جستجو در تالارهای گفتگو

SSL یک پروتکل امنیتی با الگوریتم‌های رمزنگاری پیشرفته است که تبادل اطلاعات بین سیستم کاربر و سرور را کنترل کرده و با رمزنگاری داده‌ها کاری می‌کند که اطلاعات در بین مسیر برای شخص سومی قابل خواندن نباشند. یا به اصطلاح، اطلاعات را در یک تونل امنیتی رد و بدل می‌کند. این پروتکل برای اولین بار در مرورگر Netscape برای انتقال امن داده‌ها میان مرورگر و سرور ایجاد گردید و امروزه به یکی از اصلی‌ترین راه‌های تامین امنیت وبسایت‌ها تبدیل شده است که هم‌اکنون میلیون‌ها وبسایت از این پروتکل استفاده می‌کنند. امروزه اینترنت به یکی از ارکان ارتباطی بین افراد و سازمان ها تبدیل شده است. بسیاری از ما روزانه اطلاعاتی از این طریق می گیریم یا می فرستیم. این اطلاعات از نظر اهمیت با هم تفاوت زیادی دارند. ابته برخی از این اطلاعات مانند اخبار یک سایت ، اهمیت امنیتی چندانی ندارد ، اما در طرف دیگر اطلاعات مربوط به اسناد شخصی مثل ایمیل ها ، رمز حساب های بانکی و … وجود دارند که قطعا مایل نیستیم در اختیار دیگران قرار بگیرد. در حقیقت اطلاعاتی که در حالت عادی بین کاربران و دنیای اینترنت رد و بدل می شوند ، به گونه ای است که یک هکر یا خرابکار حرفه ای می تواند آن ها را ببیند و برای اهداف خود از آن ها سواستفاده کند. برای مثال هنگامی که قصد دارید برای خرید الکترونیکی پول محصول را بپردازید اگر سایت سایت بانک شما از شما رمز بخواهد و فاقد پرتکول امنیتی باشد ممکن است اطلاعات شما در طول راه ، بدون این که متوجه شوید دزدیده شود و اگر بدشانس باشید چند روز بعد که به حسابتان سر می زنید ، آن را خالی می یابید. اما احتمال این اتفاق بسیار کم است ، زیرا اکثر حساب های بانکی یا سایت هایی که اطلاعات خصوصی کاربران را نگه داری می کنند معمولا از روش هایی برای رمز گذاری یا Encrypt اطلاعات استفاده می کنند. در این حالت اگر این اطلاعات در طول راه دزدیده شوند دیگر جای نگرانی نیست. زیرا شکستن رمز آن ها تقریبا غیر ممکن است. زمانی که آدرس یک وب سایت را در مرورگر وارد می کنیم ، اطلاعات بین کامپیوتر ما (Client) و کامپیوتری که سایت روی آن قرار دارد (Server) در حال رد و بدل هستند. پس اگر بتوانیم ارتباط بین Client و Server را امن کنیم ، اطلاعات دزدیده نخواهند شد اطلاعات در اینترنت چگونه جابه جا می شوند؟ اطلاعات در اینترنت (درست مثل ارسال یک نامه) به صورت فایل های متنی جا به جا می شوند. به عبارتی همان طور که یک نامه از زمانی که در صندوق پست گذاشته می شود تا زمانی که به صاحبش برسد در دست افراد مختلفی قرار می گیرد تا به مقصد برسد. اگر نامه به صورت معمولی فرستاده شود هر یک از سیستم های در طول راه می توانند نامه شما را بخوانند. پس برای جلوگیری از سرقت احتمالی باید نامه را رمز گذاری کنیم. با یک مثال مسئله را روشن می کنیم. فرض کنید می خواهید برای دوست خود نامه ای بفرستید ولی به دلایلی دوست ندارید محتوای نامه را افراد خانواده ببینند! در این رابطه یکی از این کار ها این است که نامه را به صورت رمزی بنویسید که فقط دوستتان از آن سر در بیاورد! در دنیای اینترنت هم برای این که هکر ها نتوانند از ماهیت و جزئیات نامه باخبر شوند و از آن سر در بیاورند ، آن ها را رمز گذاری می کنند. یکی از روش های متداول رمز گذاری اینترنتی استفاده از پرتکول SSL (Secure Socket Layer) است. SSL چیست؟ از این پرتکول برای امن کردن پرتکول های غیرامن مانند HTTP ، LDAP ، IMAP و … استفاده می شود. در حقیقت SSL بر این اساس یکسری الگوریتم های رمزنگاری بر روی داده های خام قرار می دهد که قرار است یک کانال ارتباطی غیرامن بگذرد تا محرمانه ماندن داده ها تضمین شود. به بیان دیگر شرکتی که صلاحیت صدور و اعطاء گوهینامه دیجیتال SSL را دارد برای هر کدام از دو طرفی که قرار است ارتباطات بین شبکه ای را امن کنند. این مدارک باید احراز هویت کاربران را تایید کنند و از هر طرف گواهینامه تایید شود. اگر اطلاعات حین انتقال به سرقت رفت برای رباینده قابل درک نیست که این کار به صورت الگوریتم های رمزنگاری و کلیدهای رمزنگاری نامتقاران و متقاران انجام می دهد. ملزومات ارتباط بر پایه SSL برای داشتن ارتباطات امن مبتنی بر SSL ، عموما به دو نوع گواهی دیجیتال SSL ، یکی برای سرویس دهنده و دیگری برای سرویس گیرنده و هم چنین یک مرکز صدور و اعطای گواهینامه دیجیتال (Certificate authorities) که به اختصار CA نامیده می شود، نیاز است. وظیفه CA این است که هویت طرفین ارتباط نشانی ها، حساب های بانکی و تاریخ انقضای گواهینامه را بداند و بر اساس آن ها هویت ها را تعیین نماید. رمزنگاری رمزنگاری (Cryptography) ، علم به رمز در آوردن (Encryption) اطلاعات است. البته بدیهی است که توضیح روش های پیچیده ای که امروزه برای رمزنگاری استفاده می شود از حوصله و این مطلب خارج است. برای مثال زدن در ادامه به یکی از ساده ترین روش های رمزنگاری می پردازیم: می دانیم هر حرف الفبا جایگاهی دارد مثلا حرف «B قبل از A» و حرف «M بعد از N» قرار دارد. حالا برای مثال یک جمله مثل My Site را می خواهیم رمز نگاری کنیم. حالا هر حرف را به حرف قبلی برمیگردانیم. جمله ما می شود: Nx Rhsd به نظر شما معنی دارد؟ این جمله طوری کد گذاری شده که شما می دانید! اما هکر های حرفه ای باهوش تر از این حرف ها هستند! به راحتی می توانند الگوریتم ساده ی شما را شناسایی و هک کنند! آیا SSL قابل اعتماد است؟ وقتی شما فرمی را بدون پروتکل SSL در یک وبسایت تکمیل کرده و ارسال می‌کنید، این اطلاعات به صورت یک فایل متنی به مقصد فرستاده می‌شود. اما وقتی پای SSL به میان می‌آید، این کدها به صورت ایمن یا در اصطلاح داخل یک تونل امنیتی انتقال داده می‌شوند که افراد بیگانه نمی‌توانند آنها را بخوانند. یعنی اگر سارق در میانه راه به این کدها دسترسی پیدا کند فقط کدهای نامفهومی را می‌بیند که با روش‌های پیشرفته‌ای کدگذاری شده‌اند و فقط در مرورگر کاربر و کامپیوتر سرور قابل رویت هستند اما اخیرا همین کدهای SSL نیز توسط دو پژوهشگر شکسته شدند. اگر بخواهیم SSL را با شیوه متنی (Clear text) مقایسه کنیم بسیار بسیار ایمن‌تر و پایدارتر است و میلیون‌ها وبسایت از این شیوه برای حفظ محرمانه بودن اطلاعات خود استفاده می‌کنند اما این روش هم می‌تواند دستخوش حمله‌های امنیتی قرار بگیرد SSL چگونه کار می کند؟ SSL در واقع پروتکلی است که در آن ارتباطات به وسیله یک کلید ، رمز گذاری (Encryption) می شوند. لازم به ذکر است زمانی که قرار است یکسری اطلاعات به صورت SSL به یک سایت که سرور آن گواهینامه SSL را دارد (ابتدای آدرس سایت https باشد) ازسال شود ، ابتدا باید از یک کلید به عنوان قالبی برای به رمز درآوردن اطلاعات بین خدمات گیرنده (Client) و خدمات دهنده (Server) استفاده شود. برای ساخت این کلید نیاز به چند مرحله هماهنگی به شرح زیر است: * وقتی سرور بخواهد پروتکل SSL را فعال کند ابتدا یک کلید عمومی (Public Key) می سازد. * سپس کلید عمومی را همراه با یک درخواست گواهینامه SSL به یکی از صادرکنندگان این گواهینامه مثل وریساین (Verisign) ارسال می کند. * وریساین نیز ابتدا مشخصات و میزان قابل اعتماد بودن و امنیت سرور را ارزیابی کرده و کلید عمومی را دوباره رمزگذاری می کند و برای سرور می فرستد تا در انتقال اطلاعات خود از آن استفاده کند. به این کلید جدید کلید خصوصی یا امنیتی (Private Key) می گویند. * حال هر زمان که کاربر بخواهد از طریق پرتکول SSL به این سایت دست یابد ، ابتدا کامپیوتر کاربر یک کلید عمومی برای سرور می فرستد (هر کامپیوتر کلید مخصوص به خود را دارد). * سرور نیز این کلید عمومی را با کلید امنیتی خود مخلوط کرده و از آن کلید جدیدی می سازد سپس آن را به کامپیوتر کاربر می فرستد. * از این به بعد تمامی اطلاعاتی که رد و بدل می شوند با این کلید جدید رمزنگاری می شوند. البته واضح است که نیازی به دانستن تمام این جزییات نیست و ما جهت رفع کنجکاوی آن ها را توضیح دادیم. فقط این را بدانید که با استفاده از این سرویس اطلاعات کاملا رمزنگاری شده و بازکردن آن ها تقریبا غیرممکن است. ضمن این که تنها وظیفه شما این است که از این امکانات استفاده کنید و پرتکول SSL را در مرورگر برای ایمیل و دیگر حساب های خود که سرور به شما این امکان را می دهد فعال کنید. اگر شما هم مدیر یک سرور هستید سعی کنید گواهینامه پرتکول SSL را از صادرکنندگان آن مثل Verisign و Thawte خریداری و در اختیار کاربران و خدمت گیرندگان خود بگذارید. چه طور می توانیم مطمئن شویم یک سایت از SSL استفاده می کند؟ این بخش خیلی ساده در عین حال حیاتی و مهم است. برای این کار به وب سایت موردنظر وارد شوید سپس زمانی که سایت کاملا بارگذاری شد به ابتدای آدرس آن نگاه کنید اکنون می بایست به جای http عبارت https را ببینید (منظور از حرف s در پایان http، عبارت Secure است).

مفهوم هک شدن وب سایت یکی از خطراتی که همواره اطلاعات وب سایت ها را تهدید می کند هک شدن آن هاست. هک کردن در دنیای کامپیوتر، به معنای پیدا کردن نقاط ضعف و حفره های امنیتی یک سیستم و استفاده از آن برای نفوذ به آن سیستم است. ممکن است شما نیز به عنوان یک مدیر سایت بیندیشید که اطلاعات وب سایت معمولی شما ارزش دزدیدن و هک شدن ندارد، اما باید توجه داشته باشید که تمامی وب سایت ها همواره در معرض حملات هکرها قرار دارند و بر خلاف تصور عموم هدف اکثر حفره های امنیتی انجام شده سرقت اطلاعات و یا از دسترس خارج نمودن وب سایت نیست بلکه سوء استفاده از وب سرور در جهت منافع هکرها می باشد. به عنوان مثال ممکن است هکرها سعی داشته باشند با استفاده از وب سرور شما یک سیستم Email Relay راه اندازی کرده و اقدام به ارسال ایمیل های انبوه تبلیغاتی نموده و یا از آن به عنوان یک منبع فایل سرور برای بارگذاری فایل های آلوده و غیر قانونی خود روی سرور استفاده کنند. چنین هک هایی معمولا به صورت اتوماتیک و توسط اسکریپت های از پیش آماده شده انجام می شوند. اسکریپت های مذکور تمامی اینترنت را برای یافتن سایت هایی با حفره های امنیتی تعریف شده جستجو کرده تا هدف نهایی خود را پیدا کنند. معرفی برخی از شیوه های هکرها : حمله از طریق IP (Internet Protocol) یکی از ساده ‌ترین شیوه های هک کردن، حمله از طریق آی پی است. این روش حمله در دو مرحله جستجو و نفوذ و سپس انجام عملیات انجام می‌گیرد. پس از كشف شماره‌ سریال ‌های IP آدرس، هكر خود را در بین سرویس دهنده و كاربر قرار می ‌دهد و با ارسال بسته ‌های تقلبی، اطلاعات را به سرقت می ‌برد. برای مقابله با این شیوه هک شدن می توانید آی پی خود را پنهان نمایید. حمله از طریق TCP (Transmission Control Protocol) هكر در این روش كاربر را از سرویس دهنده جدا کرده و خود را به جای كاربر به سرویس دهنده معرفی می‌كند به طوری كه سرویس دهنده هكر را به عنوان یك كاربر معتبر بشناسد. از این پس تبادل اطلاعات میان سرویس دهنده و هكر انجام می‌شود. نفوذ به كامپیوتر از طریق Applet Applet یک نرم‌افزار کاربردی کوچک است که در پس زمینه برنامه دیگری اجرا می ‌شود. به‌ عنوان مثال فایل های فلش که در صفحات وب قرار گرفته و توسط مرورگر اجرا می شوند، نوعی از اپلت ها هستند. این Appletها که اغلب از طریق برنامه Java نوشته شده اند، توسط مرور‌گرها به حافظه بار‌گذاری می ‌شوند. یکی از متداول ‌ترین و مخرب ‌ترین نوع حملات هكرها تولید Appletهای مخرب و قرار دادن آن ها بر روی وب سایت هاست. حمله از طریق FireWall در این روش هكر پورت ‌های باز در فایروال را مورد بررسی قرار داده و سعی می ‌كند راه‌ های ارتباطی را باز نماید. دانستن این كه كدام پورت فایروال شما باز است، از اطلاعات بی‌ نهایت سودمند است. برای مقابله با این حمله بهترین عمل این است كه تمام پورت‌ های باز و بدون استفاده را ببندید. حمله به گذر واژه ها این نوع حمله یكی از پر‌طرفدارترین و كارآمد‌ترین نوع حمله‌ ها در میان هکرها می‌ باشد. مشاهده شده است که در اغلب سازمان ‌ها كلمات عبور بسیار ضعیف از بسته های اطلاعاتی بسیار مهم حفاظت می کنند و متأسفانه با وجود سیستم‌ های امنیتی، این كلمات عبور ضعیف به راحتی كشف شده و هكر به این اطلاعات دسترسی پیدا می‌كند. برای مقابله با این حملات می باید كلمات عبوری انتخاب كنید كه در فرهنگ لغات نباشند. كلمه‌ هایی كه از یك سری عدد و حروف درهم ریخته بزرگ و کوچک و نشانه ها تشكیل می ‌شوند درصد احتمال بسیار كمی برای كشف شدن دارند. روشی که هکرها برای حمله به گذر واژه ها از آن بهره می گیرند Brute Force نام دارد. حمله جستجوی فراگیر (Brute Force Attack) حمله‌ای است که در آن تمام حالات ممکن تا رسیدن به جواب بررسی می‌گردد. در این روش هکر با استفاده از نرم افزار های مخصوص سعی می کند تمام عبارت های ممکن را برای رسیدن به پسورد موردنظر بررسی کند. شنود داده‌ ها شنود داده ها از طریق Snifferها صورت می گیرد. Snifferها ابزارهایی هستند که هکرها از آنها در سطح لایه ارتباطی استفاده می‌کند. این برنامه ترافیک جاری بر روی شبکه‌ محلی را جمع آوری و شنود کرده و بخش ‌های مفید آن را در اختیار هکر قرار می‌دهد. از آنجایی که یک sniffer فقط به شنود داده ها و پاییدن ترافیک بسته های IP می ‌پردازد و هیچ‌ گونه تغییری در ماهیت اطلاعات ایجاد نمی‌کند، لذا عملیات انجام شده از دیدگاه ماشین ‌های شبکه مخفی می‌ ماند و به سادگی قابل کشف نیست. حمله به امنیت شبکه از طریق snifferها یکی از خطرناک ‌ترین حملات غیر فعال محسوب می‌شود و به سادگی قابل کشف نیست. sniffer امکان دزدیدن داده های جاری بر روی یک شبکه‌ی محلی را به طور آنی دارد و آن ها را در اختیار هکر قرار می‌ دهد. جعل كردن یك وب در این روش یك نسخه از وب سایت (معمولا وب سایت های بسیار مهم و حیاتی نظیر بانک ها، ثبت اسناد و ...) كپی برداری می‌ شود. وب سایت كپی شده دارای تمام ظواهر وب اصلی است، اما در پس زمینه كلمات عبور و رمزهای وارد شده توسط بازدیدكنندگان این سایت جعلی، برای هكر ارسال می‌ شوند و تمام اعمال زیر نظر وی انجام می‌ گیرند. برای آن كه یكی از قربانیان حملات در سایت‌ های وب نباشید و هكر نتواند از طریق وب به شناسایی شبكه شما اقدام كند، سعی كنید كه میزان حساسیت و سطح امنیت مورد نیاز شبكه را مورد بررسی قرار دهید. موارد احتیاط: به طور دوره ای پسورد ایمیل ها،کنترل پنل، ftp و ... خود را تغییر دهید. پسورد ها را حداقل شامل حروف بزرگ، حروف کوچک، اعدا و کاراکتر های خاص نظیر @،# و... انتخاب نمایید. ماژول ها و افزونه های مورد استفاده سایت را (مخصوصا هنگام استفاده از سیستم های مدیریت محتوا نظیر جوملا و وردپرس و...) همواره به آخرین نسخه آپدیت نمایید. کامپیوتر خود را مجهز به آنتی ویروس و آنتی spywareهای آپدیت شده نمایید. به هیچ وجه صفحات مشکوک اینترنتی را باز نکنید. به ایمیل های ناشناس پاسخ ندهید . اطلاعات (رمزها) سایت خود را تنها به افراد قابل اطمینان ارئه نمایید.