+- Parsi Coders (http://parsicoders.com)
+-- انجمن: Other sections (http://parsicoders.com/forumdisplay.php?fid=71)
+--- انجمن: News (http://parsicoders.com/forumdisplay.php?fid=89)
+--- موضوع: SSL ، امضای دیجیتال در وب‌سایت‌ها (/showthread.php?tid=158)
SSL ، امضای دیجیتال در وب‌سایت‌ها - amir - 05-03-2011
بسیار واضح و مبرهن است كه امروزه امنیت اطلاعات یكی از ضروری‌ترین مسائل در زمینه تبادل اطلاعات است. چرا كه با وجود نفوذگران و دشمنانی كه چه عمداً و چه غیر عمد به دنبال دستیابی به اطلاعات و خراب كردن و عوض نمودن آنها هستند، دیگر نمی‌توان تصور نمود كه تمام كانال‌ها امن بوده و تبادل اطلاعات از خطر مصون می‌باشد. لذا استفاده از نرم‌افزارها و پروتكل‌های رمزنگاری در لایه‌های مختلف شبكه باعث ایجاد امنیت و صحت در تبادل اطلاعات می‌گردد. در این زمینه ابزارها و پروتكل‌های مختلفی وجود دارد كه مرورگرهای اینترنت از آنها استفاده می‌كنند.
پروتكل SSL چیست؟
پروتكل (Socket Secure Layer) یا همان SSL ، جهت تامین امنیت و محرمانگی بر روی اینترنت و كد كردن اطلاعات بین كاربر و وب سایت است. اطلاعاتی كه توسط یك اتصال SSL مبادله می‌شوند به صورت كد شده ارسال می‌شوند و بدین ترتیب اطلاعات مبادله شده از دزدیده شدن یا استراق سمع محافظت می‌شوند. SSL برای شركت‌ها و مشتریان این امكان را فراهم می‌كند كه بتوانند با اطمینان اطلاعات خصوصی‌شان را مانند شماره كارت اعتباری، به یك وب سایت بطور محرمانه ارسال كنند. برای برقراری یك اتصال SSL به Web Server Certificateها نیاز می‌باشد.
پیچیدگی‌های یك پروتكل SSL برای كاربران پوشیده است لیكن مرورگر اینترنت آنها در صورت برقراری ارتباط امن، وجود این ارتباط را توسط نمایش یك قفل كوچك در پایین صفحه مرورگر متذكر می‌شود. این امر باعث از بین رفتن تردید برای اعتبار سرویس‌دهنده و اطمینان خاطر بسیار مفید و لازم است.
كاربردهای امضای الكترونیكی
تشخیص هویت واقعی اشخاص از مهم‌ترین نیازهای امنیتی در فضای سایبر و دنیای دیجیتالی است تنها با استفاده از امضای دیجیتالی می‌توان هویت واقعی افراد را در دنیای سایبر تشخیص داد. تامین امنیت E-mailها و وب سایت‌ها و رد و بدل كردن اطلاعات بین كاربر و سرویس‌دهنده از جمله بیشترین موارد كاربرد امضای دیجیتالی است. در دنیا چند مركز معروف صدور امضای دیجیتال وجود دارد كه GeoTrust و VeriSign و Thawte از معروف‌ترین و آنها هستند، البته باید بدانید كه هیچ یك از آنها به سایت و یا سرویس‌دهنده‌ای كه در ایران متمركز شده باشد امضای دیجیتال نمی‌دهند و از این رو باید آنها رو دور زد و مشخصات خارج از ایران به آنها داد و حتی تائیدیه آنها را هم نباید از ایران و یا اینترنت ایران برای آنها ارسال كرد در بسیاری مواقع شخصا با این مشكل مواجه شده‌ام. زمانی كه در شركت ستكام به عنوان نماینده GeoTrust قرار بود برای بانك پارسیان، شركت تجارت الكترونیك پارسیان، پست بانك ایران و چندین شركت دیگر امضا دیجیتال از GeoTrust تهیه شود با این مشكلات روبرو شدم كه البته مشكل به هر شكل مرتفع گردید.
مراحل كار
مركز صدور گواهی دیجیتالی اقدام به صدور گواهی دیجیتالی می‌كند. بدین صورت كه بر اساس اطلاعاتی كه در اختیار دارد كلیدهای اختصاصی را برای متقاضی به وجود می‌آورد و برای او ارسال می‌كند. احراز هویت، امضای دیجیتالی، مخفی‌سازی نامه‌ها (رمزنگاری)، كنترل مجوز نرم‌افزار، هویت‌شناسی كامپیوترها و امنیت كانال‌های ارتباطی از جمله كاربردها و مزایای CA هستند. یك نامه الكترونیكی دارای امضای دیجیتالی علاوه بر اینكه هویت ارسال‌‌كننده را نشان می‌دهد نشان‌دهنده این موضوع نیز هست كه محتوای پیام از زمان ارسال تا زمانی كه به دست گیرنده برسد، تغییر نكرده است زیرا در صورت بروز هرگونه تغییر در محتوای نامه، امضای دیجیتالی آن از درجه اعتبار ساقط می‌شود. رمزنگاری اطلاعات را به صورت رمز در می‌آورد و این امكان را فراهم می‌كند كه نامه فرستاده شده توسط فرد دیگری گشوده نشود و امضای دیجیتالی نشان می‌دهد كه حتما نامه دریافت شده توسط فرد مورد نظر ارسال شده است.
كنترل مجوز نرم‌افزار یكی دیگر از كاربردهای گواهی دیجیتالی است. كاربرد رمزنگاری در هویت‌شناسی كامپیوترها نیز زمانی رخ می‌دهد كه یك سرویس‌دهنده به یك سرویس‌گیرنده وصل شود، در این صورت اطلاعات را به صورتی میان خود تبادل می‌كنند كه همدیگر را بشناسند. به طور خلاصه امضای دیجیتال محرمانه‌گی، تصدیق هویت، امانت داری و كنترل دسترسی را مهیا می‌كند كه در انواع مخصوصی صادر می‌گردد اعم از امضای دیجیتال شخصی، امضای دیجیتال سازمانی، امضای دیجیتال سرور و امضای دیجیتال تولید‌كنندگان نرم‌افزار صادر می‌شود و باید به صورت سالیانه تمدید شود باید این مسئله را بدانید كه هیچ شركتی و یا هیچ امضای دیجیتالی بیشتر از 3 تا 5 سال صادر نمی‌شود در صورت نیاز سه ماه قبل از تاریخ انقضا می‌توانید اقدام به تمدید آن كرد.
پروتكل (Socket Secure Layer) یا همان SSL ، جهت تامین امنیت و محرمانگی بر روی اینترنت و كد كردن اطلاعات بین كاربر و وب سایت است. اطلاعاتی كه توسط یك اتصال SSL مبادله می‌شوند به صورت كد شده ارسال می‌شوند و بدین ترتیب اطلاعات مبادله شده از دزدیده شدن یا استراق سمع محافظت می‌شوند. SSL برای شركت‌ها و مشتریان این امكان را فراهم می‌كند كه بتوانند با اطمینان اطلاعات خصوصی‌شان را مانند شماره كارت اعتباری، به یك وب سایت بطور محرمانه ارسال كنند. برای برقراری یك اتصال SSL به Web Server Certificateها نیاز می‌باشد.
پیچیدگی‌های یك پروتكل SSL برای كاربران پوشیده است لیكن مرورگر اینترنت آنها در صورت برقراری ارتباط امن، وجود این ارتباط را توسط نمایش یك قفل كوچك در پایین صفحه مرورگر متذكر می‌شود. این امر باعث از بین رفتن تردید برای اعتبار سرویس‌دهنده و اطمینان خاطر بسیار مفید و لازم است.
كاربردهای امضای الكترونیكی
تشخیص هویت واقعی اشخاص از مهم‌ترین نیازهای امنیتی در فضای سایبر و دنیای دیجیتالی است تنها با استفاده از امضای دیجیتالی می‌توان هویت واقعی افراد را در دنیای سایبر تشخیص داد. تامین امنیت E-mailها و وب سایت‌ها و رد و بدل كردن اطلاعات بین كاربر و سرویس‌دهنده از جمله بیشترین موارد كاربرد امضای دیجیتالی است. در دنیا چند مركز معروف صدور امضای دیجیتال وجود دارد كه GeoTrust و VeriSign و Thawte از معروف‌ترین و آنها هستند، البته باید بدانید كه هیچ یك از آنها به سایت و یا سرویس‌دهنده‌ای كه در ایران متمركز شده باشد امضای دیجیتال نمی‌دهند و از این رو باید آنها رو دور زد و مشخصات خارج از ایران به آنها داد و حتی تائیدیه آنها را هم نباید از ایران و یا اینترنت ایران برای آنها ارسال كرد در بسیاری مواقع شخصا با این مشكل مواجه شده‌ام. زمانی كه در شركت ستكام به عنوان نماینده GeoTrust قرار بود برای بانك پارسیان، شركت تجارت الكترونیك پارسیان، پست بانك ایران و چندین شركت دیگر امضا دیجیتال از GeoTrust تهیه شود با این مشكلات روبرو شدم كه البته مشكل به هر شكل مرتفع گردید.
مراحل كار
مركز صدور گواهی دیجیتالی اقدام به صدور گواهی دیجیتالی می‌كند. بدین صورت كه بر اساس اطلاعاتی كه در اختیار دارد كلیدهای اختصاصی را برای متقاضی به وجود می‌آورد و برای او ارسال می‌كند. احراز هویت، امضای دیجیتالی، مخفی‌سازی نامه‌ها (رمزنگاری)، كنترل مجوز نرم‌افزار، هویت‌شناسی كامپیوترها و امنیت كانال‌های ارتباطی از جمله كاربردها و مزایای CA هستند. یك نامه الكترونیكی دارای امضای دیجیتالی علاوه بر اینكه هویت ارسال‌‌كننده را نشان می‌دهد نشان‌دهنده این موضوع نیز هست كه محتوای پیام از زمان ارسال تا زمانی كه به دست گیرنده برسد، تغییر نكرده است زیرا در صورت بروز هرگونه تغییر در محتوای نامه، امضای دیجیتالی آن از درجه اعتبار ساقط می‌شود. رمزنگاری اطلاعات را به صورت رمز در می‌آورد و این امكان را فراهم می‌كند كه نامه فرستاده شده توسط فرد دیگری گشوده نشود و امضای دیجیتالی نشان می‌دهد كه حتما نامه دریافت شده توسط فرد مورد نظر ارسال شده است.
كنترل مجوز نرم‌افزار یكی دیگر از كاربردهای گواهی دیجیتالی است. كاربرد رمزنگاری در هویت‌شناسی كامپیوترها نیز زمانی رخ می‌دهد كه یك سرویس‌دهنده به یك سرویس‌گیرنده وصل شود، در این صورت اطلاعات را به صورتی میان خود تبادل می‌كنند كه همدیگر را بشناسند. به طور خلاصه امضای دیجیتال محرمانه‌گی، تصدیق هویت، امانت داری و كنترل دسترسی را مهیا می‌كند كه در انواع مخصوصی صادر می‌گردد اعم از امضای دیجیتال شخصی، امضای دیجیتال سازمانی، امضای دیجیتال سرور و امضای دیجیتال تولید‌كنندگان نرم‌افزار صادر می‌شود و باید به صورت سالیانه تمدید شود باید این مسئله را بدانید كه هیچ شركتی و یا هیچ امضای دیجیتالی بیشتر از 3 تا 5 سال صادر نمی‌شود در صورت نیاز سه ماه قبل از تاریخ انقضا می‌توانید اقدام به تمدید آن كرد.