2. امنیت در تجارت الکترونیک

7. بهتره فعلا یه نرم افزار ساده طراحی کنیم . آره ، یه نرم افزار که فقط بتونه اطلاعات رو از طریق اینترنت مبادله کنه خیلی خوبه ، بعدش می تونیم دنبال نقاط ضعفش بریم .

10. شنود دیگه چیه؟ من میدونم ، به شکل بعدی نگاه کن ، متوجه می شی . اولین مشکل این نرم افزار اینه که به راحتی می شه اطلاعات ارسالی رو شنود کرد

12. آره خوبه ، ما میتونیم کلیدهای رمزنگاری رو به طرفین بدیم تا به وسیله اونها بتونن اطلاعاتشون رو . رمزنگاری کنن من یه راه حل دارم . ما می تونیم از مکانیزم امنیتی رمزنگاری با کلید متقارن برای پیاده سازی سرویس امنیتی محرمانگی اطلاعات ( Confidentiality ) استفاده کنیم . پس باید یه سرویس امنیتی ( Security Service ) برای این ضعف امنیتی پیدا کنیم .

14. آره این روش خوبه ولی دو تا مشکل داره : 1. کسی که داره شنود می کنه می تونه کلید رو هم کپی کنه . خوب ما می تونیم کلید ها رو به شکل حضوری بهشون بدیم نه از طریق شبکه .

15. 2. اگه کسی اطلاعاتی رو ارسال کنه ، نمی شه فهمید آیا این همون شخص هست یا نه ، یا اینکه می تونه خودشو به جای یکی دیگه جا بزنه و یا اینکه می تونه اطلاعات رو دستکاری کنه . آره به این روش می گن جعل هویت . جعل هویت و دستکاری چیه دیگه ؟

18. من یه راه حل دارم ، ما می تونیم از مکانیزم امنیتی رمزنگاری نا متقارن برای ارسال امن کلید های متقارن استفاده کنیم . توی این روش از دو تا کلید استفاده می شه ، یکی برای رمزنگاری و اون یکی برای رمز گشایی . به تصویر بعدی نگاه کن . این روش چطوری کار میکنه؟

20. کلید متقارن کلید خصوصی علی کلید عمومی علی کلید عمومی علی کلید متقارن

21. چون اطلاعات رمز شده با کلید عمومی فقط توسط کلید خصوصی مربوطه باز می شه . توی این روش دیگه شخص حمله کننده نمی تونه به کلید متقارن دسترسی پیدا کنه . چطور ؟

22. 2. گیرنده کلید متقارن رمزشده با کلید عمومی خودش رو بدست میاره و از این به بعد اطلاعاتش رو با کلید متقارن رمز می کنه و ارسال می کنه . 1. کلید متقارن به کمک کلید عمومی گیرنده رمز میشه و ارسال می شه . حالا این چطوری به محرمانگی اطلاعات کمک می کنه؟

23. کلید متقارن کلید متقارن کلید عمومی کلید خصوصی

24. به شکل بعدی نگاه کن . دستکاری چیه دیگه؟ خوب ، تا الان فقط مشکل محرمانگی رو حل کردیم . برای جعل هویت و دستکاری پیام چکار باید کرد .

26. ما می تونیم از digest و توابع hash برای پیاده سازی سرویس امنیتی جامعیت اطلاعات ( Integrity ) استفاده کنیم . من می دونم ، به شکل بعدی نگاه کن تا متوجه بشی . اینها چطوری کار می کنن .

28. خوب ، برای پیاده سازی سرویس امنیتی جامعیت اطلاعات ( Integrity ) چکار باید کرد؟ 2. پیام به همراه digest کد شده توسط کلید عمومی برای گیرنده ارسال می شه . 1. پیام توسط توابع hash به digest تبدیل می شه و digest توسط کلید عمومی گیرنده رمزنگاری میشه

29. خوب ، بعدش چی؟ 4. Digest تولید شده رو با digest دریافتی مقایسه می کنه ، اگر برابر باشند یعنی اطلاعات تغییر نکرده ولی اگر برابر نباشند یعنی اطلاعات تغییر کرده . 3. گیرنده از روی اطلاعات دریافتی مجددا digest تولید می کنه .

30. digest کلید متقارن کلید عمومی کلید خصوصی data data

31. خوب ، پس بازهم ازمکانیزم رمزنگاری برای پیاده سازی جامعیت استفاده کردیم .

32. خوب ، اینم از سرویس امنیتی جامعیت اطلاعات، با جعل هویت ( Masquerading ) چکار باید کرد؟ درسته ، این بحث به امضای دیجیتال شباهت داره . برای جلوگیری از جعل هویت ، ما می تونیم از سرویس امنیتی تشخیص هویت ( Authentication ) استفاده کنیم .

33. این روش چطور کارمیکنه ، آیا مکانیزمی هم برای پیاده سازی این روش دارین ؟ درسته ، تو اسلاید بعدی توضیح کامل می دم . البته ، برای این سرویس هم می تونیم از همون رمزنگاری و توابع hash استفاده کنیم .

34. 1. فرستنده اطلاعاتش رو توسط توابع hash به digest تبدیل می کنه . 2. Digest رو توسط کلید خصوصی خودش امضاء می کنه .

35. خوب ، بعدش چی ؟ 3. پیام رو به همراه digest امضاء شده برای گیرنده ارسال می کنه . 4. گیرنده از روی اطلاعات دوباره digest تهیه می کنه و digest رمز شده رو توسط کلید عمومی فرستنده رمزگشایی می کنه .

36. 5. هر دو digest با هم مقایسه می شن . اگر برابر باشند یعنی شخص همونیه که ادعا می کنه . از اونجایی که کلید خصوصی فقط دست یه نفره و اون صاحب کلید هستش . از کجا معلوم؟

37. digest digest کلید عمومی کلید خصوصی data data

38. بچه ها واقعا کارتون درسته ، فقط یه سوال واسم پیش اومده و اون اینه که آیا میشه این مکانیزم های امنیتی رو با هم پیاده سازی کرد؟

39. البته که میشه ... اسلاید های بعدی رو ببین تا متوجه بشی . باشه ، من هم با چیز هایی که از شما یاد گرفتم ، هرجا تونستم کمک می کنم .

41. 1. فرستنده یک کلید متقارن تولید می کنه و اون رو با کلید عمومی فرستنده رمز می کنه . 3. فرستنده از روی اطلاعات digest تهیه می کنه و توسط کلید خصوصی خودش اون رو امضاءدیجیتال می کنه . 2. کلید متقارن کد شده رو برای گیرنده ارسال می کنه .

42. 4. فرستنده کل پیام و digest امضاء شده رو توسط کلید متقارن کد می کنه 5. حتما این اطلاعات رو برای گیرنده ارسال می کنه . زحمت کشیدی ، خسته نباشی آقا محمد ....

43. 7. گیرنده اطلاعات رو رمز گشایی می کنه و می تونه صحت اطلاعات رو توسط digest بررسی بکنه . 6. کلید متقارن کد شده توسط کلید عمومی گیرنده فقط توسط گیرنده می تونه باز بشه ، چون فقط اونه که کلید خصوصی مربوط به این کلید عمومی رو داره . 8. گیرنده می تونه با چک کردن امضای دیجیتال که روی digest زده شده ، فرستنده رو تشخیص هویت کنه .

44. خوب . بهتره نرم افزار رو کامل کنیم و تحویل شرکت بدیم . منم همینطور . از شما چیزهای زیادی یاد گرفتم . بچه ها دستتون درد نکنه ، خیلی چیزها ازتون یاد گرفتم .

45. گرد آورنده : احسان رازقندی 8861033 با تشکر از استاد محترم جناب دکتر سخاوتی