنها به چه منظوری از آن استفاده میکنند؟

  چه حدی از تخصص وجود دارد؟ (برای تهیه کننده و کاربر)

  آمادگي نقطه تماس مطمئن که تکنولوژی فیلترشکنی را ارائه مي کند تا چه حد است؟(برای کاربر)

  در صورت گیر افتادن، مجازات محتمل برای استفاده از تکنولوژیهای گذر از فیلتر چقدر است؟

  آیا کاربر نهایی از ریسکهای امنیتی محتمل هنگام استفاده از یک تکنولوژی خاص، مطلع است؟

---

تعداد کاربران و پهنای باند موجود

برای تهیه کننده فیلترشکن ضروری است که تخمینی از تعداد کاربرانی که از آن استفاده میکنند داشته باشد و آن را با پهنای باند موجود متوازن سازد. کاربر نهایی نیز باید به پهنای باند در دسترس خود توجه کند، چون استفاده از این تکنولوژیها سرعت استفاده از اینترنت را کند میکند. کسانی که پروکسی های عمومی را ایجاد میکنند باید توجه داشته باشند که ممکن است برخی از افرادی که در منطقه ای بدون سانسور زندگی میکنند نیز از امکانات آنها استفاده کنند. مثلا فیلترشکنها ممکن است برای دانلود یک فیلم کامل به کار گرفته شوند و این کار پهنای باند زیادی اشغال میکند. لذا ممکن است بخواهند دسترسی به فیلتر شکن را محدود کرده و یا مجموع پهنای باند در دسترس را محدود سازید. تکنولوژیهای مختلفی وجود دارند که همه یا برخی از این خواسته ها را ارضا میکنند.

---

نقطه اصلي دسترسی و استفاده کننده

بسته به اینکه کاربران نهایی از کجا به اینترنت متصل میشوند و چه سرویسهایی دریافت میدارند، گزینه های مختلفی برای تکنولوژیهای فیلترشکن وجود دارد. مثلا کاربرانی که از کامپیوترهای عمومی یا کافینتها به شبکه متصل میشوند امکان نصب هیچ گونه نرم افزاری را ندارند و به شیوههای مبتنی بر وب محدود میشوند. کاربران دیگری ممکن است کاربردهایی غیر از مرورگر وب (HTTP)، مثل ایمیل (SMTP) و انتقال فایل (FTP) را مد نظر داشته از اين روی ممکن است بخواهند نرم افزارهایی را روی کامپیوترهایشان نصب کنند و تنظیمات کامپیوتر را دستکاری کنند. البته این نیازمند میزانی از تخصص برای کاربران است.

---

میزان تخصص تکنیکی

هرچه تخصص کاربران بیشتر بوده (و تعدادشان محدود باشد) گزینههای پیش رو برای گذر از فیلتر بیشتر است. کاربران غیر متخصص محدودیتهایی از قبیل نصب و راها ندازی و نیز هرگونه تغییر تنظیمات و قدمهای اضافی برای آماده سازی تکنولوژی عبور از فیلترها را پیش روی خویش خواهند داشت. این هم برای فراهم آورنده این فناوریها و هم برای کاربران نهایی حائز اهمیت است. استفاده نادرست از این فناوریها کاربران را در معرض خطرهايي قرار دهد که قابل اجتناب هستند.

---

در دسترس بودن افراد مطمئن

در صورتی که کاربران نهایی افراد قابل اعتمادی را در خارج از کشور بشناسند میتوانند گزینههای خود را بیشتر و بهتر سازند. اگر چنین کسانی در دسترس نباشند گزینهها به سیستمهای در دسترس عموم محدود میشود. اگر کاربری بتواند اين گزينه را بيابد مجریان فیلترینگ نیز مي توانند آنها را يافته و مسدود کنند. با وجود یک فرد مطمئن، کاربر میتواند به راهحلی مطابق با نیازهای خویش دست یابد و درعین حال برای اجتناب از ردگیری، ناشناس بماند. گذر کردن از فیلترینگ پایدار، موفق و بلندمدت با داشتن فردی قابل اعتماد در نقطهای که فیلترینگ وجود ندارد، سهولتي بيشتر مییابد.

---

مجازات محتمل

آگاهی از میزان مجازات محتمل برای کسانی که به دلیل استفاده از تکنولوژیهای فیلترشکن دستگیر میشوند، به شدت مهم و حیاتی است. شیوه های به کار گرفته شده بسته به شدت این مجازاتها، میتواند تغییر کند. اگر شرایط قانونی چندان سختگیرانه نباشد، کاربران میتوانند از شیوه هایی استفاده کنند که علیرغم کارایی برای گذر از فیلتر، از لحاظ امنیتی چندان مطمئن نیستند. اگر محیط قانونی خیلی خطرناک است، باید از روشهایی استفاده کرد که پنهان و نیز ایمن باشند. برخی نیز ممکن است با یک پوشش قانونی یا سایر شیوههای ردگم کنی به کار گرفته شوند.

---

مخاطرات امنیتی

کاربرانی که از فیلترشکنها برای گذر از محدودیتها و انسدادهای اعمال شده توسط دولت بهره میبرند باید نسبت به مخاطرات امنیتی احتمالی از قبیل امکان ردگیری توسط مجریان فیلترینگ و اقدام متقابل مثل مسدود شدن و شناسایی و نظاره استفاده آنان، مطلع باشند. بسته به شیوه های بهکاررفته در انسداد و شیوههای مقابله، کاربران باید از مخاطرات احتمالی و اقدامات متقابل آگاه بوده و با به کارگیری شیوه مناسب در موقعیت مناسب و با منش صحیح، این مخاطرات کمینه شوند.

---

 

گذر کردن از فیلترینگ به شيوه ی آنلاين

گذر کردن از فیلترینگ آنلاين صفحات خاصی از وب هستند که به کاربران اجازه میدهند در فرمهای مخصوصی آدرس اینترنتی ( URL) مورد نظر خود را وارد کرده و محتویات آن صفحه را که از طریق این فیلترشکنها گرفته میشود، مشاهده کنند. هیچ اتصالی بین کاربر و صفحه مورد نظر برقرار نیست و فیلترشکن صفحه مطلوب را بدون تغییرات به کاربر نمایش میدهد و به او اجازه میدهد صفحه مسدود شده را ببیند. فیلترشکنهای مبتنی بر وب هم چنین پیوندهای اینترنتی را به گونه ای بازنویسی میکنند که مشتمل بر آدرس فیلترشکن نیز باشند و بدین ترتیب امکان ادامه کار بدون مشکل با وب را فراهم میآورند. (در غیر این صورت لینکها به آدرسهایی که فیلتر شده اند اشاره میکردند و کلیک کردن روی آنها منجر به مواجه مجدد با سد فیلترینگ میشد.) به هنگام استفاده از چنین فیلترشکنهایی کاربر نیازی به نصب نرمافزارهای خاص یا تغییر تنظیمات مرورگر خود ندارد. همه کاری که کاربر باید انجام دهد آن است که وارد صفحه اینترنتی مربوط به فیلترشکن شده و آدرس مورد نظر خود را (که مسدود شده است) در مستطیلی که مخصوص وارد کردن آدرس مهیا شده است تایپ کند و دکمه تایید را بزند. (ظاهر آنها ممکن است اندکی تفاوت کند اما اصول کار به شیوه فوق الذکر است.) از این رو هیچ تخصصی لازم نبوده و از هر نقطهای قابل دسترسی است.

---

مزایا :
  کار با فیلترشکنهای مبتنی بر وب ساده است و به نصب نرم افزار روی کامپیوتر کاربر نهایی نیازی نیست. -
  فیلترشکنهای مبتنی بر وب عمومی در دسترس کسانی است که فرد مطمئنی در نقطهای سانسور نشده سراغ ندارند.
  فیلترشکنهای مبتنی بر وب خصوصی میتوانند برای ارضای نیازهای کاربران تغییر داده شده و کمتر در معرض کشف شدن از سوی مراجع فیلترینگ هستند.

---

معایب :
  فیلترشکنهای مبتنی بر وب عمدتا برای استفاده از وب (HTTP) بوده و ممکن است از طریق "دسترسی رمزنگاشته(encrypted access)" (SSL) قابل استفاده نباشد. به علاوه برخی از سرویسهای وب مثل ایمیل ممکن است با این فیلترشکن ها خوب کار نکنند.
  فیلترشکنهای مبتنی بر وب عمومی معمولا شناخته شده هستند و ممکن است خودشان نیز فیلتر شده باشند!
  لازمه فیلترشکنهای مبتنی بر وب خصوصی آن است که کاربر نقطه امنيی در خارج از مرزها داشته باشد. در شرایط ایده ال دو سوی این اتصال باید بتوانند به سویه ای که قابل ردگیری نباشد با یکدیگر ارتباط داشته باشند.

---

سرویسهای عمومی گذر کردن از فیلترینگ به شيوه ی آنلاين

هم سرویسهای مبتنی بر وب و هم نرم افزارهای مربوط به گذر از فیلتر در دسترس عموم هستند. سرویسهای گذر از فیلتر به افراد، سازمان ها و شرکتهایی اطلاق میگردد که نرم افزار گذر از فیلتر را نصب و راه اندازی کرده اند و آن را در معرض استفاده عمومی قرار داده اند. تنوع بسياري دراين زمينه وجود دارد. برخي رايگان بوده و برخي ديگر با پرداخت حق عضويت، امكانات بيشتري از قبيل دسترسي رمزنگاري شده (كه امكان ردگيري را كمتر ميسازد) پيش رو مينهند. برخي توسط شركتهاي تجاري به راه افتاده اند و برخي ديگر توسط افراد داوطلب.

فهرستي از آنها را در زير ميبينيد:

  www.anonymizer.com
  www.unipeak.com
  www.anonymouse.ws
  www.proxyweb.net
  www.guardster.com
  www.webwarper.net
  www.proximal.com
  www.the-cloak.com

با توجه به اين واقعيت كه آدرس بسياري از موارد فوق كاملا شناخته شده ميباشند، بسياري از برنامههاي فيلترينگ نام آنها را در ليست خود دارند و نيز كشورهايي كه روي دسترسي به اينترنت محدوديت ميگذارند آنها را مسدود كرده اند. در اين صورت آنها غيرقابل استفاده خواهند شد. همچنين بيشتر فيلترشكن هاي عمومي مبتني بر وب محتواي انتقال يافته به كاربر را رمزنگاري نمي كنند. در اين صورت، هر اطلاعاتي توسط اپراتور فيلترشكن قابل ديدن است.

فيلترشكن هاي عمومي مبتني بر وب بيشتر براي كاربراني مناسب است كه در محيط هاي كم مخاطره از اينترنت استفاده كرده و فرد مطمئني در نقاط بدون سانسور ندارند. اين فيلترها به درد كساني ميخورد كه به طور مقطعي و موقت نياز به دسترسي به اينترنت دارند و نياز به انتقال اطلاعات حساس و مهم ندارند..

---

نرم افزارهاي گذر از فيلتر به شيوه ی آنلاين (مبتني بر وب)

نصب نرم افزارهاي گذر از فيلتر معمولا نيازمند قدري تخصص فني و نيز منابع مناسب از قبيل ميزبان وب(Web server) و نيز پهناي باند مناسب است. با يك فيلترشكن خصوصي موقعيت كاربر فقط براي كاربران مورد نظر قابل شناسايي است در حاليكه فيلترشكن هاي عمومي و سرويسهاي ناشناس هم براي كاربران نهايي و هم كساني كه فيلترينگ را اعمال كرده اند قابل شناسايي است.(كه عمدتا هم فيلتر شده اند) احتمال شناسايي و انسداد فيلترشكنهاي خصوصي نسبت به عموميها كمتر است.

فيلترشكنهاي شخصي را ميتوان با اندكي تغييرات و تطابق با نيارهاي كاربر به راه انداخت. برخي از تغييرات رايج تغيير دادن نام پورت مورد استفاده توسط سِروِر و نيز اعمال رمزنگاري است.

---

 (SSL(Secure Sockets Layer

 پروتكلي براي انتقال امن اطلاعات در اينترنت است. اين پروتكل عمدتا توسط وب سايتها براي انتقال امن اطلاعاتي سري از قبيل اطلاعات كارت اعتباري و ... به كار برده ميشود. وب سايت هايي كه با اين پروتكل كار ميكنند به جاي HTTP معمولي از طريق HTTPS قابل دسترسي اند. گزينه ديگري كه هنگام استفاده از SSL پيشنهاد ميشود ايجاد يك صفحه خالي و بي-ضرر در روت(Root) مربوط به سِرور وب و پنهان ساختن فيلتر شكن در يك آدرس و نام تصادفي است. اگرچه يك واسطه ممكن است وب سايتي كه كاربر قصد اتصال به آن را دارد كشف كند اما نخواهد توانست آدرس صفحه درخواست شده را دريابند چرا كه رمزنگاري شده است. مثلا اگر كاربري مايل به مشاهده صفحه زير باشد

https://example.com/secretcircumventor

يك واسطه ميتواند كشف كند كه كاربر بهhttps://example.com متصل شده است اما نميتواند صفحه مورد نظر را بيابد. اگر اپراتور فيلترشكن يك صفحه خالي در https://example.com قرار دهد آنگاه فيلترشكن كشف نخواهد شد.

---

· CGIProxy : يك متن CGI مانند پروكسيهاي HTTPS و يا FTP كار ميكند: o Proxy CGI

· فيلتر شكن صلح جنگ : برنامهاي است كه به صورت خودكار نصب ميشود و براي كاربراني كه تخصص فني ندارند فرايند نصب و استفاده از CGIProxy را بسيار تسهيل ميكند.

o فيلتر شكن صلح جنگ Peacefire

· pHproxy: يك فيلترشكن مبتني بر وب تجربي و بسيار قابل تغيير به فراخور نياز كاربر o proxy pH

· Psiphon: يك وب سِروِر كه قابليت SSL را داشته و يك فيلترشكن مبتني بر وب در خود دارد. http://Soon to be released

---

فيلترشكن هاي خصوصي مبتني بر وب كه قابليت رمزنگاري داشته باشند به كار كساني ميآيد كه يك اتصال به اينترنت پايدار و نيز قابل اعتماد نياز داشته و فرد مطمئني در نقاط فيلترنشده سراغ دارند. علاوه بر اين تخصص فني كافي و پهناي باند مناسب براي راه اندازي و نگهداري يك فيلترشكن را در اختيار دارند. اين منعطف ترين نوع ارتباط اينترنتي براي استفاده عمومي بوده و احتمال ردگيري و انسداد آن اندك است.

---

فيلترشكنهاي به شيوه ی آنلاين : ملاحظات امنيتي

بايد توجه داشت كه سيستمهاي فيلترشكن لزوما ناشناس بودن را به ارمغان نميآورند. اگر چه هويت كاربر نهايي از اپراتور سايتهايي كه از طريق فيلترشكن ديده ميشوند،مخفي ميگردد اما اگر ارتباط متني باشد (از طريق http) باشد، همانگونه كه عمدتا در سرويسهاي رايگان ميباشد، ردگيري و مشاهده آن براي يك حضور واسطه مثل ISP امري سهل است. از اين رو، اگر فرايند فيلترشكني با موفقيت انجام شود، نهادي كه فيلترينگ را انجام داده است ميداند كه كاربر از يك فيلترشكن مبتني بر وب استفاده كرده است. بعضي از فيلترشكنهايي كه براي متن ساده(Plain text) به كار ميروند (رمزنگاري نشده) اقدام به ايجاد ابهام در URL كرده تا فيلترهايي كه در URLها دنبال كلمات كليدي ميگردند گمراه شوند. به عنوان مثال استفاده از تكنيك سادهاي مثل ROT-13 كه در ان هر حرفي با حرفي كه 13 تا از آن جلوتر است جايگزين ميشود، آدرس http://ice.citizenlab.org به آدرس uggc://vpr.pvgvmrayno.bet تبديل ميشود. در واقع متن URL به رمز تبديل ميشود تا كلمات كليدي كه تكنولوژيهاي فيلترينگ به دنبالشان ميگردند در URL موجود نباشد. با اين همه اگرچه فيلترشكن موفق عمل كرده است، اما ممكن است محتواي صفحه ديده شده مورد رديابي واقع شود. مخاطراتي در مورد استفاده از كوكيها(Cookies) و اسكريپتها(Scripts) وجود دارد. بسياري از فيلترشكنها امكان زدودن كوكيها و اسكريپتها را در اختيار مي گذارند، اما برخي از سايتها (مثل سرويسهاي ايميل) نيازی کارکردی به آنها دارند. هنگام فعال كردن اين گزينه ها بايد محتاط بود. خطر محتمل ديگر به خصوص هنگامي كه با سايت هايي سرو كار داريد كه نيازمند رمز ورود است، اتصال به فيلترشكن از طريق ارتباط متني و پس از آن درخواست اطلاعات رمزنگاري شده است. دراين حالت فيلترشكن اطلاعات را از يك سرور مبتني بر SSL و از طريق يك ارتباط رمزنگاري شده دريافت ميكند اما اين اطلاعات را به صورت متن ساده براي كاربر ميفرستد و اين كار اطلاعات حساس را در معرض آشكار شدن قرار ميدهد.

برخي از اين مسائل امنيتي با استفاده از پروكسي هاي مبتني بر وب از طريق ارتباط رمزنگاري شده، قابل حل است. برخي پروكسي ها براي اتصال از طريق( SSL HTTPS) كه اتصال بين فيلترشكن و كاربر را رمزنگاري ميكند، تنظيم شده اند. دراين حالت، واسطه ها تنها ميتوانند كشف كنند كه كاربر به فيلترشكن مبتني بر وب متصل شده است (آنها نميتوانند محتوا را مشاهده كنند).

---

در صورتي كه مخاطرات امنيتي زياد باشد استفاده از فيلترشكنهاي مبتني بر وب كه SSL در آنها فعال باشد به شدت توصيه ميشود. با اين همه عليرغم آنكه اتصال كاربر نهايي به فيلترشكن ممكن است امن باشد اما صاحب آن فيلترشكن ميتواند اطلاعاتي كه به كاربر فرستاده ميشود مرور كند. يك مساله امنيتي ديگر پروندههاي ارتباط كاربران با فيلتر شكن است. بسته به موقعيت فيلترشكن يا محل سِرور آنها، ممكن است مسئولاني وجود داشته باشند كه امكان دسترسي به اين اطلاعات را داشته باشند.

---

حتي در صورت استفاده از فيلترشكنهاي مبتني بر وب كه در آنها SSL فعال است باز هم نگرانيهايي وجود دارد. اولين مورد آن است كه استفاده از رمزنگاري موجب جلب توجه به فعاليتهاي گذر از فيلتر توسط كاربر ميشود. همچنين ممكن است استفاده از رمزنگاري در همه كشورها قانوني نباشد. ثانيا براي مراجع فيلترينگ كشف اينكه كاربر چه وب-سايتهايي را مشاهده كرده است ميسر است و اين امر با استفاده از تكنيكهايي به نام اثرانگشت HTTPS(HTTPS fingerprinting) و حمله به اصطلاح "مرد ميانه" (MIT Man-In-The-Middle) امكان پذير است. اگر چه، صفحاتي با محتواي ديناميك يا فيلترشكنهايي كه مقداري متن تصادفي را براي ردگم كردن به محتواي درخواست شده ميافزايند ويا چند تصوير به محتوا اضافه ميكنند باعث ميشود كه اين تكنيك تا حد بسيار زيادي كم مخاطره و مطمئن شود. اگر ”اثر انگشت SSL “ يا امضاي امنيتي براي كاربران مهيا باشد، آنها ميتوانند شخصا نسبت به سنجش اينكه گواهينامه(Certificate) و اينکه قابل اعتماد هست يا نه اقدام كنند. اگر معتبر باشد، جلوي حمله MITM را خواهد گرفت. ( براي اطلاعات بيشتر در مورد حملات احتمالي به سيستمهاي فيلترشكن مقاله زير را ببينيد:

”فهرست نقاط ضعف احتمالي در سيستمهاي عبور از سانسور اينترنت “ نوشته بنت هاسلتونBennett Haselton كه در آدرس زير موجود است: List of possible weaknesses in systems to circumvent Internet

 censorship

 http://peacefire.org/circumventor/list-of-possible-weaknesses.html

و نيز جوابيه پل بارانوفسكي Paul Baranowski در

http://www.peek-a-booty.org/pbhtml/downloads/ResponseToLopwistcic.pdf

http://peacefire.org/circumventor/list-of-possible-weaknesses.html

et à la réponse de Paul Baranowski (pdf)

 http://www.peek-a-booty.org/pbhtml/... ]].

آشنائی با امضای ديجيتال

شايد تاکنون نامه های الکترونيکی متعددی را دريافت داشته ايد که دارای مجموعه ای از حروف و اعداد در انتهای آنان می باشند . در اولين نگاه ممکن است اينگونه تصور گردد که اطلاعات فوق بی فايده بوده و شايد هم نشاندهنده بروز يک خطاء در سيستم باشد! در حقيقت ما شاهد استفاده از امضای ديجيتال در يک نامه الکترونيکی می باشيم . به منظور ايجاد يک امضای ديجيتال از يک الگوريتم رياضی به منظور ترکيب اطلاعات در يک کليد با اطلاعات پيام  ، استفاده می شود . ماحصل عمليات ، توليد يک رشته مشتمل بر مجموعه ای از حروف و اعداد است .يک امضای ديجيتال صرفا" به شما نخواهد گفت که  " اين شخص يک پيام را نوشته است "  بلکه در بردارنده اين مفهوم مهم است که : "اين شخص اين پيام را نوشته است " .

علت استفاده از يک امضای ديجيتال  چيست ؟ 
اجازه دهيد برای پاسخ به سوال فوق ، سوالات ديگری را مطرح کنيم !

• برای تشخيص و تائيد هويت فرد ارسال کننده يک نامه الکترونيکی از چه مکانيزمهائی استفاده می شود؟

•  فرض کنيد يک نامه الکترونيکی را از يکی از دوستان خود دريافت داشته ايد که از شما درخواست خاصی را می نمايد ، پس از مطالعه پيام برای شما دو سوال متفاوت مطرح می گردد : الف ) آيا اين نامه را واقعا" وی ارسال نموده است ؟ ب ) آيا محتوای نامه ارسالی واقعی است و  وی دقيقا" همين درخواست را داشته است ؟ 

• آيا وجود هر نامه الکترونيکی در صندوق پستی ، نشاندهنده صحت محتوا  و تائيد هويت فرد ارسال کننده آن است ؟

 سوءاستفاده از آدرس های Email  برای مهاجمان و ويروس ها به امری متداول تبديل شده است و با توجه به نحوه عملکرد آنان  در برخی موارد شناسائی هويت فرد ارسال کننده يک پيام بسيار مشکل و گاها" غيرممکن است .  تشخيص غيرجعلی بودن نامه های الکترونيکی در فعاليت های تجاری و بازرگانی دارای اهميت فراوانی است .
يک نامه الکترونيکی شامل يک امضای ديجيتال، نشاندهنده اين موضوع است که محتوای پيام از زمان ارسال تا زمانی که به دست شما رسيده است ، تغيير نکرده است . در صورت بروز هر گونه تغيير در محتوای نامه ، امضای ديجيتال همراه آن از درجه اعتبار ساقط می شود .

نحوه عملکرد يک امضای ديجيتال
قبل از آشنائی با نحوه عملکرد يک امضای ديجيتال ، لازم است در ابتدا با برخی اصطلاحات مرتبط با اين موضوع بيشتر آشنا شويم :

• کليدها ( Keys ) . از کليدها به منظور ايجاد امضاهای ديجيتال استفاده می گردد . برای هر امضای ديجيتال ، يک کليد عمومی و يک کليد خصوصی وجود دارد :  کليد خصوصی ، بخشی از کليد است که که شما از آن به منظور امضای يک پيام استفاده می نمائيد . کليد خصوصی يک رمزعبور حفاظت شده بوده و نمی بايست آن را در اختيار ديگران قرار داد . کليد عمومی ، بخشی از کليد است که امکان استفاده از آن برای ساير افراد وجود دارد . زمانی که کليد فوق برای يک حلقه کليد عمومی ( public key ring)  و يا يک شخص خاص ارسال می گردد ، آنان با استفاده از آن قادر به بررسی امضای شما خواهند بود .

• حلقه کليد ( Key Ring ) ، شامل کليد های عمومی است . يک حلقه کليد از کليد های عمومی افرادی که برای شما کليد مربوط  به خود را ارسال نموده و يا کليدهائی که از طريق يک سرويس دهنده کليد عمومی دريافت نموده ايد، تشکيل می گردد . يک سرويس دهنده کليد عمومی شامل کليد افرادی است که امکان ارسال کليدعمومی در اختيار آنان گذاشته شده است .

• اثرانگشت : زمانی که يک کليد تائيد می گردد ، در حقيقت منحصربفرد بودن مجموعه ای از حروف و اعداد که اثرانگشت يک کليد را شامل می شوند . تائيد می گردد .

• گواهينامه های کليد : در زمان انتخاب يک کليد از روی يک حلقه کليد ، امکان مشاهده گواهينامه ( مجوز ) کليد وجود خواهد داشت . دراين رابطه می توان به اطلاعات متفاوتی نظير صاحب کليد ، تاريخ ايجاد و اعتبار کليد دست يافت .

نحوه ايجاد و استفاده از کليد ها :

• توليد يک کليد با استفاده از نرم افزارهائی نظير PGP ( اقتباس شده از کلمات Pretty Good Privacy )و يا GnuPG ( اقتباس شده از کلمات GNU Privacy Guard )

• معرفی کليد توليد شده به ساير همکاران و افرادی که دارای کليد می باشند  .

• ارسال کليد توليد شده به يک حلقه کليد عمومی تا ساير افراد قادر به بررسی و تائيد امضای شما گردند .

• استفاده از امضای ديجيتال در زمان ارسال نامه های الکترونيکی . اکثر برنامه های سرويس دهنده پست الکترونيکی دارای پتانسيلی به منظور امضاء يک پيام  می باشند .

• استفاده از اين مطلب  با ذکر منبع و اهداف غيرانتفاعی بلامانع است .
  http://www.srco.ir

آيا در زمان استفاده از اينترنت ناشناس باقی می مانيد ؟

اکثر کاربران اينترنت در زمان استفاده از وب سايت ها اين تصور را دارند که به صورت ناشناس از منابع اطلاعاتی موجود استفاده می نمايند . آيا اين تصور درست است ؟ در پاسخ می بايست به اين نکته اشاره گردد که وضعيت بدين صورت نبوده و همزمان با مشاهده هر وب سايت ، اطلاعات خاصی در ارتباط با شما برای آنان ارسال می گردد . با اتخاذ تدابير امنيتی خاصی می توان حجم اين نوع اطلاعات را کاهش داد.

چه نوع اطلاعاتی جمع آوری می شود ؟
زمانی که شما يک وب سايت را ملاقات می نمائيد ، اطلاعات خاصی به صورت اتوماتيک برای سايت مورد نظر ارسال می گردد . اطلاعات فوق می تواند شامل موارد زير باشد :

• آدرس IP : به هر کامپيوتر موجود بر روی اينترنت يک آدرس IP منحصر بفرد نسبت داده می شود . کامپيوتر شما ممکن است دارای يک آدرس IP ايستا و يا يک آدرس IP پويا باشد . در صورت استفاده از يک آدرس IP ايستا ، آدرس فوق هرگز تغيير نخواهد کرد . برخی مراکز ارائه دهنده خدمات اينترنت ( ISP ) ، دارای مجموعه ای از آدرس های  IP می باشند و هر مرتبه که شما از طريق آنان به اينترنت متصل می شويد ، يکی از آدرس های IP موجود به شما اختصاص داده می شود . به اين نوع آدرس ها ، آدرس های IP پويا گفته می شود .

•  نام domain : اينترنت به مجموعه ای از  domain تقسيم شده است و هر account کاربر به يکی از domain ها مرتبط می باشد . برای شناسائی domain کافی است به قسمت انتهائی URL دقت نمائيد . مثلا" از edu . برای مراکز و موسسات آموزشی ، gov . برای سازمان های دولتی ، org. برای سازمان ها و com . برای کاربردهای تجاری استفاده می شود . کشورهای زيادی نيز دارای اسامی domain مختص به خود می باشند .

• جزئيات نرم افزارهای استفاده شده جهت استفاده از اينترنت  : پس از اتصال کاربران به اينترنت و مشاهده سايت های مورد نظر ، می توان نوع و شماره نسخه نرم افزار مرورگر استفاده  شده و  يا سيستم عامل نصب شده بر روی کامپيوتر کاربر را نيز تشخيص داد .

• صفحات مشاهده شده : اطلاعات مربوط به صفحات مشاهده شده ، مدت زمان ماندن بر روی يک صفحه خاص و اين که شما از چه محلی وارد سايت شده ايد ( نظير يک مرکز جستجو . ... ) نيز قابل رديابی توسط وب سايت هائی است که شما آنان را مشاهده می نمائيد .

در صورتی که يک وب سايت از کوکی استفاده می نمايد ، سازمان مربوطه می تواند با استفاده از آنان به اطلاعات بيشتری نيز دستيابی پيدا نمايد . نظير الگوهای مرورگر که شامل ساير سايت هائی است که شما آنان را ملاقات نموده ايد . در صورتی که سايتی را مشاهده می نمائيد که دارای کدهای مخرب است ، فايل های موجود بر روی کامپيوتر شما ،رمزهای عبور ذخيره شده در حافظه موقت نيز می توانند در معرض تهديد باشند.

موارد استفاده از اطلاعات جمع آوری شده 

• اهداف مشروع : معمولا" سازمان ها از اطلاعات جمع آوری شده اتوماتيک برای اهداف مشروع نظير توليد آمارهای دلخواه در ارتباط با سايت خود استفاده می نمايند . با آناليز آمارهای جمع آوری شده ، سازمان ها می توانند شناخت مناسبی نسبت به موارد مورد علاقه مخاطبان سايت خود پيدا نموده و حرکات خود را بر اساس آن برنامه ريزی نمايند . ( اعمال تغييرات لازم در سايت متناسب با خواسته کاربران ) .

• کاربردهای تجاری : کاربردهای تجاری ، يکی ديگر از علل جمع آوری اطلاعات است . در صورت استفاده يک سايت از کوکی به منظور تشخيص صفحات مشاهده شده توسط کاربران ، می توان بهترين صفحه ای که توانسته است توجه مخاطبان را بيش از ساير صفحات به سوی خود جلب نمايد ، شناسائی و اگر قرار است برای محصول خاصی تبليغ گردد ، بهترين گزينه همان صفحه ای است که در کانون توجه کاربران قرار گرفته است .

• اهداف مخرب : برخی سايـت ها ممکن است با اهدافی کاملا" بدخواهانه اقدام به جمع آوری اطلاعات نمايند . در صورتی که مهاجمان قادر به دستيابی فايل ها ، رمزهای عبور و يا اطلاعات شخصی موجود بر روی کامپيوتر شما باشند ، می توانند از اطلاعات فوق در جهت منافع شخصی خود استفاده نمايند و حتی هويت شما را سرقت نموده و به نام شما عمليات مخرب خود را انجام دهند . برخی مهاجمان پس از اين که از اطلاعات شما يکی و دو مرتبه استفاده نمودند ، اطلاعات شما را با دريافت وجهی در اختيار ساير افراد همقطار خود قرار داده تا امکان شناسائی آنان مشکل گردد . مهاجمان همچنين ممکن است با تغيير تنظيمات امنيتی کامپيوتر شما از سيستم شما برای تهاجم بر عليه ساير کاربران و فعاليت های مخرب خود سوء استفاده نمايند .

با اين که استفاده از کوکی يکی از روش های مناسب برای جمع آوری اطلاعات است ، ساده ترين روش برای مهاجمان به منظور دستيابی به اطلاعات شخصی شما ، کمک و يا بهتر بگوئيم درخواست مستقيم از خود شما می باشد . آنان برای نيل به اهداف مخرب خود اقدام به طراحی يک سايت مخرب با ظاهری قابل قبول و فريبنده می نمايند تا خود را در پوشش يک سايت معتبر و قانونی مطرح نموده و شما را متقاعد نمانيد که اطلاعات شخصی خود را در بخش های پيش بينی شده در سايت وارد نمائيد .

چگونه می توان حجم اطلاعات جمع آوری شده را محدود نمود ؟

• هشياری لازم در موارد ارائه اطلاعات شخصی : تا زمانی که نسبت به يک سايت اعتماد ايجاد نشده است ، آدرس ، رمزعبور و  ساير اطلاعات شخصی خود را در سايت مورد نظر وارد ننمائيد . در زمان درج اطلاعات حساس ، دقت داشته باشيد که سايت مورد نظر از SSL به منظور رمزنگاری اطلاعات استفاده  می نمايد ( ارسال ايمن و مطمئن  اطلاعات ) . حتی المقدور سعی شود از ارائه برخی اطلاعات حساس به صورت online اجتناب گردد .

• محدوديت کوکی : درصورتی که يک مهاجم بتواند به کامپيوتر شما دستيابی پيدا نمايد ، وی می تواند از کوکی های ذخيره شده بر روی سيستم به منظور دستيابی به اطلاعات شخصی شما استفاده نمايد . پيشنهاد می گردد استفاده از کوکی ها در هر شرايط محدود گردد .  

• استفاده ايمن از اينترنت : نسبت به وب سايت هائی که استفاده می نمائيد ، حساس بوده و  در صورت مشکوک بودن آنان ، بلافاصله آنان را برای هميشه ترک نمائيد. با افزايش سطح تنظيمات امنينی مرورگر خود ، اقدامات احتياطی و پيشگيری لازم در اين زمينه را انجام دهيد . بهنگام نگه داشتن برنامه های آنتی ويروس و پويش کامپيوتر برای Spyware از جمله اقدامات ضروری ديگر در اين رابطه است .

• استفاده از اين مطلب  با ذکر منبع و اهداف غيرانتفاعی بلامانع است .
  http://www.srco.ir

امنيت و TCP/IP

 TCP/IP Stack

TCP/IP يكی از پروتكل های مطرح در عرصه شبكه های كامپيوتری است كه از چهار لايه متفاوت فيزيكی ، شبكه ، حمل و  كاربرد  تشكيل شده است . شكل زير ارتباط پروتكل چهار لايه ای TCP/IP و مدل مرجع OSI هفت لايه ای را نشان می دهد :

هر لايه دارای مكانيزم های امنيتی ، پروتكل ها و برنامه های مختص به خود می باشد . در ادامه به برخی از امكانات امنيتی متداول و  مرتبط با هر يك از لايه های پروتكل TCP/IP اشاره می گردد :

لايه فيزيكی : معادل لايه های اول و دوم مدل مرجع OSI

•  Packet Filters  ، به منظور استقرار بين يك شبكه داخلی و يك شبكه خارجی طراحی می گردند. برای برخورد مناسب ( ارسال ، نپذيرفتن ، حذف ) با بسته های اطلاعاتی ورودی و يا خروجی از يك شبكه از مجموعه قوانين تعريف شده خاصی استفاده می گردد . ACL ( برگرفته از Access Control List  )  روتر ،  نمونه ای از يك Packet Filter  می باشد . 

• NAT ، ( برگرفته از Network Address Translation ) ، مكانيزمی برای ترجمه آدرس است . اكثر كاربران اينترنت با سرعت بالا از NAT استفاده می نمايند . تكنولوژی فوق به منظور تامين امنيت كاربران ،  آدرس داخلی آنان را از ديد شبكه های خارجی مخفی نگه می دارد .

•  CHAP ( برگرفته از Challenge Handshake Authentication Protocol ) ، يك پروتكل "تائيد"  است كه از آن به عنوان گزينه ای جايگزين در مقابل ارسال معمولی و رمز نشده نام و رمز عبور استفاده می گردد . پروتكل فوق از الگوريتم MD5 برای رمزنگاری رمزهای عبور استفاده می نمايد .

• PAP ( برگرفته از Password Authentication Protocol ) . پروتكل فوق ، به عنوان بهترين گزينه امنيتی در لايه فيزيكی مطرح نمی باشد و با ارائه امكاناتی كاربران را ملزم به درج نام و رمز عبور می نمايد . اطلاعات درج شده توسط كاربران به صورت متن معمولی ( رمز نشده ) ارسال می گردد ( مهمترين محدوديت پروتكل PAP ) .

لايه شبكه  : معادل لايه سوم مدل مرجع OSI

• PPTP ( برگرفته از  Point to Point Tunneling Protocol  ) توسط كنسرسيومی متشكل از مايكروسافت و 3com پياده سازی و هدف آن ارائه امكانات لازم به منظور كپسوله سازی داده می باشد  . امنيت لازم برای PPTP توسط رمزنگاری Point-to-point مايكروسافت ارائه شده است .

• L2TP : پروتكل VPN فوق به منظور امنيت و  بر اساس  پروتكل های PPTP و L2F پياده سازی شده است .

•  IPsec : از پروتكل فوق به منظور حفاظت بسته های اطلاعاتی IP و دفاع در مقابل حملات شبكه ای استفاده می گردد . IPsec  از  پروتكل های امنيتی و مديريت كليد پويا استفاده نموده و  دارای دو پيكربندی پايه AH ( برگرفته از Authenticated Header ) و ESP ( برگرفته از Encapsulated Secure Payload  ) می باشد .

لايه حمل : معادل لايه های چهارم و پنجم مدل مرجع OSI 

• SSL  ( برگرفته از Secure Sockets Layer ) ، پروتكلی است كه با استفاده از آن به كابران اين اطمينان داده می شود كه به صورت ايمن اقدام به مبادله اطلاعات بر روی شبكه ( نظير اينترنت ) نمايند .

• TLS ( برگرفته از Transport Layer Security  ) ، پروتكلی مشابه پروتكل SSL است و از يك رويكرد لايه ای به منظور امنيت داده  استفاده می نمايد . TLS از  چندين پروتكل زير مجموعه ديگر تشكيل می گردد .

لايه كاربرد : برخی از  وظايف لايه پنجم و  معادل لايه های ششم و هفتم مدل مرجع OSI 

• RADIUS ( برگرفته از Remote Authentication Dial-In User Service ) متداولترين پروتكل تائيد كاربران dialup در دنيای شبكه های كامپيوتری است . پروتكل فوق امكانات لازم برای تائيد و اعطای مجوز  لازم به كابران dialup شبكه های كامپيوتری را فراهم می نمايد .

• TACACS  ( برگرفته از  Terminal Access Controller Access Control System  ) ، يك پروتكل "تائيد" قديمی در شبكه های مبتنی بر سيستم عامل يونيكس است كه اين امكان را برای يك سرويس دهنده راه دور فراهم می نمايد تا رمز عبور درج شده توسط كاربران را به يك سرويس دهنده تائيد شده هدايت تا صلاحيت آنان برای استفاده از يك سيستم بررسی گردد .

• Kerberos توسط MIT و به عنوان يك پروتكل تائيد قدرتمند پياده سازی شده است . پروتكل فوق برای تائيد مجوز كاربران در ارتباط با اشياء متفاوت از tickets استفاده می نمايد . Kerberos ، امكانات لازم به منظور رمزنگاری ، پيوستگی داده و محرمانگی را ارائه می نمايد .

• S-MIME ( برگرفته از Secure / Multipurpose Internet Mail Extensions  ) ، پروتكلی به منظور ايمن سازی نامه های الكترونيكی است . پروتكل فوق با بهره گيری از امكاناتی نظير رمزنگاری و امضاء ديجيتال ، امنيت نامه های الكترونيكی را تضمين می نمايد .

كارشناسان امينت اطلاعات بر اين عقيده هستند كه چون نمی توان يك شبكه و يا host را صرفا" با استفاده از امكانات امنيتی يك لايه صددرصد ايمن نمود ، می بايست از رويكرد "دفاع در عمق " و يا امنيت لايه ای ( layered security  ) استفاده نمود .  ايده  "دفاع در عمق" می تواند بطرز قابل توجهی كاهش حملات موفقيت آميز را به دنبال داشته باشد .

استفاده از اين مطلب  با ذکر منبع و اهداف غيرانتفاعی بلامانع است .
http://www.srco.ir

 

SpyWare چيست ؟

تشخيص و پيشگيری از نرم افزارهای جاسوسی 
اينترنت با سرعتی باورنکردنی همچنان به رشد خود ادامه می دهد و اين پديده نسبتا" جديد بشريت مورد توجه تمامی افراد و سازمان ها با اهداف مثبت و منفی قرار گرفته است.استفاده از اينترنت برای آگهی های تجاری و بازرگانی از جمله موارد فوق است  . در صورتی که فرآيند پخش آگهی های تجاری با آگاهی و رضايت استفاده کننده اينترنت باشد،نمی توان چندان بر آن خرده گرفت ولی در صورتی که فرآيند فوق بدون آگاهی و يا کسب مجوز کاربران انجام شده و با نصب يک برنامه ناخواسته از سيستم های آنان برای ارسال آگهی های تجاری استفاده شود ، حريم خصوصی کاربران در معرض تهديد قرار گرفته و اين موضوع می تواند پيامدهای بمراتب خطرناکتری را بدنبال داشته باشد و آن زمانی است که اينگونه نرم افزارها از محدوده وظايف خود تعدی نموده و اقدام به جمع آوری و ارسال اطلاعات شخصی کاربران ، بدون آگاهی و رضايت آنان می نمايند. ما امروزه شاهد تولد نسل جديدی از نرم افزارهای جاسوسی می باشيم که از آنان با نام Spyware ياد می گردد . نصب اينگونه نرم افزارهای ناخواسته ،  مسائل متعددی را برای کاربران بدنبال خواهد داشت .

SpyWare چيست ؟
Spyware ، نرم افزاری است که اقدام به جمع آوری اطلاعات شخصی بدون آگاهی و يا اجازه کاربران می نمايد. اطلاعات جمع آوری شده می تواند شامل ليست سايت های مشاهده شده توسط کاربر و يا  اطلاعات بمراتب حساس تری نظير نام و رمز عبور باشد . به اين نوع برنامه ها adware نيز گفته می شود . نرم افزارهای فوق پس از نصب بر روی کامپيوتر ،قادر به  ارسال آگهی های تجاری pop-up ، هدايت مرورگر به وب سايت هائی خاص ، ارسال ليست سايت های مشاهده شده توسط کاربر و يا مانيتورينگ عملکرد کاربران در زمان اتصال به اينترنت می باشند. برخی از برنامه های Spyware ، قادر به رديابی و تشخيص اطلاعات تايپ شده از طريق صفحه کليد نيز می باشند . با توجه به انجام پردازش های اضافی توسط اينگونه نرم افزارها ، سيستم های کاربران کند و کارآئی آنان بطرز محسوسی کاهش خواهد يافت . در صورت دريافت موزيک از طريق برنامه های اشتراک فايل ، بازی های رايگان از سايت های ناامن و يا ساير نرم افزارها از منابع ناشناخته ، شرايط لازم به منظور نصب اينگونه نرم افزارها و در نهايت آلودگی سيستم فراهم می گردد.

نحوه تشخيص Spyware 

علائم زير می تواند نشاندهنده نصب Spyware بر روی يک کامپيوتر باشد :

• نمايش مستمر پنجره های pop-up آگهی

• هدايت ناخواسته کاربران به وب سايت هائی که هرگز نام آنان در مرورگر تايپ نشده است .

• نصب Toolbars جديد و ناخواسته در مرورگر وب

• تغيير ناگهانی و  غيرمنتظره صفحه اصلی مرورگر  ( home page )

• تغيير موتور جستجوی مرتبط با مرورگر پس از کليک بر روی دکمه Search همراه مرورگر 
   

• عدم عملکرد صحيح برخی کليدها در مرورگر ( نظير کليد Tab زمانی که بر روی فيلدهای يک فرم حرکت می شود )
   

• نمايش تصادفی پيام های خطاء
   

• کاهش ملموس سرعت کامپيوتر در زمان فعال نمودن برنامه ها و يا انجام عملياتی خاص ( ذخيره فايل ها و ... )
   

• فعال شدن مرورگر و بدنبال آن وب سايت های آگهی بدون انجام عملياتی خاص توسط کاربر
   

• عدم کارکرد صحيح لينک های همراه يک برنامه 
   

• توقف ناگهانی و غيرمنتظره مرورگر وب
   

• عدم عملکرد صحيح برخی از عناصر سيستم عامل و يا ساير برنامه ها

نحوه پيشگيری از نصب Spyware 

• عدم کليک بر روی لينک های موجود در پنجره های pop-up . با توجه به اين که پنجره های pop-up اغلب محصول و يا نوع خاصی از Spyware می باشند ، کليک بر روی آنان می تواند باعث نصب يک نرم افزار Spyware گردد . برای بستن اين نوع پنجره ها از آيکون "X" در titlebar استفاده گردد ( در مقابل لينک close همراه پنجره ).

• پاسخ منفی به سوالات ناخواسته : در صورت برخورد با جعبه های محاوره ای که درخواست اجرای يک برنامه را  نموده  و يا قصد انجام عمليات خاص ديگری را دارند ،  همواره گزينه NO و يا  Cancel انتخاب گردد.در موارد خاص می توان از  آيکون "X" موجود در titlebar استفاده نمود.

• دقت لازم در خصوص دريافت نرم افزارهای رايگان از اينترنت  : سايت های زيادی اقدام به ارائه Toolbar های سفارشی و يا ويژگی های خاص ديگری می نمايند . تا زمانی که نسبت به ايمن بودن اين نوع سايت ها اطمينان حاصل نشده است ، نمی بايست  فايل و يا برنامه ای را از طريق آنان  Download نمود .
   

•  عدم کليک بر روی لينک های موجود در Email که ادعای ارائه يک نرم افزار Anti-Spyware را دارند . نظير ويروس های کامپيوتری ، لينک های موجود در نامه های الکترونيکی ممکن است اهداف سودمندی را دنبال ننموده و نصب Spyware بر روی سيستم شما را بدنبال داشته باشند .

علاوه بر موارد فوق و خصوصا" در مواردی که احساس می شود بر روی کامپيوتر Spyware نصب شده است و قصد داشته باشيم عملکرد آن را به حداقل مقدار خود برسانيم می توان عمليات زير را انجام داد:

• اعمال محدوديت در رابطه با پنجره های Pop-up و کوکی ازطريق تنظيمات برنامه مرورگر  : پنجره های pop-up  توسط نوع خاصی از اسکريپت ها و يا محتويات فعال ( اپلت های جاوا ، کنترل های اکتيوايکس ) ايجاد می گردند . با تنظيم مناسب پارامترهای برنامه مرورگر، می توان محدوديت لازم دراجرای  اسکريپت ها ، اپلت های جاوا ، کنترل های اکتيو ايکس و تعداد پنجره های pop-up را اعمال نمود . عملکرد برخی از کوکی ها مشابه Spyware می باشند ، چراکه از طريق آنان مشخص خواهد شد که شما چه وب سايت هائی را مشاهده نموده ايد . با تنظيم پارامترهای برنامه مرورگر می توان محدوديت لازم در خصوص ايجاد کوکی ها را اعمال نمود ( آشنائی با محتويات فعال و کوکی )

نحوه حذف Spyware

• اجرای يک برنامه ضد ويروس و پويش کامل کامپيوتر : برخی از نرم افزارهای آنتی ويروس قادر به يافتن و حدف برنامه های  Spyware می باشند .

• اجرای يک برنامه معتبر که مختص حذف Spyware طراحی شده است . تعداد زيادی از توليدکنندگان محصولاتی را به منظور شناسائی و حذف برنامه های  Spyware ، ارائه داده اند .
  LavaSoft's Adaware, Webroot's SpySweeper, PestPatrol, Spybot Search and Destroy ، نمونه هائی در اين زمينه می باشند .

• استفاده از اين مطلب  با ذکر منبع و اهداف غيرانتفاعی بلامانع است .
  http://www.srco.ir

پورت ها

متداولترين پورت های آسيب پذير
امروزه شاهد حضور مقتدرانه سيستم های عامل در تمامی عرصه های پردازش اطلاعات می باشيم .سيستم عامل، يکی از عناصر چهار گانه در يک سيستم کامپيوتری است که دارای نقشی حياتی و تعيين کننده  در رابطه با نحوه مديريت منابع سخت افزاری و نرم افزاری است . پرداختن به مقوله  امنيت سيستم های عامل ، همواره از بحث های مهم در رابطه با ايمن سازی اطلاعات در يک سيستم کامپيوتری بوده که امروزه با گسترش اينترنت ، اهميت آن مضاعف شده است . بررسی و آناليز امنيت در سيستم های عامل می بايست با ظرافت و در چارچوبی کاملا" علمی و با در نظر گرفتن تمامی واقعيت های موجود ، انجام تا از يک طرف تصميم گيرندگان مسائل استراتژيک در يک سازمان قادر به انتخاب  منطقی يک سيستم عامل باشند و از طرف ديگر امکان نگهداری و پشتيبانی آن با در نظر گرفتن مجموعه تهديدات موجود و آتی  ، بسرعت و بسادگی ميسر گردد .
اکثر کرم ها و ساير حملات موفقيت آميز در اينترنت ، بدليل وجود نقاط آسيب پذير در تعدادی  اندک  از سرويس های سيستم  های عامل متداول است . مهاجمان ، با فرصت طلبی خاص خود از روش  های متعددی بمنظور سوء استفاده از نقاط ضعف امنيتی شناخته شده ، استفاده نموده  و در اين راستا ابزارهای  متنوع ، موثر و گسترده ای را به منظور نيل به اهداف خود ، بخدمت می گيرند . مهاجمان ، در اين رهگذر متمرکز بر سازمان ها و موسساتی می گردند که هنوز مسائل موجود امنيتی ( حفره ها و نقاط آسيب پذير ) خود را برطرف نکرده و بدون هيچگونه تبعيضی آنان را بعنوان هدف ، انتخاب می نمايند . مهاجمان بسادگی و بصورت مخرب ،  کرم هائی نظير : بلستر ، اسلامر و Code Red را در شبکه  منتشر می نمايند. آگاهی از مهمترين نقاط آسيب پذير در سيستم های  عامل ، امری ضروری است . با شناسائی و آناليز اينگونه نقاط آسيب پذير توسط کارشناسان امنيت اطلاعات ، سازمان ها و موسسات قادر به استفاده از مستندات علمی تدوين شده بمنظور برخورد منطقی با مشکلات موجود و ايجاد يک لايه حفاظتی مناسب می باشند.
شناسائی متداولترين پورت هائی که تاکنون مهاجمان با استفاده از آنان حملات خود را سازماندهی نموده اند ، امری لازم و ضروری است .  برخی از پورت ها بدفعات و بطور متناوب توسط مهاجمان و به منظور انجام يک تهاجم مورد استفاده قرار گرفته است . با بلاک نمودن اينگونه پورت ها ، حداقل امکانات لازم به منظور ايجاد يک محيط ايمن ايجاد خواهد شد . بهترين روشی که در اين رابطه توصيه شده است ، بلاک نمودن تمامی پورت ها ( غيرفعال نمودن تمامی ترافيک ) و صدور مجوز جداگانه برای هر يک از پروتکل های مورد نياز در يک سازمان و با توجه به شرايط موجود می باشد . حتی در صورتی که تمامی پورت ها بلاک شده باشند ، می بايست بطور مستمر آنان را به منظور تشخيص مزاحمت ها و سوء استفاده های احتمالی مانيتور نموده  تا در صورت بروز مشکلات احتمالی سريعا" نسبت به رفع آنان اقدام گردد .
بخاطر داشته باشيد که پورت های زير را می بايست بر روی تمامی کامپيوترهای ميزبان با لحاظ  نمودن مسائل امنيتی پيکربندی نمود . غير فعال نمودن پورت های زير خلاء طراحی يک سياست امنيتی  را پر نخواهد کرد و می بايست در اين رابطه تابع يک سيستم و سياست امنيتی مناسب باشيم .
جدول زير متداولترين پورت های آسيب پذير را تاکنون توسط مهاجمان بکار گرفته شده است ، نشان می دهد : 

Name	Port	Protocol	Description
Small services	<20	tcp/udp	small services
FTP	21	tcp	file transfer
SSH	22	tcp	login service
TELNET	23	tcp	login service
SMTP	25	tcp	mail
TIME	37	tcp/udp	time synchronization
WINS	42	tcp/udp	WINS replication
DNS	53	udp	naming services
DNS zone transfers	53	tcp	naming services
DHCP server	67	tcp/udp	host configuration
DHCP client	68	tcp/udp	host configuration
TFTP	69	udp	miscellaneous
GOPHER	70	tcp	old WWW-like service
FINGER	79	tcp	miscellaneous
HTTP	80	tcp	web
alternate HTTP port	81	tcp	web
alternate HTTP port	88	tcp	web (sometimes Kerberos)
LINUXCONF	98	tcp	host configuration
POP2	109	tcp	mail
POP3	110	tcp	mail
PORTMAP/RPCBIND	111	tcp/udp	RPC portmapper
NNTP	119	tcp	network news service
NTP	123	udp	time synchronization
NetBIOS	135	tcp/udp	DCE-RPC endpoint mapper
NetBIOS	137	udp	NetBIOS name service
NetBIOS	138	udp	NetBIOS datagram service
NetBIOS/SAMBA	139	tcp	file sharing & login service
IMAP	143	tcp	mail
SNMP	161	tcp/udp	miscellaneous
SNMP	162	tcp/udp	miscellaneous
XDMCP	177	udp	X display manager protocol
BGP	179	tcp	miscellaneous
FW1-secureremote	256	tcp	CheckPoint FireWall-1 mgmt
FW1-secureremote	264	tcp	CheckPoint FireWall-1 mgmt
LDAP	389	tcp/udp	naming services
HTTPS	443	tcp	web
Windows 2000 NetBIOS	445	tcp/udp	SMB over IP (Microsoft-DS)
ISAKMP	500	udp	IPSEC Internet Key Exchange
REXEC	512	tcp	} the three
RLOGIN	513	tcp	} Berkeley r-services
RSHELL	514	tcp	} (used for remote login)
RWHO	513	udp	miscellaneous
SYSLOG	514	udp	miscellaneous
LPD	515	tcp	remote printing
TALK	517	udp	miscellaneous
RIP	520	udp	routing protocol
UUCP	540	tcp/udp	file transfer
HTTP RPC-EPMAP	593	tcp	HTTP DCE-RPC endpoint mapper
IPP	631	tcp	remote printing
LDAP over SSL	636	tcp	LDAP over SSL
Sun Mgmt Console	898	tcp	remote administration
SAMBA-SWAT	901	tcp	remote administration
Windows RPC programs	1025	tcp/udp	} often allocated
Windows RPC programs	to		} by DCE-RPC portmapper
Windows RPC programs	1039	tcp/udp	} on Windows hosts
SOCKS	1080	tcp	miscellaneous
LotusNotes	1352	tcp	database/groupware
MS-SQL-S	1433	tcp	database
MS-SQL-M	1434	udp	database
CITRIX	1494	tcp	remote graphical display
WINS replication	1512	tcp/udp	WINS replication
ORACLE	1521	tcp	database
NFS	2049	tcp/udp	NFS file sharing
COMPAQDIAG	2301	tcp	Compaq remote administration
COMPAQDIAG	2381	tcp	Compaq remote administration
CVS	2401	tcp	collaborative file sharing
SQUID	3128	tcp	web cache
Global catalog LDAP	3268	tcp	Global catalog LDAP
Global catalog LDAP SSL	3269	tcp	Global catalog LDAP SSL
MYSQL	3306	tcp	database
Microsoft Term. Svc.	3389	tcp	remote graphical display
LOCKD	4045	tcp/udp	NFS file sharing
Sun Mgmt Console	5987	tcp	remote administration
PCANYWHERE	5631	tcp	remote administration
PCANYWHERE	5632	tcp/udp	remote administration
VNC	5800	tcp	remote administration
VNC	5900	tcp	remote administration
X11	6000-6255	tcp	X Windows server
FONT-SERVICE	7100	tcp	X Windows font service
alternate HTTP port	8000	tcp	web
alternate HTTP port	8001	tcp	web
alternate HTTP port	8002	tcp	web
alternate HTTP port	8080	tcp	web
alternate HTTP port	8081	tcp	web
alternate HTTP port	8888	tcp	web
Unix RPC programs	32770	tcp/udp	} often allocated
Unix RPC programs	to		} by RPC portmapper
Unix RPC programs	32899	tcp/udp	} on Solaris hosts
COMPAQDIAG	49400	tcp	Compaq remote administration
COMPAQDIAG	49401	tcp	Compaq remote administration
COMPAQDIAG	49401	tcp	Compaq remote administration

استفاده از اين مطلب  با ذکر منبع و اهداف غيرانتفاعی بلامانع است .
http://www.srco.ir

 

اشتراک فايل

خطرات استفاده از فن آوری اشتراک فايل 
فن آوری "اشتراک فايل"  يکی از روش های متداول به منظور مبادله و يا اشتراک فايل ها  توسط کاربران است می باشد .  استفاده از فن آوری فوق ، عليرغم برخی مزايا می تواند شما را مستعد خطرات متعددی نظير آلودگی سيستم ، حملات و يا افشاء اطلاعات شخصی نمايد .

اشتراک فايل چيست ؟
با استفاده از فن آوری "اشتراک فايل" ، کاربران اينترنت می توانند فايل های موجود بر روی سيستم خود را با ساير کاربران به اشتراک گذاشته و خود نيز از فايل های موجود بر روی کامپيوتر ساير کاربران استفاده نمايند . نرم افزارهای P2P ( اقتباس شده از Peer-to-peer ) نظير برنامه هائی که از آنان به منظور اشتراک فايل های موزيک استفاده می گردد ، يکی از نمونه برنامه های متداول در اين زمينه بوده  که از فن آوری اشتراک فايل استفاده می نمايد . برنامه های P2P ، شما را در معرض خطرات امنيـتی متعددی قرار داده و ممکن است به اطلاعات شخصی موجود بر روی کامپيوتر شما آسيب جدی برساند .

خطرات استفاده از فن آوری اشتراک فايل

• نصب کدهای مخرب :در زمان استفاده از برنامه های P2P ، تشخيص ايمن بودن منبع فايل های ارائه شده مشکل خواهد بود ( غير ممکن نيست ). مهاجمان به منظور ارسال کدهای مخرب بر روی کامپيوترهای هدف از  نرم افزارهای فوق استفاده نموده و از اينگونه نرم افزارها و يا فايل های به اشتراک گذاشته به عنوان ناقل ويروس، تروجان ، کرم و يا Spyware استفاده می نمايند . بديهی است پس از Download اينگونه فايل ها، شرايط لازم برای آلودگی سيستم فراهم می گردد.

• افشاء اطلاعات حساس و يا شخصی : با استفاده از برنامه های P2P ، شرايط لازم به منظور دستيابی ساير کاربران به سيستم شما فراهم شده و  ساير کاربران می توانند به برخی دايرکتوری های خاص دستيابی داشته و يا ممکن است شما اقدام به ارائه اطلاعات شخصی خود برای افرادی نمائيد که نسبت به آنان اعتماد اوليه ای ايجاد شده است. بدين ترتيب شرايط مناسب برای افراد غير مجاز به منظور دستيابی به اطلاعات و داده های شخصی موجود بر روی کامپيوتر شما فراهم می گردد . زمانی که اطلاعات موجود بر روی کامپيوتر شما در اختيار افراد غيرمجاز قرار گرفت ، تشخيص اين موضوع که چه تعداد به اطلاعات فوق  دستيابی پيدا کرده اند ،بسيار مشکل بوده و شانس يافتن سارقين اطلاعات شخصی شما کاهش پيدا می نمايد .

• استعداد لازم در مقابل حملات : برخی برنامه های P2P ممکن است از شما بخواهند که پورت های خاصی را بر روی فايروال باز نمائيد تا آنان قادر به ارسال فايل ها باشند ( ايجاد يک روزنه در سيستم حفاظتی ايجاد شده توسط فايروال ) . باز نمودن برخی پورت ها ممکن است باعث دستيابی مهاجمان به کامپيوتر شما شده و يا آنان با سوء استفاده از نقاط آسيب پذير موجود در برنامه های P2P ، اقدام به برنامه ريزی حملات خود نمايند .

• از کار افتادن سرويس ها : دريافت فايل ها از طريق اينترنت می تواند بطرز قابل محسوسی ترافيک موجود بر روی شبکه و حجم پردازش های انجام داده شده بر روی کامپيوترهای شما را افزايش دهد . با افزايش حجم پردازش بر روی کامپيوتر ، ممکن است امکان دستيابی به برخی برنامه های نصب شده بر روی کامپيوتر شما وجود نداشته باشد و يا با محدوديت دستيابی در زمان استفاده از اينترنت مواجه گرديد . 

• پيگيری و تعقيب قانونی : فايل های به اشتراک گذاشته شده از طريق برنامه های P2P ممکن است شامل نرم افزارهای غيرمجاز و يا اطلاعات غيراخلاقی باشند. دريافت و استفاده از  اينگونه فايل ها ، ممکن است پيامدهای حقوقی و قانونی را برای شما بدنبال داشته باشد .

اقدامات لازم در جهت کاهش تهديدات
بهترين روش کاهش و يا حذف خطرات در ارتباط با فن آوری اشتراک فايل ، عدم استفاده از برنامه های P2P است . در صورتی که ضرورت استفاده از فن آوری فوق وجود داشته باشد ، با رعايت موارد ايمنی زير می توان خطرات مرتبط با بکارگيری آنان را کاهش داد :

• استفاده و بهنگام نگه داشتن يک نرم افزار آنتی ويروس : نرم افزارهای آنتی ويروس عمليات تشخيص و حفاظت کامپيوتر شما در مقابل ويروس های متداول را انجام خواهند داد . با توجه به اين که مهاجمان به صورت مستمر اقدام به نوشتن ويروس های جديد می نمايند ، بهنگام نگه داشتن برنامه های آنتی ويروس به منظور برخورد با ويروس های جديد ، امری ضروری و حياتی است . 

• نصب و يا فعال نمودن يک فايروال : فايروال ها با بلاک نمودن برخی از حملات، پيشگيری و حفاظت لازم از سيستم شما را انجام خواهند داد. برخی از سيستم های عامل به همراه يک فايروال پيش فرض ارائه شده اند ، در چنين مواردی می بايست از فعال بودن فايروال اطمينان حاصل نمود.

• استفاده از اين مطلب  با ذکر منبع و اهداف غيرانتفاعی بلامانع است .
  http://www.srco.ir

Packet Sniffing

تشخيص Packet Sniffing  در يک شبکه

همه روزه شاهد ابداع فن آوری های جديدی در عرصه دنيای گسترده امنيت اطلاعات می باشيم. ابداع هر فن آوری جديد  از يک طرف کارشناسان امنيت اطلاعات را اميدوار به برپاسازی و نگهداری يک شبکه ايمن می نمايد و از طرف ديگر مهاجمان را اميدوار به تدارک حملاتی که شانس موفقيت بيشتری را داشته باشند. چراکه آنان نيز از آخرين فن آوری های موجود در اين عرصه به خوبی استفاده خواهند کرد . شايد به همين دليل باشد که بسياری از کارشناسان فن آوری اطلاعات و ارتباطات بر اين عقيده هستند  ، ماداميکه دانش مهاجمان بيش از کارشناسان امنيت اطلاعات است امکان مقابله منطقی ، ساختيافته و به موقع با بسياری از حملات وجود نخواهد داشت .( چگونه می توان با چيزی مقابله نمود که نسبت به آن شناخت مناسبی وجود ندارد؟ ) . اين يک واقعيت تلخ در دنيای امنيت اطلاعات است که بسياری از پتانسيل هائی که به منظور تسهيل در امر استفاده کامپيوتر و يا افزايش کارآئی سيستم  ايجاد و يا به عنوان محصولات و ابزارهائی  در جهت  حفاظت و ايمن سازی شبکه های کامپيوتری عرضه می گردند ، توسط مهاجمان و به منظور برنامه ريزی حملات در شبکه های کامپيوتری نيز مورد استفاده قرار خواهند گرفت . اين موضوع در رابطه با packet sniffing نيز صدق می کند . 

 packet sniffing چيست ؟
يکی از قديمی ترين روش های سرقت اطلاعات در يک شبکه ، استفاده از فرآيندی موسوم به packet sniffing  است . در اين روش مهاجمان  از تکنيک هائی به منظور تکثير بسته های اطلاعاتی که در طول شبکه حرکت می کنند ، استفاده نموده و در ادامه با آناليز  آنان  از وجود اطلاعات حساس در يک شبکه آگاهی می يابند . امروزه پروتکل هائی نظير IPSec به منظور پيشگيری از packet sniffing طراحی شده است که با استفاده از آن بسته های اطلاعاتی رمزنگاری می گردند . در حال حاضر تعداد بسيار زيادی از شبکه ها از تکنولوژی IPSec  استفاده نمی نمايند و يا صرفا" بخش اندکی از داده های مربوطه را رمزنگاری می نمايند و همين امر باعث شده است که packet sniffing  همچنان يکی از روش های متداول به منظور سرقت اطلاعات باشد  .
يک packet sniffer که در برخی موارد از آن به عنوان network monitor و يا network analyzer نيز ياد می شود ، می تواند توسط مديران شبکه به منظور مشاهده و اشکال زدائی ترافيک موجود بر روی شبکه استفاده گردد تا به کمک آن  بسته های اطلاعاتی خطاگونه و  گلوگاه های حساس شبکه  شناسائی و زمينه لازم به منظور  انتقال موثر داده ها فراهم گردد . به عبارت ساده تر ، يک packet sniffer تمامی بسته های اطلاعاتی که از طريق يک اينترفيش مشخص شده در شبکه ارسال می گردند را حمع آْوری تا امکان بررسی و آناليز آنان فراهم گردد . عموما" از برنامه های packet sniffer به منظور جمع آوری بسته های اطلاعاتی به مقصد يک دستگاه خاص استفاده می گردد. برنامه های فوق قادر به جمع آوری تمامی بسته های اطلاعاتی قابل حرکت در شبکه صرفنظر از مقصد مربوطه نيز می باشند .
يک مهاجم با استقرار يک packet sniffer  در شبکه ، قادر به جمع آوری و آناليز تمامی ترافيک شبکه خواهد بود . اطلاعات مربوط به نام و رمز عبور عموما" به صورت متن معمولی و  رمز نشده ارسال می گردد و اين بدان معنی است که با آناليز بسته های اطلاعاتی ، امکان مشاهده اينگونه اطلاعات حساس وجود خواهد داشت .  يک packet sniffer صرفا" قادر به جمع آوری اطلاعات مربوط به بسته های اطلاعاتی درون يک subnet مشخص شده است . بنابراين  يک مهاجم نمی تواند يک packet sniffer را در شبکه خود نصب نمايد و از آن طريق به شبکه شما دستيابی و اقدام به جمع آوری نام و رمز عبور به منظور سوء استفاده از  ساير ماشين های موجود در  شبکه نمايد .  مهاجمان به منظور نيل به اهداف مخرب خود می بايست يک packet sniffer را بر روی يک کامپيوتر موجود در شبکه اجراء نمايند .

نحوه کار  packet sniffing
نحوه کار packet sniffing به روشی برمی گردد که شبکه های اترنت بر اساس آن کار می کنند . در يک شبکه اترنت ، هر زمان که کامپيوتری  يک بسته اطلاعاتی را  ارسال می نمايد ، بسته اطلاعاتی به عنوان يک broadcast ارسال می گردد . اين بدان معنی است که هر کامپيوتر موجود در شبکه بسته های اطلاعاتی ارسالی را مشاهده نموده و بجزء کامپيوتر مقصد ساير دستگاه های موجود از بسته اطلاعاتی صرفنظر خواهند کرد . packet sniffing با کپی يک نسخه از بسته های اطلاعاتی ارسالی در شبکه، فعاليت خود را سازماندهی می نمايد .

آيا روش هائی به منظور تشخيص وجود يک packet sniffer در شبکه وجود دارد ؟
تشخيص وجود يک packet sniffer بر روی شبکه کار آسانی نخواهد بود . برنامه های فوق  به صورت passive در شبکه عمل نموده و به سادگی اقدام به جمع آوری بسته های اطلاعاتی می نمايند  .خوشبختانه ، امروزه با استفاده از روش هائی می توان وجود احتمالی يک packet sniffer را در شبکه تشخيص داد .

روش های تشخيص packet sniffing  در شبکه
همانگونه که اشاره گرديد تشخيص اين موضوع که يک فرد در يک بازه زمانی محدود و همزمان با حرکت بسته های اطلاعاتی در شبکه از يک packet sniffer استفاده می نمايد ، کار مشکلی خواهد بود . با بررسی و آناليز برخی داده ها می توان تا اندازه ای اين موضوع را تشخيص داد :

•  استفاده از امکانات ارائه شده توسط برخی نرم افزارها : در صورتی که مهاجمان دارای منابع محدودی باشند ممکن است از برنامه کاربردی Network Monitor  برای packet sniffing  استفاده نمايند . يک نسخه محدود از Network Monitor به همراه ويندوز NT و 2000 و  يک نسخه کامل از آن به همراه SMS Server ارائه شده است . برنامه فوق ، گزينه ای مناسب برای مهاجمانی است که می خواهند در کوتاه ترين زمان به اهداف خود دست يابند چراکه استفاده از آن در مقايسه با ساير نرم افزارهای مشابه راحت تر است . خوشبختانه می توان بسادگی از اجرای اين برنامه توسط ساير کاربران در يک شبکه ، آگاهی يافت . بدين منظور کافی است از طريق منوی  Tools گزينه Identify Network Monitor Users  را انتخاب نمود .

• بررسی سرويس دهنده DNS : در صورتی که مهاجمان از يکی از صدها نرم افزار ارائه شده برای  packet sniffing  استفاده نمايند ، امکان تشخيص سريع آن همانند برنامه Network Monitor  وجود نخواهد داشت . توجه داشته باشيد که يک روش صدرصد تضمينی به منظور تشخيص وجود يک برنامه packet sniffing  در شبکه وجود ندارد ولی با مشاهده نشانه هائی خاص می توان احتمال وجود  packet sniffing  در شبکه را تشخيص داد . شايد بهترين نشانه وجود يک packet sniffing  در شبکه  به بانک اطلاعاتی سرويس دهنده DNS برگردد . سرويس دهنده DNS وظيفه جستجو در بانک اطلاعاتی به منظور يافتن نام host و برگرداندن آدرس IP مربوطه را بر عهده دارد . در صورتی که مهاجمی يک packet sniffing  را اجراء نمايد که اسامی host را نمايش می دهد ( اکثر آنان چنين کاری را انجام می دهند ) ، ماشينی که فرآيند packet sniffing  را انجام می دهد يک حجم بالا از درخواست های DNS را اجراء می نمايد . در مرحله اول سعی نمائيد ماشينی را که تعداد زيادی درخواست های DNS lookups را انجام می دهد ، بررسی نمائيد . با اين که وجود حجم بالائی از درخواست های DNS lookup به تنهائی نشاندهنده packet sniffing  نمی باشد ولی می تواند به عنوان نشانه ای مناسب در اين زمينه مطرح گردد . در صورتی که به يک ماشين خاص در شبکه مشکوک شده ايد ، سعی نمائيد يک ماشين طعمه را پيکربندی و آماده نمائيد . ماشين فوق يک کامپيوتر شخصی است که کاربران از وجود آن آگاهی ندارد . پس از اتصال اين نوع کامپيوترها به شبکه ، يک حجم بالا ی ترافيک بر روی شبکه را ايجاد نموده  و به موازات انجام اين کار درخواست های DNS را بررسی نمائيد تا مشخص گردد که آيا ماشين مشکوک يک درخواست DNS را بر روی ماشين طعمه انجام می دهد . در صورتی که اينچنين است می توان با  اطمينان گفت که ماشين مشکوک همان ماشين packet sniffing است .

• اندازه گيری زمان پاسخ ماشين های مشکوک : يکی ديگر از روش های متداول برای شناسائی افرادی که از packet sniffing استفاده می نمايند ، اندازه  گيری زمان پاسخ ماشين مشکوک است . روش فوق  مستلزم دقت زياد و تا اندازه ای غيرمطمئن است . بدين منظور از دستور Ping ماشين مشکوک به منظور اندازه گيری مدت زمان پاسخ استفاده می شود .  بخاطر داشته باشيد فردی که عمليات packet sniffing را انجام می دهد تمامی بسته های اطلاعاتی را کپی نخواهد کرد ، چراکه حجم اطلاعات افزايش خواهد يافت . آنان با تعريف يک فيلتر مناسب، صرفا" بسته های اطلاعاتی مورد علاقه خود را تکثير می نمايند (نظير آنانی که برای تائيد کاربران استفاده می گردد ) . بنابراين از تعدادی از همکاران خود بخواهيد که چندين مرتبه عمليات log in و log out را انجام داده و در اين همين وضعيت مدت زمان پاسخ کامپيوتر مشکوک را محاسبه نمائيد . در صورتی که مدت زمان پاسخ زياد تغيير نکند ، آن ماشين احتمالا" عمليات packet sniffing را انجام نمی دهد ولی در صورتی که زمان پاسخ کند گردد ، اين احتمال وجود خواهد داشت که ماشين مشکوک شناسائی شده باشد.

• استفاده از ابزارهای مختص AntiSniff : شرکت های متعددی اقدام به طراحی و پياده سازی نرم افزارهائی به منظور رديابی و شناسائی packet sniffing  نموده اند . برنامه های فوق از روش های اشاره شده و ساير  روش های موجود به منظور شناسائی packet sniffing در يک شبکه استفاده می نمايند .

• استفاده از اين مطلب  با ذکر منبع و اهداف غيرانتفاعی بلامانع است .
  http://www.srco.ir

امنیت پورت ها

پويش پورت ها

پويش يک پورت فرآيندی است که مهاجمان با استفاده از آن قادر به تشخيص وضعيت يک پورت بر روی يک سيستم و يا شبکه می باشند . مهاحمان با استفاده از ابزارهای متفاوت ، اقدام به ارسال داده به پورت های TCP و UDP نموده و با توجه به پاسخ دريافتی  قادر به تشخيص اين موضوع خواهند بود که  کدام پورت ها در حال استفاده بوده و  از کدام پورت ها استفاده نمی گردد و  اصطلاحا" آنان باز می باشند . مهاجمان در ادامه و بر اساس اطلاعات دريافتی ، بر روی پورت های باز متمرکز شده و حملات خود  را بر اساس آنان سازماندهی می نمايند . عملکرد مهاجمان  در اين رابطه مشابه سارقانی  است  که به منظور نيل به اهداف مخرب خود ( سرقت ) ، درابتدا وضعيت درب ها و پنجره های منازل را بررسی نموده تا پس از آگاهی از وضعيت آنان ( باز بودن و يا قفل بودن ) ، سرقت خود را برنامه ريزی نمايند.
Transmission Control Protocol)   TCP )  و ( UDP  ( User Datagram Protocol  ،  دو پروتکل مهم  TCP/IP می باشند . هر يک از پروتکل های فوق می توانند دارای شماره پورتی بين صفر تا 65،535 باشند . بنابراين ما دارای بيش از 65،000 درب می باشيم که می بايست در رابطه با باز بودن و يا بستن هر يک از آنان تعيين تکليف نمود ( شبکه ای با بيش از  65،000 درب! ) . از 1024 پورت اول  TCP به منظور ارائه سرويس های استانداردی نظير FTP,HTTP,SMTP و DNS استفاده می گردد . ( پورت های خوش نام ) .  به برخی  از پورت های بالای 1023 نيز سرويس های شناخته شده ای نسبت داده شده است ، ولی اغلب اين پورت ها به منظور استفاده توسط يک برنامه در دسترس می باشند .

نحوه عملکرد برنامه های پويش پورت ها
برنامه های پويش پورت ها در ابتدا اقدام به ارسال يک درخواست برای کامپيوتر هدف و بر روی هر يک از پورت ها نموده و در ادامه با توجه به نتايج بدست آمده ، قادر به تشخيص وضعيت يک پورت می باشند (باز بودن و يا بسته بودن يک پورت ) .  در صورتی که اينگونه برنامه ها با اهداف مخرب به خدمت گرفته شوند ، مهاجمان قادر به تشخيص وضعيت پورت ها بر روی يک سيستم و يا شبکه کامپيوتری می شوند. آنان می توانند تهاجم خود را بگونه ای برنامه ريزی نمايند که ناشناخته باقی مانده و امکان تشخيص آنان وجود نداشته باشد . برنامه های امنيتی نصب شده بر روی يک شبکه کامپيوتری می بايست بگونه ای پيکربندی شوند که در صورت تشخيص ايجاد يک ارتباط و پويش مستمر و بدون وقفه مجموعه ای از پورت ها در يک محدوده زمانی خاص توسط يک کامپيوتر ، هشدارهای لازم را در اختيار مديريت سيستم قرار دهند . مهاجمان به منظور پويش پورت ها از دو روش عمده  "آشکار"  و  يا " مخفی" ، استفاده می نمايند . در روش پويش آشکار ، مهاجمان در رابطه با تعداد پورت هائی که قصد بررسی آنان را دارند ، دارای محدوديت خواهند بود  ( امکان پويش تمامی 65،535 پورت وجود ندارد ) . در  پويش مخفی ، مهاجمان از  روش هائی نظير " پويش کند " استفاده نموده تا احتمال شناسائی آنان کاهش يابد . با پويش پورت ها در يک محدوده زمانی بيشتر ، احتمال تشخيص آنان توسط برنامه های امنيتی نصب شده در يک شبکه کامپيوتری کاهش پيدا می نمايد .
برنامه های پويش پورت ها با تنظيم فلاگ های متفاوت TCP و يا ارسال انواع متفاوتی از بسته های اطلاعاتی TCP  قادر به ايجاد نتايج متفاوت و تشخيص پورت های باز بر اساس روش های مختلفی می باشند . مثلا" يک پويش مبتنی بر SYN با توجه به نتايج بدست آمده اعلام می نمايد که کدام پورت باز و يا کدام پورت بسته است و يا در  يک پويش مبتنی بر FIN بر اساس پاسخی که از پورت های بسته دريافت می نمايد ( پورت های باز پاسخی را ارسال نخواهند کرد) وضعيت يک پورت را تشخيص خواهد داد  .

نحوه پيشگيری و حفاظت
مديران شبکه می توانند با استفاده از امکانات متنوعی که در اين رابطه وجود دارد از پويش پورت ها بر روی شبکه توسط مهاجمان آگاه گردند . مثلا" می توان تمامی پويش های مبتنی بر SYN را ثبت تا در ادامه امکان بررسی دقيق آنان وجود داشته باشد . ( تشخيص ارسال يک بسته اطلاعاتی SYN به پورت های باز و يا بسته ) .
به منظور افزايش ايمن سازی کامپيوتر و يا شبکه مورد نظر می توان خود راسا" اقدام به پويش پورت ها نمود . با استفاده از نرم افزارهائی نظير NMap می توان محدوده ای از آدرس های IP و پورت های مورد نظر را بررسی نمود ( شبيه سازی يک تهاجم ) . پس از مشخص شدن وضعيت هر يک از پورت ها می بايست اقدامات لازم حفاظتی در اين خصوص را انجام داد . در صورتی که به وجود ( باز بودن )  يک پورت نياز نمی باشد ، می بايست آنان را غير فعال نمود.  در صورت ضرورت استفاده از يک پورت ، می بايست بررسی لازم در خصوص تهديداتی که ممکن است از جانب آن پورت متوجه سيستم و يا شبکه گردد را انجام و  با نصب patch های مرتبط با آنان امکان سوء استفاده از پورت های باز را کاهش داد .

نرم افزارهای پويش پورت ها
به منظور پويش پورت ها و آگاهی از وضعيت پورت های TCP و UDP می توان از برنامه های متعددی استفاده نمود :  

• Nmap ( يا Network Mapper ) 

• FoundStone Vision

•  FoundStone FPort 

• FoundStone ScanLine 

• FoundStone SuperScan 

• FireWalls.com Port Scan ( بررسی  online وضعيت پورت ها )

• استفاده از اين مطلب  با ذکر منبع و اهداف غيرانتفاعی بلامانع است .
  http://www.srco.ir