وبلاگینا

JMSBeta

ممنون بابت اطلاع رسانی

worldmohammad

مطلب شیوا و ساده ولیل در عین حال کاربردی بود کاربران به حرفهای شما بیشتر گوش میکنن تا تازه کارها و دوستانشان از این پستها بیشتر بدین
ای کاش میگفتین که از فایروال هم استفاده میکردن یا اینکه از مدیریت پسور هم استفاده کنند
ممنون و خسته نباشید

senaps

میگم چقد زود منتشر کردین خبر در این مورد!! یه وقت برا وبلاگتون مشکلی پیش نیاد؟!!
اخه پست های در این مورد تو وبلاگ من،مربوط به دقیقا یه ماه پیشه!!!!
اخه بحث در مورد بیش از 300 هزار ای پی ایرانی بود!!

کیوان

من یه سوالی برام پیش اومده. با این اوصاف Man in the middle میتونه کلید خصوصی رو هم شنود کنه دیگه. امنیت این کلدید خصوصی چه طوری تامین میشه؟

hamid

وقتی هکر به سرور سرویس‌دهنده SSL نفوذ کرده و اختیار سرور را به دست می‌گیرد، به راحتی می‌تواند درخواست‌های وارده از جانب وبسایت‌ها را مشاهده کرده و کاربران آن‌ها را به یک وبسایت جعلی با مقادیر جعلی منتقل نماید. کاری که در صفحه نخست Gmail شاهد آن بودیم.

in ghesmat ghalate.
به راحتی می‌تواند درخواست‌های وارده از جانب وبسایت‌ها را مشاهده کرده
dar haghighat vaghti yek CA hack mishe va yek certificate motabar dige baraye website tolid mishe. ba komak in certificate mitoonim khoodemooono jaye gmail ja bezanim. toori ke karbar ha fek konan ma gmail hastim. dar halate addi chon dar SSL darkhaste certificate mishavad va hacker ha in certificate roo nadaran in hamalat shenasai mishavand vali dar in mored chon certificate valid dozdide shode browser nemitoone hamle ro shenasaiii kone.

فرهاد عیدی

با این شیوه حمله نمیشود به کلید خصوصی دسترسی پیدا کرد بلکه هکر فقط می‌تواند به اطلاعات کد شده دسترسی پیدا می‌کند که باز کردن کدها تقریبا غیر ممکن است.

امین

سلام
کاش به جای "SSL چیست و چگونه می‌توان یک گواهی امنیتی را جعل کرد؟ " ، عنوان پست رو می زاشتید "SSL چیست ؟" چون هیچ توضیحی در مورد "چگونه می‌توان یک گواهی امنیتی را جعل کرد؟" ندادید.

علی.ب

سلام همان طور که امین عزیز هم گفتند مطلب شما بیشتر در مورد SSL بود تا گواهی نامه های آن. همچنین اشکالاتی نیز در آن بود:

برخلاف تصور الگوریتم های کلید عمومی به خاطر زمان و هزینه بالا که در رمز کردن و رمزگشایی دارند فقط برای تبادل کلید الگوریتم های AES یا 3DES که برای رمز کردن محتوا استفاده می شود و خیلی سریع تر و ایمن تر از الگوریتم های کلید عمومی (مثل RSA) است , کاربرد دارد.
البته از این الگوریتم های کلید عمومی در امضا دیجیتالی در ایمیل ها هم استفاده می شود که موضوع آن جداست .

برای SSL نیاز به یک جفت کلید داریم : (متقارن - در مورد نامتقارن کلاینت هم همین جفت کلید را تولید می کند)
1 - کلید خصوصی برای رمز کردن
2- کلید عمومی برای رمزگشایی کردن
این کلید ها به هم وابسطه هستند. (این به خاطر الگوریتم آن هست که میتونید توی ویکی پدیا در موردش بخونید و وابستگی این الگوریتم به اعداد اول) کلید عمومی را سرور به سمت کاربر می فرستد تا کلید AES (یا الگوریتم هایی که دو طرف ساپورت می کنند) را رمزگشایی کند و داده ها با آن رمز شود.
این روش یک روش منطقی هست اما یک مشکل دارد .
شخص سومی را در نظر بگیریم که در بین این ارتباط هست.
کافیه یک کلید خصوصی و عمومی بسازد و به جای کلید عمومی سرور کلید عمومی خودشو به سمت کاربر بفرسته
با اینکه اینکار هزینه بر و زمان بر هست اما میتواند دیتاهای تبادل شده بین کاربر و سرور را دستکاری کند و یا شنود کند و هیچ کدام از دو طرف نفهمند .
اینجاست که لزوم گواهی نامه ها احساس میشه. گواهی نامه برای این به وجود آمدند که مشخص کنند کسی بین ارتباط کلاینت و سرور نیست و اگر باشد با خطای مرورگر مواجه میشویم چون کلید عمومی کاربر تغییر کرده و یا ...
مرکز های ارائه گواهی نامه SSL هم از همین الگوریتم کلید عمومی و کلید خصوصی استفاده می کنند . کلید عمومی سرور را به صورت هش شده با کلید عمومی خود رمز می کنند (به همراه اطلاعات گواهی نامه).
و کلید عمومی سرور + مشخصات گواهی نامه + رمز شده ی هش شده ی کلید عمومی سرور + مشخصات گواهی نامه را در قالب یک فایل به صاحب سرور میدهد تا در انتقال اطالاعات SSL از آن استفاده کند. کلید عمومی مراکز ارائه گواهی نامه (CA) بسته به مرورگرها در خود مرورگر ها هست.
مرورگر ها به محض اینکه ارتباط SSL با سروری بر قرار می کنند گواهی نامه آن را با کلید عمومی CA چک می کنند تا دستکاری نشده باشد اگر دستکاری شده بود مشخص هست که کسی بین ارتباط کلاینت و سرور هست همچنین مرورگر ها از طریق پروتکل OCSP گواهی نامه سرور را از نظر منقضی شدن از مرکز ارائه دهنده گواهی نامه SSL می پرسند.

البته جعل گواهی نامه SSL و قابلیت pinning در کروم و نقش DNSSEC در گواهی نامه های دیجیتال بحث مفصلی هست که اینجا نمی توان صحبت کرد.

امیدوارم توانسته باشم کمکی حتی اندک کرده باشم.
ممنون;)

M.Rahi

فردا صبح قراره یه کنفرانس در مورد امنیت شبکه بدم که این مبحث رو هم ارائه میدم.
بدردم خورد
ممنون

علی.ب

"کلید عمومی سرور را به صورت هش شده با کلید عمومی خود رمز می کنند (به همراه اطلاعات گواهی نامه)."

ببخشید این قسمت رو اشتباه نوشتم CA با کلید خصوصی رمز می کنه

حامد

سلام
مثل اینکه میشه از این پروتکل برای رد کردن فیلتر استفاده کرد. درسته؟
و نحوه استفاده از راحته؟
مچکرم

سید جلال

ممنونم
خیلی استفاده کردم

مرتضی

واقعا عالی بود
ممنون

مهران ا.

خیلی ممنون از پست عالی و ساده تان.

"صحبت درباره مسائل امنیتی و SSL را می‌توان تا صفحات متوالی ادامه داد و وارد جزئیات آن شد..."

خواستم بدونید که خیلی مشتاقم تا این مطلب رو ادامه بدین و تا به بحث های تخصصی هم برسیم.

با تشکر.

علی

مرسی. عالی بود.
البته توی جریان هک شدن جیمیل توسط ایران ، فکر کنم کسایی که با فیلترشکن وارد جیمیلشون می شدن ، در امان موندن.

مانی

درود بر شما،
با سپاس از مطلبتان.
اگر امکانش هست لطف کنید یک مقاله تخصصی تر درباره این پروتوکل و همچنین کلید عمومی و خصوصی منتشر کنید.
شاد و موفق باشید!

maselo

سلام . یه سوال ؟
اگه کسی با وی پی ان به سرور وصل بشه چی ؟
بازم امکان حک شدن ایمیل یا ... وجود داره ؟

فرهاد عیدی

بله. همیشه امکان هک هست. ولی با وی پی ان کمی امن‌تر می‌شود که البته آن هم بستگی به نوع هک دارد.

امیررضا فروتن

سلام.کسی اس اس ال معتبر داره.
می خوام رو گوگل کروم نصب کنم.
کمممممممممممممممممممممممکک
:D

حميد

خسته نباشيد و عالي بود
جدا بايد به ايشان و کساني که سعي دارند به ديگران اطلاعات خودشون رو اينجور با کيفيت و صادقانه در اشتراک بگذارند آفرين گفت متاسفانه بسيارند کساني که حتي کوچکترين اطلاعات خودشون رو به سادگي در اختيار ديگران قرار نمي دهند
اميدوارم موفق باشيد و هميشه در راه ارتقاي سطح دانش عمومي کاربران فارسي زبان کوشا و موفق باشيد.