توجه داشته باشيد كه Degest به محاسبه پيام اصلي User بستگي دارد.
جنبه جالب عمل Hash اين است كه Degest هميشه به اندازه و بدون تغيير مي باشد البته بدون توجه به طول پيام User . Convention متداول ايجاد كد 128 بايتي است كه معمولاً به شكل 32 String شماره اي ارائه مي گردد.جنبه جالب ديگري از Hash اين است كه بهبود بخشيدن پيام ازاعمال Hash تقريباً غيرممكن است اين مفهوم تحت عنوان يك عمل يك طرفه شناخته مي شود.الگوريتم Hash استقرار مي يابد تا هيچ 2پيامي يك Hash را Yield نكند.(حداقل در هيچ Bound آماري منطقي)اين بدين معني است كه درون هيچ عددمنطقي محاسبه ممكن نيست تا پيامي پديد آورد كه همان Hash پيام متفاوت ديگر را ايجاد كندبدليل اين عمل Degest مي تواند بعنوان اثر انگشت پيام خود باشد بعلاوه راز عمل Hash اينست كه ميتوان براي جستجوي Temprory پيام استفاده كرد.بنابراين وسيله اي ايجاد مي كند تا 2جنبه امنيتي را حمايت كند –الف-صحت -ب- Intergrity مثالهايي از Hash هاي اينترنت :الگوريتم Degest پيام MD5 چاپ شده در سال 1321 نوشته ران ريوست براي عمل Hash بسيار مورد استفاده قرار مي گيرد.در چند سال اخير براي جمله InRelibility مورد انتقاد قرار گرفته است ومعلوم است كه امكان اين مسئله وجود دارد كه 2 Input متفاوت يافته شود كه همان Degest را ايجاد مي كند .به غير از اين مشكل به مشكل ديگر تأكيد مي كنم . مشكل اين است كه MD5 در روترهاي Cisco استفاده مي شوند تا از پروتكل هاي متفاوت چرخشي حفاظت كند مانند Rip ,OSPF , BGP .
الگوريتم MD5 براي ماشينهاي 32 بايتي طراحي شده است كه Extension MD5 با Enhancment هاي متعددي است كه به طور خلاصه به آن اشاره مي شود.پيامي باطول arbitry را مي گيرد و Degest پيام 128 بايتي را ايجاد مي كند.پيام ورودي در Block 512 بايتي را پردازش مي كند (16كلمه 32بايتي).كه براي امضاهاي ديجيتالي طراحي شده است.الگوريتم ايمن Hash (SHA) معمولاً تحت عنوان استاندارد Hash ايمن SHA-1 ناميده مي شود توسط سازمان ملي استاندارد وتكنولوژي آمريكا NIST چاپ مي شود.بستگي به PreDecessor MD5 دارد كه معروف به MD4 است .تفاوتهاي اصلي ميان (SHA-1) واين SMD كه Degest پيام 160بايتي به جاي 128بايتي ايجاد مي كند.اين Degest را طولاني تر از SHA-1 مي كند. شامل پردازش بيشتري براي ايجاد Degest طولاني تر مي شود.باابن حال SHA-1 يكي از الگوريتم ها Hash است كه به دليل محدوديت براي Colission بسيار استفاده مي شود.در حاليكه Sha-1 يك Degest قوي تر پيام است ،اگر براي MD5 استفاده شود Intergrity خود را حفظ مي كندوبه شكل مؤثرتري عمل مي كند(محاسبه آن سريع تر است) تا SHA-1 ، سرعت محاسباتي مهم است.چون هر بسته كه از يك گروه خارج شده يا به آن وارد مي شود بايد روي آن محاسبات امنيتي انجام شود.
براي اطلاعلت بيشتر در باره مراجعه كنيد.بدليل Concern با MD4 وMD5 ارزشيابي Intergrity Primitive اروپايي RIPE را گسترش داد .آن نيز از SHA-1 نشأت گرفت ولي طول آن 160بايت است با اين حال Ripemd مانند SHA-1 نسبت به MD4 اثركمتر دارد.
HMAC در 2104 RFC چاپ شد ونويسندگانش Ran Canetti,Mihir Bellare, Hugo Krawczyk بودند. يك عمل كليدي Hash است IPSEC نياز داردكه تمام پيام Authentication با استفاده از HMAC انجام شود.
RFC 2104 ،Objective هاي طرح شده HMAC را بيان مي كند (ومن نيز مستقيماً به آن اشاره مي كنم):
13/استفاده بدون مضاعف شدن اعمال HASH قابل دسترسي .مخصوصاً اعمالي كه Hash به خوبي در نرم افزار .و كد به شكل آزاد وگسترده در دسترس است .
14/براي جلوگيري از عمل اصلي HASH بدون انجام Degradati خاص.
15/براي استفاده وكنترل كليدها به روش آسان.
16/تجزيه قابل درك Cryptographic از قدرت مكانيزم Authentication وابسته به منطقي در مورد اعمال Undelivery HASH
17/اجازه براي Reptceabitiy آسان اعمال Undelivery Hash در مواردي كه اعمال Hash سريع تر وايمن تر يافته يا مورد نياز مي باشند.
كليدهاي عمومي:
سالهاست كه كليدهاي عمومي در شبكه هاي عمومي وخصوصي براي Encrypt كردن اطلاعات مورد استفاده قرار مي گيرند.مفهوم كليد عمومي در محاسبه دو كليد با يك عمل نهفته است يك كليد معروف به عمومي وديگري كليد خصوصي است.اين نام ها به اين منظور گذاشته شده كه كليد عمومي مي تواند به بزرگ» Disseminate شود.در حاليكه كليد خصوصي اين طور نيست.پديدآورنده كليد خصوصي اين كليد را به شكل سري نگهداشته است.اگر اين كليد Disse شود توسط Encrypt اوليه آن براي انتقال از ميان تونل امنيتي انجام شده است. Not With Standing مفهوم كليد عمومي اين است كه كليد خصوصي رابه Vest نزديك كند ومحتواي آن را به هيچ كس به غير از پديد آورنده بروز ندهد.
كليدهاي عمومي براي Encrypt كردن استفاده مي شوند . فرستنده از كليد عمومي گيرنده استفاده مي كند تا متن واضح پيام را نموده به شكل پيام نامفهوم در آورد .پردازش در گيرنده Revers ميشود يعني در جايي كه دريافت كننده از كليد خصوصي براي Decrypt نمودن پيام نامفهوم به پيام واضح استفاده مي كند.
بعلاوه استفاده از كليدهاي عمومي براي Encrypt كردن براي مراحل authentication نيز به طور گسترده اي استفاده مي شوند .همچنين براي كنترل Intergerity واثبات حمل نيز مورد استفاده قرار مي گيرند كه بعداًبه آن بحث مي پردازيم.
در اين مثال فرستنده از از كليد خصوصي فرستنده استفاده مي كند تا ميزان شناخته شده اي را به امضاي ديجيتالي Encrypt كند. هدف اين امضاي ديجيتالي اين است كه authenticity فرستنده را ارزشيابي كند.فرستنده Conscoenty از طريق ساير مقادير كه به كليد عمومي گيرنده فرستاده است .اين كليد به الگوريتم براي امضاي ديجيتالي ورودي استفاده مي شود.اگر اعمال Decrypt كردن ناشي شده ،محاسبه مقدار شناخته شده را منجر مي گردد كه قبلاًتوشط فرستنده Instantiut شده بود فرستنده همان فرستنده مجاز تلقي مي شود(يعني فرستنده authentic است)
به طور خلاصه اگر مقدار محاسبه شده معروف دردريافت كننده برابر با مقدارقابل انتظار باسد پس فرستنده شده است.اگر محاسبه برابر نباشد پس فرستنده صحيح نيست.يا اشتباهي در پردازش صورت گرفته است.هر چه باشد فرستنده اچازه ندارد هيچ سود بعدي در سيستم دريافت كننده ببرد.ما آموخته ايم كه دو عمل اصلي در انتقال وحمايت از داده هاي ايمن وجود دارد .اولين عمل Encryption (درفرستنده)پيام فرستنده Decryption, Complimentation پيام در گيرنده است.عمل دوم اطمينان از اين مطلب است كه فرستنده مناسب ،پيام را فرستاده و Imposter اين كاررا نكرده است.يعني فرستنده پيام صحيح است.
از تكنيكهاي بسيار استفاده مي شود وما به تازه در باره اعمال كليدي عمومي اطلاعات بدست آورده ايم روش ديگر در شكل 8-9 نشان داده شده است.اين روش ازcryptographer عمومي كه الان توضيح داديم وعمل hash كه قبلاًتوضيح داده شد استفاده مي كند.
notection چعبه هاي سياه سمبلINPUT به OUTPUعمل است . در رويداد 1 :پيام اصلي (نوشته واضح)بهCRYPTOGRAPH كردن عمل يك طرفهSUBJECT HASHمي شود نتايج آن عمل DIGپيام است .در رويداد 2 :DIG عمل وكليد خصوصي فرستنده به عمل شكل 10-9 SUB,ENCRIPTION مي شود كه منجر به امضاي ديجيتالي مي گردد.امضاي ديجيتالي ،به پيام اصلي اضافه مي شود(نوشته واضح) وتمام اين بخش اطلاعات در رويداد 3 با كليد عمومي گيرنده مي شود.نتيجه يك پيام نامفهوم است.
اكنون پردازش در دريافت كننده براي شده است.در رويداد 4 پيام نامفهوم با كليد خصوصي دريافت كننده SERVERS مي شودكه در الف/ پيام اصلي (پيام واضح)و ب/ امضاي ديجيتالي اينگونه است.رويداد 4جنبهCRYPTOGRAPHY ,CRITICAL با كليد عمومي است چون فقط آنهايي كه از كليد خصوصي گيرنده عبور مي كنند ،مي توانند پيام ناهفهوم را نمايند.
سپس،امضاي ديجيتالي توسط كليد عمومي فرستنده (در رويداد 5) DECRYPT مي شودوپيام واضح (در رويداد 6)به عمل HASH يك طرفهCRYPTOGRAPHY مشخص SUBJECT مي شودكه در فرستنده انجام شده است .سپس گيرنده اعمال ناشي از از رويداد5و6 را مقايسه مي كند واگر مقادير ناشي شده همانند بودند،گيرنده مي تواند مطمئن باشد كه فرستنده واقعي وصحيح است .اگر نتايج متفاوت بودند ،چيزي AMISS شده يا فرستندهPHONY است يا INTRERLOPERتبادل فرستنده راINTERSEPT كرده وآنرا جايگزين نموده يا تبادل در انتقال آسيب ديده است.
كليد جلسه (ارتباط ميان وكامپيوتر راه دور)( ESSION KEY )
بعضي SIMPGEM ENTATION عمل ديگر را به اعمالي كه بحث شد EMFED مي كنند كه تحت عنوان نامهاي متفاوتي در صنعت شناخته شده هستند. بعضي ها به اين عمل (كليد جلسه)گويند ،بعضي ها به آن كليد يك زماني وبعضي هاآنرا با نام كليد متقارن يك زمانه مي نامند.
كليد جلسه يا يك زمانه استفاده مي شود تا امضاي ديجيتالي ومتن واضح را در رويداد 3 ENCRYPT كند ويك عمل COMPLEM ENTARY در گيرنده در رويداد6 انجام دهد.به كليد ،كليد متقارن گويند چون از همين كليد براي ENCRYPT وDECRYPT اطلاعات استفاده مي شود.يكي از مزاياي اين تكنيك اين است كه مي تواندIMPLEMENT شود تا اعمالي بسيار سريع وواضح انجام دهدكه لايه امنيتي ديگري به پردازش OVERALL اضافه مي كند.اعمال كليد عمومي بسيار طولاني هستند وپردازش CPUبسياري را مي طلبند.بنا براين در شكل 11-9 كليد عمومي گيرنده ،فقط استفاده مي شود تا كليد جلسه راENCRYPT نمايد.
CRIFICATION كليد:
پس تا اينجا ما فهميديم كه گيرنده به فرستنده اطمينان دارد وگيرنده باور دارد كه كليد عمومي فرستنده (كه ذخيره شده)صحيح است.ممكن است اين شرايط واقعيت نداشته باشدCRYPTOGRAPHY كليد عمومي برايCOMPROMISE يا به اصطلاح حمله «مرد ميانه»VULNER ABLE است (همچنين بدانPIGGY در وسط يا مرددر وسط گويند)كه در شكل 12-9 مشان داده شده است.
مرد ميانه يا مالوري ، كارل وتد را با فرستادن كليدهاي عمومي غلط، به اشتباه افكنده است تد،كليد عمومي مالوري را (MPUB1) در رويداد 1 دريافت مي كند .مالوري همچنين كليد عمومي ديگر ايجاد مي كند وآنرا در رويدا 2به آليس مي فرستد (MPUB2) كليدهاي غلط به رنگ خاكستري تيره در شكل نمايش داده شده اند.درزمان ديگري (رويداد3)،كارل وتد LEGITITNATEكليدهاي خصوصي توليد كردند،كه اين كليدها به رنگ سفيد در شكل براي كارل (CPRI) وتد (TPRI) نشان داده شده است.ما گمان مي كنيم كه اين كليدها ،كليدهاي جلسه هستند(كليد متقارن يك طرفه)وبراي DECRYPT,ENCRYPT تبادل،استفاده مي شود.
حمله مرد مياني:
در رويداد4 ،كارل وتد آنچه را كه فكر مي كنند كليد عمومي يكديگر است استفاده مي كنند كليد خصوصي جلسه را ENCRYPT كننددر واقع ،آنها از كليدهاي عمومي غلط مالوري استفاده مي كنند.
رويداد5 ،كليدهاي ENCRYPT شده جلسه توسط كارل وتد فرستاده مي شوند ولي توسط مالوريINTERCEPTمي شوند كه در رويداد 6 از 2كليد عمومي او استفاده مي كند تا كليدهاي خصوصي ENCRYPT نمايد(MPUB2,MPUB1)
پس در رويداد 7،مالوري كليدهاي خصوصي جلسه كارل وتد را بدست مي آورد ومي تواند به ايفاي نقش مرد مياني بپردازد وتبادل را TERCEPT كند.
براي اينكه با حمله مرد مياني بسازيم،سيستم هاي امنيتي بالايي،مفهوم CERITIFICATE ديجيتالي را IMPLEMENT مي كند وما به شدت توصيه مي كنيم كه هر سيستم CRYPTOGRAPHY كليد عمومي ازCERTI ديجيتالي استفاده كند.ازاين عمل استفاده مي شود تا گيرنده را مطمئن سازد كه كليد عمومي فرستنده ،معتبر است .براي حمايت از اين عمل ،كارل كه فرستنده است با CERTICALL ديجيتال از دسته سوم قابل اطمينان دريافت كند كه به آن CERTIFICATION AUTHARY گويند.كارل در رويداد 1كليد عمومي خود را به همراه اطلاعات IDENTIFICATION خاص وساير اطلاعات بهGERAUY مي فرستد.
CERAU از اين اطلاعات استفاده مي كند تا كارل وكليد عمومي او را شناسايي كند كه در شكل به شكل رويداد 2 نشان داده شده است.
اگر كنترل كارل رضايت بخش باشدCERAU به كارل يك CER ديجيتالي مي دهد كه معتبر بودن كليد خصوصي كارل را تأييد مي كند .اين عمل در رويداد3 نشان داده شده است .در رويداد4 وقتي كارل تبادل را به گيرنده مي فرستد (دراين مثال تد)كارل تمامي اعمالي كه در مثالهاي قبلي مان بحث كرديم را انجام مي دهد.(يعني،عمل HASH ،امضاي ديجيتالي وغيره)واين اطلاعات را به همراه CER ديجيتالي به تد مي فرستد.
در اعمال قبلي ،كليد عموميCERAUT به گروههاي ديگر من جمله تد DISSEMINATE مي شد در رويداد 5تد از كليد عموميCERAUT استفاده مي كند تا امضاي ديجيتالي CERAUT را كه قسمتي ازCER كامل است بسنجد ،اگر همه چيز كنترل شد ،تد مطمئن است كه كليد عمومي (بخش ديگري ازCER) در واقع به كارل تعلق دارد بدين گونه ،در رويداد6 توسط CERAUT مطلع مي شود كه رويداد 7نتيجه مي شود جايي كه تد مي تواند از كليد عمومي كارل استفاده كند تا پيام نامفهوم راDECRYPT نمايد.
شعاع RADIUS :
اعمال امنيتي در يك سازمان بزرگ كار مهمي است يكي از نگرانيهاي موجودCOMPROMISE ممكن منابع سازمان به دليل DISPERSAL ميزان امنيت در سيستم است كهRESULT IN يافتهFRUGMENTED مي شود.براي مسائل مركب،كارمندانCONTRACTORS ومشتريان نياز به دسترسي به اطلاعات دارد واين افراد كامپيوتر سازمان را عملاًاز هر جايي شماره گيري مي كنند .AUTENTICATION اين منابعDIVERS بايد در ارتباط با سياست امنيت سازمان ACCOMPLISH شود.ولي چگونه؟آيا بايد در آنجا يك سيستمAUTHENTICATION (يك سرور)در هر سايت سزمان وجود داشته باشد ؟اگر اينچنين است،چگونه اين سرورها كتنرل مي شود،چگونه فعاليت هايشان هماهنگ مي شود؟در عوض آيا يك سازمان ،سرور مركزي را DEPLOY مي كند تا تلاشهايCOORDINATION را كاهش دهد؟
براي كمك به يك سازمان براي استقرار يك يافته INTEGRATED براي كتنرل ومديريت ايمن ،گروه كاركنان شبكه اينترنت RFC2138 يعني شماره گيري AUTHE ا زراه دور در سرويس استفاده كننده را چاپ كردند RADIUS اين خصوصيات مراحل IMPLEMENT سرورAUTH رامشخص مي كند كه شاملDATA BASE مركزي است كه استفاده كنندگاني را كه شماره گيري مي كنند واطلاعات مربوطه را استفاده نكنندAUTHENTICATE را نشان مي دهند.
RADIUS همچنين به سرور اجازه مي دهد كه با ساير سرورهامشورت كند ،بعضي ممكن است براساس RADIUS باشند وبعضي اينگونه نباشد.با اين يافته ،سرور RADIUS بعنوان براي سرور ديگر عمل مي كند.
اين خصوصيات همچنين به جزئيات اين مسئله مي پردازد كه چگونه اعمال خاص استفاده كنند ،مي تواند مورد حمايت قرار گيرد،مانند TELNET,RLOGIN,PPP وغيره.
RADIUS CONFIGURATION به روش CLIENT يا سرور ساخته شده است مصرف كننده نهايي با سروري كه به شبكه دسترسي داردNAS از طريق اتصال تلفني،مرتبط مي شود .در عوضCLIENT NAS سرورRADIUS است.NASوسرورRADIUS با هم از طريق يك شبكه يا يك اتصال نقطه به نقطه ارتباط پيدا مي كنند.همانطور كه قبلاً اشاره شد،سرورRADIUS ممكن است با ساير سرور ها نيز ارتباط برقراركند ،بعصي ممكن است پروتوكل RADIUS را فعال كند وبعضي نكندمقصود اين است كه يكREPOSITORY مركزي براي اطلاعات AUT وجودداشته باشد كه در شكل به عنوان شمايل DATA BASE(ICON) نشان داده شده است.
ساختارRADIUS :
استفاده كننده بايد اطلاعات AUT را بهNAS ارائه كند (معروف به CLIENT HERE AFTER ) مانند USER NAME وكلمه عبور يا بستهPPP(OUT) سپسCLIENT ممكن است بهRADIUS دستيابي پيدا كند.
اگر چنين شود CLIENT يك پيام« درخواست دسترسي » ايجاد مي كند وبه گره هايRADIUS مي فرستد (معروف بهSERVER HERE AFTER )اين پيام شامل اطلاعات در مورد مصرف كننده اي است كهATTRIBUTEخطاب مي شود .اينها توسط مدير سيستمRADIUS مشخص مي شوند،بنابراين مي توانند تغيير كنند.مثالهايي ازATTRI شامل كلمه عبور استفاده كننده ID پرت مقصدCLIENT ID وغيره است.اگر اطلاعات SENSITIVE در بخش ATL باشد بايد توسط الگوريتم GISEST پيام MD5 محافظت شود.
مشكلات RADIUS :
RADIUS بدليل فرمان خود وساختار فضاي آدرس ATL ومحدوديت ناشي شده در مورد معرفي سرويسهاي جديد تقريباًمحدود است. RADIUS روي UDP عمل مي كندوUDP زمان ومكانيزم ارسال مجدد ندارد.بنابراين خريداران راههاي خود را براي اين مراحل مي كنند.بعلاوهASSUME-RADIUS مي كند كه هيچ پيامUNSOLICI TATED از سرور به وجود ندارد كه بعداً انعطاف پذيري آنرا محدود كند . SUCCESSOR آن DIAMETER اين مشكلات را حل مي كند.
DIAMETER قطر:
DIAMETER تقريباً يك پروتوكل جديد براي EMERGE استاندارد هاي امنيتي اينترنت است.اين DIAMETER محدودشد ،چون تعداد حدمات اينترنت جديد،رشد كرده اند وردترها وسرورهاي شبكه(NAS) بايد عوض شوند تا ازآنها حمايت مي كردند.خريداران وگروههاي كار ،پروتوكل سياست خود را براي اين اعمال ADD-ON مشخص كرده اندDIAMETER استانداردي براي مفهومHEADER هاوميزان امنيت پيام آن ايجاد مي كند .مقصود اين است كه سرويس جديدي به جاي مراحل مختلف كه قديم بود از DIAMETER استفاده كند.
DIAMETER يك SUCCENOR برايRADIUS به شمار مي رود وبه نظر مي رسد كهFRAME WORK ي براي هر سروري كه نياز به حمايت امنيتي دارد ،ارائه مي كند.به نظر مي رسد كه بالاخره جايگزين RADIUSE مي شود.
پاسخ با نقل قول
علاقه مندی ها (بوک مارک ها)