• Share
  • Email
  • Embed
  • Like
  • Save
  • Private Content
Aliakbarhassanpour securityproject
 

Aliakbarhassanpour securityproject

on

  • 1,613 views

پروژه درس امنیت دکتر سخاوتی

پروژه درس امنیت دکتر سخاوتی

Statistics

Views

Total Views
1,613
Views on SlideShare
1,613
Embed Views
0

Actions

Likes
0
Downloads
17
Comments
0

0 Embeds 0

No embeds

Accessibility

Upload Details

Uploaded via as Microsoft PowerPoint

Usage Rights

© All Rights Reserved

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Processing…
Post Comment
Edit your comment
  • authN is based on digital certificates, which are based on public key crypto

Aliakbarhassanpour securityproject Aliakbarhassanpour securityproject Presentation Transcript

  •  
  • نام استاد : دکتر سخاوتی نام دانشجو : علی اکبر حسن پور www.aliak.orq.ir www.aliak.persiangig.com [email_address] موضوع پروژه : راهكارها ی ي براي حراست و حف ا ظ ت اطلاعات تجارت الکترونیک
    • تجارت سنتي
    • تجارت الکترونيک
    انواع تجارت :
  • تجارت سنتي درروش سنتي ؛ مكتوب بودن، اصل بودن و ممهور بودن يك سند دليل وجود اعتبارآن است . طرفين به طور حضوري با هم مذاکره واسناد را امضا مي کنند .
  • تجارت الکترونيک
    • اما در تجارت الکترونيک امکان برگزاري جلسات حضوري وجود ندارد . طرفين نمي توانند با روشهاي سنتي از صحت ادعاها و اسناد اطمينان حاصل کنند .
    • پس بايد به دنبال راهي بود تا در فضاي س ايبر ( مجازي ) نيز بتوان به مبادلة اطلاعات اتكا نمود . براي اين منظور بايد به امنيت ارسال و دريافت اطلاعات به عنوان يك فاكتور اساسي توجه کر د .
    • مفهومي كه از امنيت تبادل داده ‌ هاي الكترونيكي به ذهن م ی رسد، بايد شامل فرآيندي باشد كه همة عناصر اصلي تشكيل دهنده مبادله را كامل و مطمئن محافظت نمايد .
  • جلوگيری ازحملات امنيتي (Security Attacks) تامين سرويسهاي امنيتي (Security Services) استفاده ازسازوکارهاي امنيتي (Security Mechanism) لازمه تجارت امن
  • انواع حملات امنيتي (Security Attacks) قطع Interruption دسترسي غيرمجاز Interception دستكاري داده ‌ ها Modification ايجاد پيغام Fabrication
  • ارسال اطلاعات به شکل امن سيستم مقصد سيستم مبدأ
  • سيستم مبدأ سيستم مقصد قطع Interruption
  • سيستم مبدأ سيستم مقصد سيستم ثالث دسترسي غير مجاز Interception
  • سيستم مبدأ سيستم مقصد سيستم ثالث دستكاري داده‌ها Modification
  • ايجاد پيغام Fabrication سيستم مبدأ سيستم ثالث سيستم مقصد
  • سرويس هاي امنيتي (Security Services) تصديق صحت (Authentication) تماميت (Integrity) انكار ناپذيري (Non-Repudiation) محرمانگي (Confidentiality)
  • سازوکارهای امنيت ي (Security Mechanism) رمزنگاري encryption تائيدهويت authentication مميزي auditing اجازه authorization
  • پيغام امن
    • پيغامي را امن گويند اگر و فقط اگر مشخصات زير را داشته باشد :
    • هويت‏شناسي :(Authentication)
    • ‌ گيرنده يك پيغام هويت يكتاي فرستنده را شناسايي كند
    • محرمانگي :(Privacy)
    • پيغام داده‏اي تنها توسط فرستنده و گيرنده قابل مشاهده باشد
    • جامعيت :‌ (Integrity)
    • پيغام داده‏اي را تنها فرستنده مي‏تواند بدون اين كه تشخيص داده شود تغيير دهد
  • برقراري امنيت در تجارت الکترونيک
    • محرمانگي P rivacy
    • تائيدهويت A uthentication
    • تماميت I ntegrity
    • انکارناپذيري N one Repudiation
    P.A.I.N .
  • ابزارهاي ايجاد امنيت در تجارت الكترونيكي سياستهاي امنيتی محرمانگي، تائيد هويت، تماميت، انكارناپذيري، در دسترس بودن تجارت امن تکنولوژي مديريتي
  • راه كارها ی حراست و حف ا ظ ت اطلاعات : الف ) ديواره آتش (Fire Wall ) ب ) رمزنگاري (Encryption‌)
  • ديواره آتش :(fire wall)
    • دیواره آتش سیستمی است که در بین کاربران یک شبکه محلی و شبکه بیرونی مثل اینترنت قرار می گیرد و ضمن نظارت بر دسترسی ها در تمام سطوح ورود و خروج اطلاعات را تحت نظر دارد .
    Internal network firewall External network
  • معايب ديواره آتش :
    • ترافيك
    • تأخير
    • ازدحام
    • بن بست
     واسط محاوره ای  سیستم ثبت  سیستم هشدار دهنده اجزای جانبی دیواره آتش :
  • رمزنگاري
    • رمزنگاري علمي است كه با استفاده از رياضيات داده‌ها را به صورت رمز درآورده و مجددا ً مي‌تواند به حالت عادي برگرداند . اين علم امکان ذخيره سازي اطلاعات وهمچنين انتقال اطلاعات بر بستري ناامن را محقق مي‌سازد . عمل رمزنگاري با استفاده از الگوريتمهاي رياضي صورت مي‌پذيرد .
    • در يك سيستم يك پيغام با استفاده از يك كليد رمز مي شود . پس از آن پيغام رمز شده به گيرنده منتقل مي شود و در آن جا با استفاده از يك كليد باز مي شود تا پيغام اصلي بدست آيد
  • تعريف رمزنگاري Cryptography
    • Kryptos به معناي پنهان
    • Graphein به معناي نوشتن
    • رمزنگاري : هنر و علم ارتباطات به منظور تغيير پيام به شکلي که براي گيرنده مجاز قابل درک باشد و براي افراد غيرمجاز هيچ گونه اطلاعاتي در بر نداشته باشد .
    • رمزشکني = تحليل رمز ( Cryptanalysis )
    • رمزشناسي = رمزنگاري + رمزشکني ( Cryptology )
  • تاريخچه رمزنگاري
    • سابقه رمز نمودن اطلاعات به دوران امپراطوري روم بر مي ‌ گردد، زماني كه ژوليوس سزار پيغامي را براي فرماندهان خود مي ‌ فرستاد چون به پيغام رسان اعتماد نداشت و از اين كه در راه اين پيغام به دست دشمن بيافتد هراسان بود ، پيغام را به نحو زير تغيير مي ‌ داد . تمام حروف A را در متن با حرف D جايگزين مي ‌ كرد و تمام حروف B را در متن به حرف E ج ا يگزين مي ‌ نمود و بدين ترتيب براي بقيه حروف نيز عمل مي ‌ كرد . در حقيقت تمام حروف را با سومين حرف بعد از آن جايگزين مي ‌ كرد .
    • در نتيجه اگر اين متن تغيير يافته به دست كسي مي ‌ افتاد كه اين الگوريتم تغيير را نمي ‌ دانست نمي ‌ توانست اين متن را رمز ‌ گشايي نموده و از محتويات آن چيزي بفهمد .
    • به اين الگوريتم Caesar Cipher مي‌گويند .
  • Caesar Cipher
    • A B C D E F G H I J K L M N O P Q R S T U V W X Y Z
    • D E F G H I J K L M N O P Q R S T U V W X Y Z A B C
    • This is a test
    • Wklv lv d whvw
  • الگوريتمهاي رمزنگاري الگوريتمهاي متقارن (Symmetric) الگوريتمهاي نامتقارن (Asymmetric) توابع درهم ‌ سازي (Hash)
  • الگوريتمهاي متقارن
    • در رمز نگاري كليد پنهاني كه به عنوان رمز نگاري متقارن شناخته مي شود، از يك كليد براي رمز گذاري و رمزگشايي پيغام استفاده مي شود . بنابراين فرستنده و گيرنده پيغام بايد يك راز مشترك داشته باش ن د كه آن كليد است .
    • يك الگوريتم مشهور رمزنگاري ” استاندارد رمزگذاري داده “ يا DES (Data Encryption Standard) مي باشد كه در مؤسسات مالي براي رمز كردن شماره هويت فردي يا PIN (Personal Identity Number) ‌ استفاده مي شود .
  • کاربرد رمزنگاری متقارن
    • براي رمزگذاري حجم زيادي از اطلاعات استفاده مي ‌ شود .
    • هنگامي كه همراه با گواهي ديجيتال استفاده گردد؛ باعث حفظ محرمانگي اطلاعات است .
    • زمانی كه با امضاء الكترونيكي استفاده گردد؛ تماميت پيغام را تضمين مي ‌ نمايد .
  • الگوریتم های متقارن رمزنگاری رمزگشايی پیام اولیه پیام رمزشده
  • الگوریتم متقارن آليس باب Hi 3$r Hi Hi 3$r Hi 3$r 3$r آليس باب
  • مديريت كليد كليد ‌ هاي متقارن بايد از طريق يك كانال ايمن توزيع شوند و بايد به صورت ادواري تغيير كنند . مثال : n*(n-1)/2 تعداد افراد در ارتباط تعداد كليد هاي مورد نياز 4 6 6 15 12 66 1000 49950
  • تحليل الگوريتمهاي متقارن
    • مزايا
      • سرعت بالا هنگام رمزگذاري
      • توليد كليد بطور تصادفي و سريع
    • معايب
      • تعدد كليدها براي اعضاي هر ارتباط
      • توزيع كليد بين طرفين ارتباط
    • موارد استفاده
      • رمزگذاري حجم زيادي از اطلاعات هنگام ذخيره روي رسانه ناامن
      • رمزنگاري داده ‌ ها هنگام انتقال توسط رسانه ناامن
  • الگوريتمهاي نامتقارن
    • اين روش از دو كليد استفاده مي‏كند :
    • يك كليد براي رمزنگاري و ديگري براي رمز گشايي .
    • دو كليد از نظر رياضي با هم ارتباط دارند به گونه اي كه داده رمزنگاري شده با هريك قابل رمزگشايي با ديگري مي باشد .
    • هر كاربر دو كليد دارد : كليد عمومي و كليد خصوصي .
  • الگوريتم هاي نا متقارن Asymmetric Algorithms کلید 1 پيام اولیه پيام رمزشده رمزنگاری رمزگشایی کلید 2
  • رمزگشايی پيام اوليه پيام رمزشده رمزنگاری
  • الگوریتم های نامتقارن کليدهای باب کليدهای آليس Hello 3$r Hello Hello cy7 Hello 3$r cy7 آليس باب آليس باب كليد 1 كليد 2 كليد 4 كليد 3
  • الگوريتمهاي نامتقارن
  • تحليل الگوريتمهاي نامتقارن
    • مزايا
      • عدم نياز به توزيع و ارسال كليد
    • معايب
      • سرعت پائين در حجم اطلاعات بالا
      • پيچيدگي توليد كليد
    • موارد استفاده
      • در تكنولوژي امضاي ديجيتال
    • براي رمز كردن داده براي هر طرف شركت كننده فقط به كليد عمومي آن شركت كننده نياز است در نتيجه تنها تأييد كليد عمومي شركت كننده ها لازم است .
    • مهم ترين ويژگي هاي تكنيك نامتقارن غير قابل انكار بودن، امضاي ديجيتالي وتأييد منبع داده اي صحيح مي باشد .
    تحليل الگوريتمهاي نامتقارن - ادامه
    • در رمزنگاري نامتقارن بازرگان يك جفت كليد عمومي و خصوصي ايجاد مي كند و كليد عمومي را منتشر مي كند تا مصرف كنندگان از طريق آن كليد، پيغامهايشان را رمز ك رده براي او بفرستند .
    • در نهايت بازرگان به عنوان تنها دارنده كليد خصوصي، تنها كسي است كه می تواند پيغامهاي رمز شده با آن كليد عمومي را باز كند .
    تحليل الگوريتمهاي نامتقارن - ادامه
  • توابع درهم سازي
    • الگوريتمهاي درهم سازي يا Hash بر خلاف دو الگوريتم ذكر شده از كليد استفاده نمي‌كنند و عمل رمزنگاري به صورت يكطرفه بر روي اطلاعات انجام مي ‌ دهند . عملكرد اين توابع بر روي داده ‌ ها بدين شكل است كه با اعمال يك تابع Hash بر روي يك متن، يك چكيده يا دايجست از متن بدست مي ‌ آيد .
  • كاركرد توابع درهم سازي ورودي خروجي Digest
    • Hash   فرآيندی است که بصورت رياضی حجم يک جريان از داده را به يک طول ثابت کاهش می ده د . ( معمولا 128 و يا 160 بيت ) 
    • عملکرد hash مشابه اثرانگشت يک شخص می باشد .
    • اثرانگشت، پارامتری منحصربفرد به منظور تشخيص هويت افراد بوده و در ادامه با استفاده از آن امکان دستيابی به ساير مشخصات افراد نظير : رنگ چشم، قد، جنسيت و ساير موارد دلخواه، فراهم می گردد .
    توابع درهم سازي
  • كاركرد توابع درهم سازي ورودي خروجي
      • امکان استنتاج ورودی از طريق خروجی وجود ندارد .
      • نمی توان دو ورودی را پيدا کرد که به ازای آنان خروجی يکسانی توليد گردد . درواقع احتمال توليد مقادير Hash يکسان برای دو مجموعه متفاوت از داده ها کمتر از 0.001   درصد است .
    ويژگی های توابع درهم سازی
  • تحليل توابع درهم سازي
    • مزايا
      • عدم نياز به توليد و ارسال كليد
      • سرعت بسيار بالا
    • موارد استفاده
      • تضمين تماميت پيغام
  • امضاء ديجيتال
  • تعريف
    • امضا ديجيتال
      • همان قفل کردن اطلاعات می باشد .
      • قابل جعل و تغيير نمی باشد .
      • براساس رمزنگاري مي ‌ باشد .
    • امضا دستي
      • تقريباً هميشه همانند به نظر مي ‌ آيد .
      • مي ‌ تواند جعل شود .
  • Message Hash Function Message Digest الگوريتم hash Message Digital Signature Digital Signature کليد خصوصی فرستنده دايجست رمزشده 160 bit Value نحوه امضاء يك پيغام ديجيتال
  • اعتبارسنجي امضاء ديجيتال باب آليس کليد خصوصی باب کليد عمومی باب
  • كاركرد امضاء ديجيتال
    • فرستنده از پيغام يك دايجست ايجاد مي ‌ كند .
    • آنرا با كليد خصوصي خود رمز مي ‌ كند .
    • به همراه پيغام ارسال مي ‌ دارد .
    • گيرنده از متن پيغام دريافت شده يك دايجست ايجاد مي ‌ كند .
    • گيرنده از كليد عمومي فرستنده استفاده مي ‌ كند .
    • دايجست رمز شده را از حالت رمز خارج مي ‌ سازد .
    • گيرنده دو دايجست را با هم مقايسه مي ‌ كند .
    • اگر همسان بودند، تماميت داده و هويت فرستنده مورد تائيد قرار مي ‌ گيرد .
  • اجزاء اصلی الگوی جامع شناسايی امضای ديجيتال
    • ارائه مجوز به مرکز گواهی هويت .
    • صدور، تعليق و لغو گواهی صادر شده به وسيله مرکز .
    • وظايف، ضمانت ها و تعهدات مراجع دارای مجوز، مشترکين، طرف های سوم و محل نگهداری کليد .
    • قواعد مخصوص شناسايی و اعتبار امضای ديجيتال .
  • امضاي الكترونيكي زماني معتبر است كه :
    • اختصاص به شخص استفاده كننده داشته باشد .
    • قابليت تطبيق ‌ دهي داشته باشد .
    • تحت كنترل انحصاري شخص استفاده كننده باشد .
    • طوري به داده متصل شود كه اگر داده تغييركرد امضا بي اعتبار شود .
  • خدمات ارائه شده توسط امضاء ديجيتال
    • تائيد هويت A uthentication
      • گيرنده مي ‌ تواند مطمئن باشد كه فرستنده كيست .
    • تماميت I ntegrity
      • گيرنده مي ‌ تواند مطمئن باشد كه اطلاعات حين انتقال تغيير پيدا نكرده است .
    • انكارناپذيري N one Repudiation
      • فرستنده نمي تواند امضا داده را انكار نمايد .
  • امضاء الكترونيكي و محرمانگي بسته پيغام آليس باب كليد خصوصي آليس كليد عمومي باب كليد خصوصي باب  كليد تصادفي كليد تصادفي اعتبارسنجي امضاي ديجيتال
  • ارسال يك متن براي چند نفر آليس بسته پيغام كليد عمومي باب كليد عمومي بيل كليد عمومي تام كليد خصوصي باب كليد خصوصي بيل كليد خصوصي تام
  • گواهينامه ديجيتال چيست؟
    • سازوکاری برای توز ي ع کل ي دهای عمومی .
    • حاوی اطلاعات مربوط به هو ي ت و کليد عمومی صاحب آن .
  • كليد عمومي و صاحب آن
  • حمله امنيتي كليد عمومي تام كليد عمومي باب كليد عمومي واقعی باب
  • مروري بر گواهي ديجيتال
    • گواهي ديجيتال، يك كليد عمومي را به مجموعه ‌ اي از اطلاعات شناسايي يك موجوديت پيوند مي ‌ دهد . اين كليد عمومي با يك كليد خصوصي مرتبط مي ‌ باشد . طرف متكي به صحت كليد عمومي موجود در گواهي اعتماد مي ‌ كند . ميزان اعتماد طرف متكي به يك گواهي به عوامل متفاوتي بستگي دارد . اين عوامل شامل روال ‌ تاييد هويت درخواست ‌ كننده گواهي، روال ‌ هاي اجرايي مركز صدور گواهي، كنترل ‌ هاي امنيتي، تعهدات صاحب امضا ( مانند حفاظت از كليد خصوصي ) و تعهدات مركز صدور گواهي ( مانند ضمانت ‌ ها و رفع مسئوليت ‌ ها ) مي ‌ باشد .
  • پایان