Download to read offline
E-Ticaret Güvenliği - 2013
- 1. EE--TTİİCCAARREETT GGÜÜVVEENNLLİİĞĞİİ HHaakkaannTTOOPPUUZZOOĞĞLLUU
- 2. GGÜÜVVEENNLLİİKK • GGiizzlliilliikk((CCoonnffiiddeennttiiaalliittyy)) • BBüüttüünnllüükk ((IInntteeggrriittyy)) • YYeettkkii KKiimmlliikk KKaannııttllaammaa ((AAuutthheennttiiccaattiioonn)) • İİnnkkaarr eeddeemmeemmee ((NNoonn-- RReeppuuddaattiioonn))
- 3. SSiimmeettrriikk ((GGeelleenneekksseell)) ŞŞiiffrreelleemmee ŞİFRELEME A OOrriijjiinnaall mmeettiinn ŞŞİİFFRREELLİİ MMEETTİİNN OOrriijjiinnaall MMeettiinn DEŞİFRELEME B OOrriijjiinnaall MMeettiinn DEŞİFRELEME ŞİFRELEME A ŞŞİİFFRREELLİİ MMEETTİİNN OOrriijjiinnaall MMeettiinn B
- 4. AAssiimmeettrriikk ((GGeenneell AAnnaahhttaarr)) ŞŞiiffrreelleemmee ŞİFRELEME A OOrriijjiinnaall mmeettiinn ŞŞİİFFRREELLİİ MMEETTİİNN OOrriijjiinnaall MMeettiinn DEŞİFRELEME B B’nin Genel (Public) Anahtarı B’nin Özel (Private) Anahtarı
- 5. OOttuurruumm AAnnaahhttaarrıı ((OOnnee--ttiimmeekkeeyy)) iillee ŞŞiiffrreelleemmee B’nin Genel (Public) Oturum Anahtarı ŞİFRELEME A OOrriijjiinnaall mmeettiinn ŞİFRELEME A ŞŞİİFFRREELLİİ MMEETTİİNN Anahtarı ŞŞİİFFRREELLİİ OOttuurruumm AAnnaahhttaarrıı jdhjfdhhj Şifreli Metin
- 6. OOttuurruumm AAnnaahhttaarrıı iilleeÇÇöözzmmee B’ninÖzel Anahtarı Jdhjfdhhj,xfdh Jdhjfdhhj,xfdh Şifreli Metin Oturum Anahtarı Şifreli Metin Orijinal Metin
- 7. SSaayyııssaall İİmmzzaallaammaa Hash Fonksiyonu Mesaj İmzalayanın Özel Anahtarı Sayısal İmza akmsnjcxn cvddfjXkdf jkdjdkfjkda Mesaj LSKA Özütü
- 8. SSaayyııssaall İİmmzzaa KKoonnttrroollüü Hash Fonksiyonıu İmzalanmış Mesaj Özüt İmzalayanın Genel Anahtarı Şifrelenen Özüt Çözülen Özüt akmsnjcxnc vddfjXkdfjk djdkfjkdaLS KA Özütler eşitse imza doğrudur
- 9. SSeerrttiiffiikkaallaarr,, SSeerrttiiffiikkaa OOttoorriitteelleerrii((SSOO)) - Genel anahtar - Sertifika bilgisi ( “kimlik”, isim, kullanıcı ID vb.) - Bir veya daha fazla sayısal imza. * Güvenilir üçüncü kişi konumundadırlar. * Kişinin kimliği ile açık anahtarı arasındaki ilşkiyi doğrularlar.
- 10. SSeerrttiiffiikkaallaarr Sertifika Otoritesi Doğrulayıcı Oğuzhan Taşi Oğuzhan Taşi Oğuzh an Taş Sertifikalanan varlık
- 11. SSeerrttiiffiikkaassyyoonn İİşşlleemmii •SSaayyııssaall sseerrttiiffiikkaa iiççiinn SSOO ((CCAA))’’yyaa mmüürraaccaaaatt.. • SSOO’’nnuunn kkiişşiinniinn kkiimmlliiğğiinnii vvee ddaağğııttııllaann ssaayyııssaall sseerrttiiffiikkaayyıı ddooğğrruullaammaassıı.. • SSOO’’nnuunn sseerrttiiffiikkaayyıı oonn--lliinnee kkaattaallooggllaarrddaa yyaayyıınnllaammaassıı.. • GGöönnddeerriiccii öözzeell aannaahhttaarrllaa iimmzzaallaarr vvee 22.. KKuurruummaa ggöönnddeerrmmeessii.. • AAllııccıı kkuurruumm ggeenneell aannaahhttaarrllaa ddooğğrruullaammaassıı.. SSOO ddeeppoossuunnddaann ssaayyııssaall sseerrttiiffiikkaa ssoorrgguullaammaayyıı iisstteemmeessii.. • DDeeppooddaann ggöönnddeerreenn sseerrttiiffiikkaassıı hhaakkkkıınnddaa rraappoorr ggeellmmeessii..
- 12. SSeerrttiiffiikkaassyyoonn İİşşlleemmii SO(Sertifika Otoritesi) DEPO 3 1 2 5 Gönderen (SO’ya kayıtlı) Alıcı Kurum 6 4
- 13. SSeerrttiiffiikkaassyyoonn İİşşlleemmii GGeenneellAAnnaahhttaarr && GGüüvveenn BBeellggeessii Oğuz Sertifika Otoritesi SO Oğuz Oğuz’un güven Belgesi + Hash fonksiyon u Oğuz Oğuzhan SO kullanıcı güven belgesi, genel anahtar ve diğer özellikleri imzalar Oğuz İmza SO SO Güvenli Dağıtım
- 14. PPGGPP SSeerrttiiffiikkaa FFoorrmmaattıı * PGP versiyon numarası * Sertifika sahibinin genel anahtarı. (RSA,DSA,DH algoritm.) * Sertifika sahibinin bilgileri. (kimlik bilgileri;adı, user ID, fotovb.) * Sertifika sahibinin sayısal imzası. * Sertifikanın geçerlilik süresi. * Anahtar için önerilen simetrik şifreleme algoritması. CAST, IDEA veya Tripple DES.
- 15. XX..550099 SSeerrttiiffiikkaa FFoorrmmaattıı · X.509 versiyon numarası. · Sertifika sahibinin genel anahtarı. · Sertifika Seri Numarası. · Sertifika sahibinin benzersiz kimliği. (veya DN). Bir DN birçok alt koldan oluşur; CN (Genel isim) =Oğuzhan Taş veya Bob Allen gibi. -OU (Organizasyonel Birim)Total Network Security Division gibi. -O (organizasyon) = Network Associates Inc. -C (ülke) = US veya TR gibi. · Sertifika Geçerlilik Periyodu. · Sertifika sağlayıcısının benzersiz adı · Sağlayıcının sayısal imzası. · Algoritma tanımlamayıcı imzası.
- 16. AAççııkk AAnnaahhttaarr AAllttyyaappııssıı((AAAAAA)) ((PPuubblliicc KKeeyy IInnffrraassttrruuccttuurree--PPKKII)) • AAççııkk AAnnaahhttaarr aaccaabbaa ssaahhiibbiinnee aaiitt mmii?? • BBüüyyüükk ggrruuppllaarraa ggeenneell aannaahhttaarr nnaassııll ddaağğııttııllaaccaakk?? • SSOO’’llaarr aarraassıınnddaa iilleettiişşiimm nnaassııll ssaağğllaannaaccaakk?? • GGüüvveennllii ttrraannssffeerr nnaassııll oollaaccaakk..?? • EE--mmaaiill,, ddoossyyaa ttrraannssffeerrii,, uuzzaakkttaann eerriişşiimm vvbb.. iiççiinn..
- 17. XX550099 SSeerrttiiffiikkaa YYaappııssıı ((HHiiyyeerraarrşşiikk YYaappıı)) Kök SO Diğer SO’lar Alt seviye SO’lar Son Kullanıcı Örnek: PEM (Privacy Enhanced Mail) (Güvenli ve doğru e-mail transferi)
- 18. XX..550099 • SSoonnkkuullllaannııccıı-- SSOO aayyrrıımmıı vvaarrddıırr.. • 33--7 ssaaffhhaallıı üüçç aağğaaçç hhiiyyeerraarrşşiissii vvaarrddıırr.. • ÇÇaapprraazz sseerrttiiffiikkaallaarr aarraaccııllıığğıı iillee sseeççiimmsseell SSOO aağğllaarrıı bbiiççiimmlleenneebbiilliirr.. ((PPEEMM’’ee uuyygguullaannaammaazz)) PKIX = Public Key Infrastructure for X.509, S-MIME (Security Multipurpose Mail Extensions PKIX) altyapısındadır.
- 19. KKaaoottiikk YYaappıı Örnek: PGP (Pretty Good Privacy)
- 20. ÇÇaapprraazz SSeerrttiiffiikkaallaarr SO’lar Son Kullanıcılar
- 21. ÇÇaapprraazz SSeerrttiiffiikkaallaarr SO’lar Son Kullanıcılar Çapraz Sertifikalar NOT: Son kullanıcı için en kısa yolun bulunmasını sağlar.
- 22. HHiibbrriidd AAAAAA Örnek: ICE-TEL
- 23.
- 24. SSeerrttiiffiikkaa YYoolluu ((22)) - Doğrulayıcı ilk SO’nun genel anahtarını bilmek zorundadır. - Diğer genel anahtarlar birer birer doğulanır. - Yoldaki tüm SO’lar doğrulayıcıya güvenmek zorundadır.
- 25. AAAAAA((PPKKII)) UUyygguullaammaa AAllaannllaarrıı • MMüüşştteerriilleerriinn,, iişşvveerreennlleerriinn,, ççaallıışşaannllaarrıınn ee--ppoossttaa aallıışş-- vveerriişşlleerriinnddee.. • UUzzaakk ddaağğııttııkk vveerriittaabbaannllaarrıı vvee iinnttrraanneettlleerree eerriişşiimmddee.. • EElleekkttrroonniikk ffoorrmmllaarrddaa,, öörrnneeğğiinn ssiippaarriişş ffaattuurraallaarrıınnddaa.. • EElleekkttrroonniikk ttiiccaarreettiinn iiççeerrddiiğğii eelleekkttrroonniikk vveerrii aallıışş--vveerriişşii vvee ffiinnaannssaall iişşlleemmlleerrddee.. • MMaassaaüüssttüünnddeekkii ddoossyyaa vvee ddiizziinnlleerriinn kkoorruunnuupp,, ggüüvveennlliiğğiinniinn ssaağğllaannmmaassıınnddaa.. • EElleekkttrroonniikk ççeekklleerrddee.. • SSaayyııssaall eevvrraakkllaarr,, kkiirraa kkoonnttrraattllaarrıı,, bboorrçç sseenneettlleerrii vvss.. • EElleekkttrroonniikk zzaammaann kkaarrttllaarrıınnddaa.. • VVeerrggii ffoorrmmllaarrıınnddaa,, • İİşş ttaabbaannllıı oottoommaassyyoonnllaarrddaa,, ((iimmzzaa ggeerreekkeenn
- 26. SSeerrttiiffiikkaa DDiizziinn SSeerrvviisslleerrii--XX..550000 • XX..550000 -- DDaağğııttııkk ddiizziinn sseerrvviissii.. -- NNeessnnee SSıınnııffllaarrıı,,üüllkkee,,oorrggaanniizzaassyyoonn,,oorrgg..bbiirriimm vvee kkiişşii.. -- AAğğıınn kkeennddii kkeennddiinnee ddüüzzeennlleenneebbiilliirr oollmmaassıınnıı ssaağğllaarr.. -- GGüüvveennlliikk,, öözzddeeşşlliikk,, ggiizzlliilliikk ggeerrççeekklleeşşmmeessii.. --XX..550099,, XX550000 ddiizziinn sseerrvviissiinniinn bbiirr ppaarrççaassııddıırr.. -- XX..550099 SSeerrttiiffiikkaa İİppttaall LLiisstteessii ((CCRRLL)) iiççiinn bbiirr ssiinnttaakkss ttaannıımmllaarr..
- 27. DDiizziinn SSeerrvviisslleerrii LLDDAAPP • LLDDAAPP ((LLiigghhttwweeiigghhtt DDiirreeccttoorryy AAcccceessss PPrroottooccooll)) -- İİllkk bbaaşşllaarrddaa PPCC ((iisstteemmccii))’’lleerriinn XX..550000 ddiizziinn sseerrvviissiinnee eerriişşiimmii iiççiinn...... -- DDiizziinn bbiillggiilleerriinnii yyöönneettmmeekk vvee ddüüzzeennlleemmeekk iiççiinn bbiirr iisstteemmccii ssuunnuuccuu pprroottookkoollüü bbeelliirrttiirr.. -- XX..550099 ggüüvveennlliiğğii.. -- DDüüşşüükk mmaalliiyyeettlliiddiirr..
- 28. İİççiiççee SSeerrttiiffiikkaallaarr ((NNeesstteeddCCeerrttiiffiiccaatteess)) • AAlltt sseerrttiiffiikkaallaarr üüzzeerriinnddeenn iimmzzaa bbüüttüünnllüükk vvee ddooğğrruulluuğğuunnuunn ggaarraannttii eeddiillmmeessiinnddee kkuullllaannııllıırr.. • KKllaassiikk sseerrttiiffiikkaallaarr aaççııkk aannaahhttaarrıı,, iiççiiççee sseerrttiiffiikkaallaarr aalltt sseerrttiiffiikkaayyıı ddooğğrruullaarrllaarr.. • AAlltt sseerrttiiffiikkaallaarr kkllaassiikk vveeyyaa iiççiiççee oollaabbiilliirr.. • İİççiiççee SSeerrttiiffiikkaa OOttoorriitteessii ((NNCCAA vveeyyaa İİSSOO))’’nniinn ssaayyııssaall iimmzzaassııyyllaa nneesstteedd sseerrttiiffiikkaa ddaağğııttııllıırr.. • DDooğğrruullaannaaccaakk aalltt sseerrttiiffiikkaannıınn iiççeerriiğğii CCAA vvee NNCCAA ttaarraaffıınnddaann iimmzzaallaannmmıışş oollmmaallııddıırr.. ((11)) • DDooğğrruullaannaaccaakk aalltt sseerrttiiffiikkaannıınn iiççeerriiğğii ddeeğğiişşmmeemmiişş oollmmaallıı.. ((22))
- 29. İİççiiççee SSeerrttiiffiikkaallaarr ((NNeesstteeddCCeerrttiiffiiccaatteess)) İçiçe Sertifika Diğer Sertifika Alanları Alt sertifika içeriğinin Hash’i Alt sertifika İmzası İMZA (NCA tarafındandan onaylanmış) Sertifika İçeriği Alt sertifika İMZA (CA veya NCA tarafından imzalanmış) 2 Kopyalama Sertifika İçeriği HASH Sertifika Yayımlama İçiçe sertifikanın NCA’sı 1
- 30. İİççiiççee SSeerrttiiffiikkaallaarrıı ÖÖzzeelllliikklleerrii • ZZaammaann bbaakkıımmıınnddaann vveerriimmllii.. KKllaassiikklleerr ççookk zzaammaann aallııyyoorr.. İİççiiççee sseerrttiiffiikkaallaarrllaa 116600..000000 kkuullllaannııccıı iiççiinn 22..55 zzaammaann,, kkllaassiikkttee 33..8855 zzaammaann aallııyyoorr.. • NNPPKKII ((NNeesstteedd PPKKII)) eettkkiillii vvee vveerriimmllii bbiirr sseerrttiiffiikkaa yyoolluu ttaannıımmllııyyoorr.. • YYooll bbiirr kkllaassiikk sseerrttiiffiikkaa iillee bbaaşşllaammaallıı..
- 31. SSSSLL ((SSeeccuurree SSoocckkeettLLaayyeerr)) ((GGüüvveennllii YYuuvvaallaarr KKaattmmaannıı)) ·HHiizzmmeett bbiirriimmiinnddeenn iisstteemmcciiyyee kkiimmlliikk kkoonnttrroollüü yyaappııllıırr.. ·İİsstteemmccii iillee hhiizzmmeett bbiirriimmiinniinn kkrriippttooggrraaffiikk aallggoorriittmmaa vvee şşiiffrree sseeççmmeessiinnee iizziinn vveerriirr.. ·İİsstteemmcciiddeenn hhiizzmmeett bbiirriimmiinnee sseeççiimmsseell oollaarraakk kkiimmlliikk kkoonnttrroollüü yyaappııllıırr.. ·PPaayyllaaşşıımm ssıırrllaarrıınnıınn oolluuşşttuurruullmmaassıınnddaa ppuubblliicc kkeeyy şşiiffrreelleemmee tteekknniiğğii kkuullllaannııllıırr.. ·ŞŞiiffrreelleennmmiişş bbiirr SSSSLL bbaağğllaannttııssıı kkuurruulluurr..
- 32. SSSSLL İİşşlleeyyiişşii Müşteri On-line Satıcı 1 2 3 4 Müşteri Bankası Satıcı Bankası
- 33. SSSSLL vvee TTLLSS((TTrraannssppoorrtt LLaayyeerr SSeeccuurriittyy)) HTTP FTP SSL/TLS SMTP TCP IP
- 34. SSSSLL ((GGüüvveennllii YYuuvvaallaarrKKaattmmaannıı)) -- SSeerrttiiffiikkaa bbaazzllııddıırr ffaakkaatt AAAAAA yyookkttuurr.. -- SSeerrttiiffiikkaa ggöözzaattııccııllaarraa ssaakkllaannmmıışşttıırr.. -- GGöözzaattııccıı şşiirrkkeettiinnee ((MMiiccrroossoofftt,, NNeessttccaappee)) ggüüvveenn ssöözzkkoonnuussuudduurr.. SSSSLL ((SSeeccuurree SSoocckkeett LLaayyeerr)) vvee SS--HHTTTTPP ((SSeeccuurree HHTTTTPP ))
- 35. SSL ttaarraaffıınnddaann ttaannıınnaann AAllggoorriittmmaallaarr • RRSSAA ((İİmmzzaallaammaa,, ŞŞiiffrreelleemmee --GGeenneell AAnnaahhttaarr)) • DDEESS ((ŞŞiiffrreelleemmee -- ssiimmeettrriikk aannaahhttaarr -- 5566 BBiitt kkeeyy-- 6644 bbiitt bbllookk)) • DDSSAA ((İİmmzzaallaammaa)) • IIDDEEAA ((SSiimmeettrriikk aannaahhttaarr,, 112288 bbiitt kkeeyy,,6644 bbiitt bbllookk)) • KKEEAA,, RRSSAA ((AAnnaahhttaarr ddeeğğiişş--ttookkuuşşuu)) • MMDD55 ((MMeessaajj ÖÖzzüüttüü--112288 bbiitt)) • SSHHAA--11 ((MMeessaajj ÖÖzzüüttüü--116688 bbiitt)) • RRCC22,,RRCC44,,RRCC55 ((SSiimmeettrriikk--DDeeğğiişşkkeenn kkeeyy,, bbllookk)) • SSKKIIPPJJAACCKK ((SSiimmeettrriikk aannaahhttaarr --8800 bbiitt kkeeyy-- 6644 bbiitt bbllookk--CClliippppeerr ÇÇiippii)) • TTrriippllee DDEESS ((116688 bbiitt kkeeyy))
- 36. SSEETT ((SSeeccuurree EElleeccttrroonniiccTTrraannssaaccttiioonn)) • VViissaa,, MMaasstteerrccaarrdd,, MMiiccrroossoofftt,, NNeettssccaappee,, GGTTEE,, IIBBMM,, SSAAIICC,, TTeerriissaa SSyysstteemmss vvee VVeerriissiiggnn • TTaarraaffllaarr:: MMüüşştteerrii,, ÜÜyyee,, BBaannkkaa • KKrreeddii kkaarrttıı İİnntteerrnneett oorrttaammıınnddaa kkuullllaannııllmmaazz.. YYeerriinnee BBaannkkaa sseerrttiiffiikkaassıı kkuullllaannııllıırr.. • KKrreeddii kkaarrttıınnıınn SSEETT uuyyuummlluu oollmmaassıı.. • SSaannaall CCüüzzddaann PPrrooggrraammıı.. ((SS..cc..pp)) • KKrreeddii kkaarrttıınnıı SS..CC..pp’’yyee ttaannııttııllmmaassıı..
- 37. SSEETT ((SSeeccuurree EElleeccttrroonniiccTTrraannssaaccttiioonn)) • SSaannaall MMaağğaazzaa iiççiinn ggeerreekkeennlleerr -- VV PPOOSS ((PPooiinntt ooff SSaallee)) -- SSaayyııssaall SSeerrttiiffiikkaa • İİlliişşkkii MMüüşştteerrii ssaannaall ccüüzzddaannıı iillee mmaağğaazzaannıınn VV--ppooss yyaazzııllıımmıı.. • XX..550099 ttaabbaannllııddıırr ((PPEEMM ggiibbii))
- 38. SSEETT İİşşlleeyyiişşii Müşteri 6 Hesaba Geç Müşteri Bankası On-line Satıcı Satıcı Bankası 1 2 3 Sipariş Onay Sorgusu 5 Onay 4 7 Ürün sevkedildi Kredi Ödeme Tutarı
- 39. SSEETT SET HTTPFTP SMTP TCP IP
- 40. SS--HHTTTTPP ((SSeeccuurree HHTTTTPP)) • HHeerrhhaannggiibbiirr aaççııkkllaammaa yyookk.. • FFoonnkkssiiyyoonneell – İİlleettiişşiimm GGiizzlliilliiğğii,, kkiimmlliikk--yyeettkkii ttaannıımmllaammaa,,bbüüttüünnllüükk,, iinnkkaarr eeddeemmeemmee • ÖÖzzeelllliikklleerrii EEssnneekklliikk,, ÇÇookklluu aannaahhttaarr yyöönneettiimmii tteekknniikklleerrii,, ççooğğuull ggüüvveenn mmooddeelllleerrii,, bbiirrççookk aallggoorriittmmaayyıı ddeesstteekklleemmee,, ççooğğuull mmoodduu ddeesstteekklleemmee,, kkaappssüülllleemmee ffoorrmmaattllaarrıı..
- 41. SS--HHTTTTPP ((SSeeccuurree HHTTTTPP)) S-HTTP TCP IP
- 42. SS--HHTTTTPP KKaattmmaannıı •YYeennii ““SSEECCUURREE”” hhttttpp ttiippii.. • ss--hhttttpp mmooddllaarrıı:: iimmzzaa,,ggeerrççeekklleemmee,,şşiiffrreelleemmee,, • ss--hhttttpp mmeessssaaggee:: – iisstteekk//dduurruumm kkaattmmaannıı – bbaaşşllııkk – kkaappssüülllleenneenn iiççeerriikk.. • DDiiğğeerr ss--hhttttpp mmeessaajjıı • bbiirr hhttttpp mmeessaajjıı • vveerrii ((ddaattaa))