رمزنگاري

2 تا مقاله دارم تو اين زمينه ميذارم !


رمزنگاری

۱- معرفی و اصطلاحات

رمزنگاری علم کدها و رمزهاست. یک هنر قدیمی است و برای قرنها بمنظور محافظت از پیغامهایی که بین فرماندهان، جاسوسان،‌ عشاق و دیگران ردوبدل می‌شده، استفاده شده است تا پیغامهای آنها محرمانه بماند.

هنگامی که با امنیت دیتا سروکار داریم، نیاز به اثبات هویت فرستنده و گیرنده پیغام داریم و در ضمن باید از عدم تغییر محتوای پیغام مطمئن شویم. این سه موضوع یعنی محرمانگی، تصدیق هویت و جامعیت در قلب امنیت ارتباطات دیتای مدرن قرار دارند و می‌توانند از رمزنگاری استفاده کنند.

اغلب این مساله باید تضمین شود که یک پیغام فقط میتواند توسط کسانی خوانده شود که پیغام برای آنها ارسال شده است و دیگران این اجازه را ندارند. روشی که تامین کننده این مساله باشد "رمزنگاری" نام دارد. رمزنگاری هنر نوشتن بصورت رمز است بطوریکه هیچکس بغیر از دریافت کننده موردنظر نتواند محتوای پیغام را بخواند.

رمزنگاری مخفف‌ها و اصطلاحات مخصوص به خود را دارد. برای درک عمیق‌تر به مقداری از دانش ریاضیات نیاز است. برای محافظت از دیتای اصلی ( که بعنوان plaintext شناخته می‌شود)، آنرا با استفاده از یک کلید (رشته‌ای محدود از بیتها) بصورت رمز در می‌آوریم تا کسی که دیتای حاصله را می‌خواند قادر به درک آن نباشد. دیتای رمزشده (که بعنوان ciphertext شناخته می‌شود) بصورت یک سری بی‌معنی از بیتها بدون داشتن رابطه مشخصی با دیتای اصلی بنظر می‌رسد. برای حصول متن اولیه دریافت‌کننده آنرا رمزگشایی می‌کند. یک شخص ثالت (مثلا یک هکر) می‌تواند برای اینکه بدون دانستن کلید به دیتای اصلی دست یابد، کشف رمز‌نوشته (cryptanalysis) کند. بخاطرداشتن وجود این شخص ثالث بسیار مهم است.

رمزنگاری دو جزء اصلی دارد، یک الگوریتم و یک کلید. الگوریتم یک مبدل یا فرمول ریاضی است. تعداد کمی الگوریتم قدرتمند وجود دارد که بیشتر آنها بعنوان استانداردها یا مقالات ریاضی منتشر شده‌اند. کلید، یک رشته از ارقام دودویی (صفر و یک) است که بخودی‌خود بی‌معنی است. رمزنگاری مدرن فرض می‌کند که الگوریتم شناخته شده است یا می‌تواند کشف شود. کلید است که باید مخفی نگاه داشته شود و کلید است که در هر مرحله پیاده‌سازی تغییر می‌کند. رمزگشایی ممکن است از همان جفت الگوریتم و کلید یا جفت متفاوتی استفاده کند.

دیتای اولیه اغلب قبل از رمزشدن بازچینی می‌شود؛ این عمل عموما بعنوان scrambling شناخته می‌شود. بصورت مشخص‌تر، hash functionها بلوکی از دیتا را (که می‌تواند هر اندازه‌ای داشته باشد) به طول از پیش مشخص‌شده کاهش می‌دهد. البته دیتای اولیه نمی‌تواند از hashed value بازسازی شود. Hash functionها اغلب بعنوان بخشی از یک سیستم تایید هویت مورد نیاز هستند؛ خلاصه‌ای از پیام (شامل مهم‌ترین قسمتها مانند شماره پیام، تاریخ و ساعت، و نواحی مهم دیتا) قبل از رمزنگاری خود پیام، ساخته ‌و hash می‌شود.

یک چک تایید پیام (Message Authentication Check) یا MAC یک الگوریتم ثابت با تولید یک امضاء برروی پیام با استفاده از یک کلید متقارن است. هدف آن نشان دادن این مطلب است که پیام بین ارسال و دریافت تغییر نکرده است. هنگامی که رمزنگاری توسط کلید عمومی برای تایید هویت فرستنده پیام استفاده می‌شود، منجر به ایجاد امضای دیجیتال (digital signature) می‌شود.



۲- الگوریتم‌ها

طراحی الگوریتمهای رمزنگاری مقوله‌ای برای متخصصان ریاضی است. طراحان سیستمهایی که در آنها از رمزنگاری استفاده می‌شود، باید از نقاط قوت و ضعف الگوریتمهای موجود مطلع باشند و برای تعیین الگوریتم مناسب قدرت تصمیم‌گیری داشته باشند. اگرچه رمزنگاری از اولین کارهای شانون (Shannon) در اواخر دهه ۴۰ و اوایل دهه ۵۰ بشدت پیشرفت کرده است، اما کشف رمز نیز پابه‌پای رمزنگاری به پیش آمده است و الگوریتمهای کمی هنوز با گذشت زمان ارزش خود را حفظ کرده‌اند. بنابراین تعداد الگوریتمهای استفاده شده در سیستمهای کامپیوتری عملی و در سیستمهای برپایه کارت هوشمند بسیار کم است.



۱-۲ سیستمهای کلید متقارن

یک الگوریتم متقارن از یک کلید برای رمزنگاری و رمزگشایی استفاده می‌کند. بیشترین شکل استفاده از رمزنگاری که در کارتهای هوشمند و البته در بیشتر سیستمهای امنیت اطلاعات وجود دارد data encryption algorithm یا DEA است که بیشتر بعنوان DES‌ شناخته می‌شود. DES یک محصول دولت ایالات متحده است که امروزه بطور وسیعی بعنوان یک استاندارد بین‌المللی شناخته ‌می‌شود. بلوکهای ۶۴بیتی دیتا توسط یک کلید تنها که معمولا ۵۶بیت طول دارد، رمزنگاری و رمزگشایی می‌شوند. DES‌ از نظر محاسباتی ساده است و براحتی می‌تواند توسط پردازنده‌های کند (بخصوص آنهایی که در کارتهای هوشمند وجود دارند) انجام گیرد.

این روش بستگی به مخفی‌بودن کلید دارد. بنابراین برای استفاده در دو موقعیت مناسب است: هنگامی که کلیدها می‌توانند به یک روش قابل اعتماد و امن توزیع و ذخیره شوند یا جایی که کلید بین دو سیستم مبادله می‌شوند که قبلا هویت یکدیگر را تایید کرده‌اند عمر کلیدها بیشتر از مدت تراکنش طول نمی‌کشد. رمزنگاری DES عموما برای حفاظت دیتا از شنود در طول انتقال استفاده می‌شود.

کلیدهای DES ۴۰بیتی امروزه در عرض چندین ساعت توسط کامپیوترهای معمولی شکسته می‌شوند و بنابراین نباید برای محافظت از اطلاعات مهم و با مدت طولانی اعتبار استفاده شود. کلید ۵۶بیتی عموما توسط سخت‌افزار یا شبکه‌های بخصوصی شکسته می‌شوند. رمزنگاری DESسه‌تایی عبارتست از کدکردن دیتای اصلی با استفاده از الگوریتم DES‌ که در سه مرتبه انجام می‌گیرد. (دو مرتبه با استفاده از یک کلید به سمت جلو (رمزنگاری) و یک مرتبه به سمت عقب (رمزگشایی) با یک کلید دیگر) مطابق شکل زیر:




این عمل تاثیر دوبرابر کردن طول مؤثر کلید را دارد؛ بعدا خواهیم دید که این یک عامل مهم در قدرت رمزکنندگی است.

الگوریتمهای استاندارد جدیدتر مختلفی پیشنهاد شده‌اند. الگوریتمهایی مانند Blowfish و IDEA برای زمانی مورد استفاده قرار گرفته‌اند اما هیچکدام پیاده‌سازی سخت‌افزاری نشدند بنابراین بعنوان رقیبی برای DES برای استفاده در کاربردهای میکروکنترلی مطرح نبوده‌اند. پروژه استاندارد رمزنگاری پیشرفته دولتی ایالات متحده (AES) الگوریتم Rijndael را برای جایگزیتی DES بعنوان الگوریتم رمزنگاری اولیه انتخاب کرده است. الگوریتم Twofish مشخصا برای پیاده‌سازی در پردازنده‌های توان‌ـ‌پایین مثلا در کارتهای هوشمند طراحی شد.

در ۱۹۹۸ وزارت دفاع ایالات متحده تصمیم گرفت که الگوریتمها Skipjack و مبادله کلید را که در کارتهای Fortezza استفاده شده بود، از محرمانگی خارج سازد. یکی از دلایل این امر تشویق برای پیاده‌سازی بیشتر کارتهای هوشمند برپایه این الگوریتمها بود.

برای رمزنگاری جریانی (streaming encryption) (که رمزنگاری دیتا در حین ارسال صورت می‌گیرد بجای اینکه دیتای کدشده در یک فایل مجزا قرار گیرد) الگوریتم RC4‌ سرعت بالا و دامنه‌ای از طول کلیدها از ۴۰ تا ۲۵۶ بیت فراهم می‌کند. RC4 که متعلق به امنیت دیتای RSA‌ است، بصورت عادی برای رمزنگاری ارتباطات دوطرفه امن در اینترنت استفاده می‌شود.



۲-۲ سیستمهای کلید نامتقارن

سیستمهای کلید نامتقارن از کلید مختلفی برای رمزنگاری و رمزگشایی استفاده می‌کنند. بسیاری از سیستمها اجازه می‌دهند که یک جزء (کلید عمومی یا public key) منتشر شود در حالیکه دیگری (کلید اختصاصی یا private key) توسط صاحبش حفظ شود. فرستنده پیام، متن را با کلید عمومی گیرنده کد می‌کند و گیرنده آن را با کلید اختصاصی خودش رمزنگاری میکند. بعبارتی تنها با کلید اختصاصی گیرنده می‌توان متن کد شده را به متن اولیه صحیح تبدیل کرد. یعنی حتی فرستنده نیز اگرچه از محتوای اصلی پیام مطلع است اما نمی‌تواند از متن کدشده به متن اصلی دست یابد، بنابراین پیام کدشده برای هرگیرنده‌ای بجز گیرنده مورد نظر فرستنده بی‌معنی خواهد بود. معمولترین سیستم نامتقارن بعنوان RSA‌ شناخته می‌شود (حروف اول پدیدآورندگان آن یعنی Rivest ، Shamir و Adlemen است). اگرچه چندین طرح دیگر وجود دارند. می‌توان از یک سیستم نامتقارن برای نشاندادن اینکه فرستنده پیام همان شخصی است که ادعا می‌کند استفاده کرد که این عمل اصطلاحا امضاء نام دارد. RSA شامل دو تبدیل است که هرکدام احتیاج به بتوان‌رسانی ماجولار با توانهای خیلی طولانی دارد:

امضاء، متن اصلی را با استفاده از کلید اختصاصی رمز می‌کند؛
رمزگشایی عملیات مشابه‌ای روی متن رمزشده اما با استفاده از کلید عمومی است. برای تایید امضاء بررسی می‌کنیم که آیا این نتیجه با دیتای اولیه یکسان است؛ اگر اینگونه است، امضاء توسط کلید اختصاصی متناظر رمزشده است.
به بیان ساده‌تر چنانچه متنی از شخصی برای دیگران منتشر شود، این متن شامل متن اصلی و همان متن اما رمز شده توسط کلید اختصاصی همان شخص است. حال اگر متن رمزشده توسط کلید عمومی آن شخص که شما از آن مطلعید رمزگشایی شود، مطابقت متن حاصل و متن اصلی نشاندهنده صحت فرد فرستنده آن است، به این ترتیب امضای فرد تصدیق می‌شود. افرادی که از کلید اختصاصی این فرد اطلاع ندارند قادر به ایجاد متن رمز‌شده‌ نیستند بطوریکه با رمزگشایی توسط کلید عمومی این فرد به متن اولیه تبدیل شود.

اساس سیستم RSA این فرمول است: X = Yk (mod r)

که X متن کد شده، Y متن اصلی، k کلید اختصاصی و r حاصلضرب دو عدد اولیه بزرگ است که با دقت انتخاب شده‌اند. برای اطلاع از جزئیات بیشتر می‌توان به مراجعی که در این زمینه وجود دارد رجوع کرد. این شکل محاسبات روی پردازنده‌های بایتی بخصوص روی ۸ بیتی‌ها که در کارتهای هوشمند استفاده می‌شود بسیار کند است. بنابراین، اگرچه RSA هم تصدیق هویت و هم رمزنگاری را ممکن می‌سازد، در اصل برای تایید هویت منبع پیام از این الگوریتم در کارتهای هوشمند استفاده می‌شود و برای نشاندادن عدم تغییر پیام در طول ارسال و رمزنگاری کلیدهای آتی استفاده می‌شود.

سایر سیستمهای کلید نامتقارن شامل سیستمهای لگاریتم گسسته می‌شوند مانند Diffie-Hellman، ElGamal و سایر طرحهای چندجمله‌ای و منحنی‌های بیضوی. بسیاری از این طرحها عملکردهای یک‌ـ‌طرفه‌ای دارند که اجازه تاییدهویت را می‌دهند اما رمزنگاری ندارند. یک رقیب جدیدتر الگوریتم RPK‌ است که از یک تولیدکننده مرکب برای تنظیم ترکیبی از کلیدها با مشخصات مورد نیاز استفاده می‌کند. RPK یک پروسه دو مرحله‌ای است: بعد از فاز آماده‌سازی در رمزنگاری و رمزگشایی (برای یک طرح کلید عمومی) رشته‌هایی از دیتا بطور استثنایی کاراست و می‌تواند براحتی در سخت‌افزارهای رایج پیاده‌سازی شود. بنابراین بخوبی با رمزنگاری و تصدیق‌هویت در ارتباطات سازگار است.

طولهای کلیدها برای این طرحهای جایگزین بسیار کوتاهتر از کلیدهای مورد استفاده در RSA‌ است که آنها برای استفاده در چیپ‌کارتها مناسب‌تر است. اما ‌RSA‌ محکی برای ارزیابی سایر الگوریتمها باقی مانده است؛ حضور و بقای نزدیک به سه‌دهه از این الگوریتم، تضمینی در برابر ضعفهای عمده بشمار می‌رود.

منبع: ircert.com

اينم مقاله دومي :

رمز نگاری : حملات متداول و راه حل های ممکن


مقدمه
ان از اینکه فقط کاربران مجاز،به اطلاعات حساس شرکت و یا ایمیل های شخصی خودشان دسترسی دارند میتوان کار چندان سادهای نباشد با توجه به این حقیقت که به طور متوسط هر کاربر باید حداقل 4الی 5 رمز را بخاطر بیاورد که برخی از این رمزها باید به طور ماهیانه نیز عوض شوند اکثریت کاربران به هنگام انتخاب و یا به خاطر آوردن یک رمز دچار ناامیدی میشوند و کاملا از عواقب کارهایشان به هنگام کنترل داده های حسابشان، ناگاه هستند.
این مقاله بر این ضرورت دارد که چقدر رمزهای امنیتی با وجود شکستنی بودنشان مهم و ضروری هستند همچنین روشهای مختلفی برای ایجاد و پشتیبانی از رمز ها بیان خواهد شد و متدهای جایگزینی ممکن برای این رمزها که به سه دسته Passphrases،Biomectrics وPKI(Public Key Infrastructure) تقسیم میشوند بررسی خواهد شد.
خطرات تحمیلی رمزها:

با وجود اینکه هنوز اکثریت سازمانها و تقریبا 99% کاربران خانگی ،به رمز ها به عنوان اصلی ترین شیوه کنترل منابع شخصی و حساس،وابسته هستند،اما ایجاد،پشتیبانی ناامن و انتقالات در طول شبکه میتواند درهای اطلاعات شخصی و یا سازمانی هر گروه یا دسته ای را بروی هکرها باز کند.
مدیرانی که هوز از الگوی قدیمی پیروی میکنند،فکر میکنند که ضروری ترین و ساده ترین روش برای شناسایی یک کاربر در یا پایگاه داده شان ،استفاده از رمز (Password)است اما حقیقت این است که کاربران با درک این نکته که لازم است رمزشان را دائما تغییر دهند و یا باید رمز امن داشته باشند ویا از برخی دستورالعمل ها پیروی کنند تا حتی الامکان رمزشان را محفوظ نگه دارند ناامید و آزرده خاطر میشوند و نتیجه این میشود که تعداد زیادی رمز های قابل شکستن بوجود آمده که اکثریت آنها روی سیستم های مختلف یکی هستند وحتی یاداشت هایی که حاوی اسم کاربر و رمز عبور میباشد اطراف میز کاربران یافت میشود.
در هر سیستمی،برخی ازکاربران بخصوص،امتیازاتی دارند که دیگران نداسته و یا نداشته باشند با معرفی کردن خودتان روی یک سیستم کامپیوتری و با هر وب سایت مورد نظری،به شما دسترسی کامل به محیط کارتان و اطلاعات شخصی داده خواهند شد اطلاعات ودادههایی که حساس بوده و نمیخواهید عموم مردم به آنها دسترسی داشته باشند درست مثل حالتی که یک کمپانی نمیخواهد به رقبای خود اجازه دسترسی به اینترنت خود را دهد سناریو های نه چندان جالب که در اثر فاش شدن داده های یک حساب (Account)بوجود میآند به شرح زیر میباشند:

Identity theft: دزدی هویت وقتی رخ میدهد که دادهای حساب شما و یا همان(Account) به دست شخص دیگری افتد و او خودش را به جای شما وانمود کرده تا کنترل هویت دیجیتالی شما را بدست گیرد این مساله باعث ایجاد خسارتهای مالی و هم شخصی خواهد شد
Sensitive Data Exposure: (فاش شدن داده های حساس)_محتوای ایمیل های شخصی شما ،پروژه های کاری ،اسناد و مدارک،... کیتواند به دست هکر ناشناس و یا کس دیگری که میخواهد مخصوصا شما را هدف قرار گذفته است، بیفتد
Company Data Exposure: فاش شدن داده های کمپانی)_ دزدیدن اطلاعات داخلی و محرمانه و حساس یک کمپانی در محافظت داده های حساب افراد میتواند تاثیر بدی روی آن کمپانی داشته باشد مه به طور مثال شما برایش کار می کنید:من شک دارم دوستی داشته باشید نقشه ها وبازار یابی شرکتی مه برایش کار میکنید از طریق شما به دست رقبایش بیفتد
Involvement In Criminal Activities: درگیر شدن در فعالیت های جنایی)_استفاده از حساب شما در فعالیت های مختلف جنایی نیز در اثر پیشتیبانی نادرست رمز ها حاصل میشود به خاطر داشته باشید که در این حالت همیشه با ردیابی مجرمین، پای حساب شما و در خود شما به ماجرا کشیده میشوید
توضیح:به نظر من موارد 1 و 2 کاربرد بیشتری داشته و بقیه موارد صرفا جهت اطلاع میباشد
سناریوهای متداول در فاش شدن رمزها:

Physical Security Breach: (شکستن امنیت به طور فیزیکی)_شکستن فیزیکی کامپیوتر شما حتی پیچیده ترین متدهای امنیتی و کد گذاری های دقیق را باز خواهد کرد یک Keylogger(قفل گشای) نرم افزاری وسخت افزاری ممکن است نصب شود و کلید PGP محرمانه شما فاش شود،بنا براین تمام دادههای حسابتان و با داده های کدگذاری شده شما آشکار خواهد شد مهم نیست که رمز شما چه اندازه کاراکتر داشته باشد و یا کاملا ایمن سازی شده باشد،زیرا شکستن فیزیکی رمز یکی از بحرانی ترین شرایط ممکن است.
Unintentionally Shared: (به اشتراک گذاری غیر عمدی)_یک کاربر ممکن است داده های حساب خود را به اشتراک گذارد بدون توجه به این که فاش کردن آن ،احتمال هک شدن توسط غریبه ها را افزایش میدهد معمولا یک رمز تحت شرایط مختلف بین دوستان ،رئیس ها وافراد خانواده به اشتراک گذارده میشود. یک منفعت بیان شده توسط برخی از کاربران برای این کار راحتی دو یا چند نفر است که با دانستن داده های یک حساب بخصوص میتوانند به یک منبع اطلاعتی ویژه دسترسی داشته باشند. همچنین رمزها از طریق بحث در مورد آنها بین همکاران یک شرکت نیز ممکن است به اشتراک گذارده شود به این ترتیب که در این بحث و گفتگو سیاست های اخیر شرکت برای اینتخاب رمز متدهای ی که هر کاربر برای انتخاب رمز خود استفاده کرده است و چگونگی پشتیباتی رمزها بیان میشود، و در بعضی از موارد در مورد این مساله که هرگز مدیریت از روش آنها برای مخفی کردن داده های حسابشان مطلع نخواهند شد صحبت میشود یکی از ساده ترین و بحرانی ترین روش برای دستیابی به دادهای حساس یک شرکت،سوال در مورد آن است، چه بطور مستقیم و یا غیر مستقیم که در حالت موضوعی است که در حال حاضر مورد توجه مهندسی اجتماعی است.
Cracked: ( شکستن)_گاهی اوقات در بعضی از شرایط دزدی،فایل رمز آن هکر شروع به شکستن فایل رمز خواهد شد ،به این ترتیب که تمام ترکیبات ممکن را بکار خواهد برد تا ضعیف ترین رمز را پیدا کرده و بعدا بتواند با استفاده از آن دیگر رمز ها را نیز باز کند در این شرایط که شرکت از دزدیده شدن فایل های رمز خود مطلع میشود باید بلافاصله به تمام کارمندان هشدار داده شود تا رمز های خود را تغییر دهند که حتی اگر ضعیف ترین رمز نیز شکسته شود دیگر اعتبار نداشته باشد گرچه، تگر شرکت از فاش شدن فایل رمز خود بیخبر باشد باید همواره سعی کند که فایل رمز خود را مثل یک هکر شکسته و ضعیف ترین رمز ها را فیلتر گذاری کند.
Sniffed: (تجسس مخفیانه)_آیا شما میدانید که چند کارمند از طریق کامپیوتری که قبلا رمزش شکسته شده و یا از طریق دوستانشان به اطلاعات و دادهای مهم و حساس دسترسی دارند؟
پاورقی:
(( داشتن قویترین رمزها لزوما مخفی ماندن آنها را تضمین نمیکند خصوصا اگر نقل وانتقالات از طریق اینترنت، کاملا ایمن سازی نشده باشد

به کاربران خود خود این توانایی را ندهید که بین متن ساده و یا SSL، یکی را برای رمز گذلری انتخاب کنند.در عوض تمام ارتباطات شبکه را مجبور سازید تا از حالت کد شده استفاده کنند یک توصیه مهم دیگر این است که بای هرکس خصوصیت (Last Login Form)(فرم آخرین اتصال) را فراهم سازید تا اگر متوجه Login بدون اجازه شدند بلافاصله مورد را گزارش دهند.
Gvessed: (حدس زدن)_نعداد زیادی کاربر هنوز هم سیاست های ساختار یافته رمز گذاری را به نحوی با گذاشتن رمز های حسی خود به بازی میگیرند که این روش به ظاهر قوی ولی در عمل ضعیف هنوز هم متداول است وعلتش هم اینست که تعداد کاربران زیادی برای رمز گذاری از کلمه های پیش پا افتاده مانند : (شماره تلفن،شماره شناسنامه،اسم دوست دختر،....)استفاده میکنند. گرچه امروزه به ندرت از این متد در مقایسه با دیگر روش های بحث شده استفاده میشود.
نکته: همیشه این نکته را به خاطر داشته باشید که بعضی از کاربران هنوز از رمزهایی استفاده میکنند که برپایه موضوعات ویا مارک های تجاری اشیای روی میز کارشان میباشد.
متداول ترین خطاها درپشتیبانی رمزها :
1- خاصیت Auto Fill: (پر کردن خودکار)_اکثریت برنامه کاربردی به شما این اجازه را میدهید که رمز ها و دادهای حساب خود را به حافظه بسپارید، اما اگر مطمئن نیستید که ان کامپیوتر کاملا در برابر شکستن فیزیکی رمز ها ایمن سازس شده است جدا از این به شما توصیه میشود که نگذارید به این روش رمزتان در حافظه برنامه باقی بماند مطمئن شوید که این ویژگی در مکان های عمومی مثل کافی نت ها نیز بکار گرفته نشود.
2- یادداشتهای«Post It»(الحاقی)_اغلب اوقات رمزها روی کاغذ نوشته شده و یا بدنر از همه کنار مانیتور و یا روی میز کار گذاشته میشود در این صورت به راحتی توسط مهاجمین احتمالی و یا افراد داخلی قابل مشاهده است.
3- « The Secret Place» (جایگاه مخفی)_خیلی از مردم فکر میکنند که یک جایگاه مخفی را برای خودشان زیر صفحه کلید و یا زیر میز پیدا کرده اند که کاملا فکر اشتباهی است زیرا اگر کسی متوجه شود نه تنها جایگاه مخفی آنها را یاد گرفته بلکه به راحتی میتواند با پرت کردن حواس آنها به رمز و یا حسابشان دست یابد با این وجود از آنجایی که خیلی از افراد دادهای حسابشان را روی کاغذ و یا PDAهای (رایانه دستی) و غیره نگه میدارند استراتژی زیر میتواند کمک بزرگی را در حفظ دادهایشان انجام دهد تا زمانیکه آن رمز یا داده ها را به خاطر بسپارند و آن کاغذ را دور انداخته و از شر آن خلاص شوند:
حداقل 6 یا 7 رمز متفاوت و قلابی را اطراف رمز اصلی یادداشت کنید حتی برخی از رمز ها را خط بزنید حتی رمز حقیقی را. زیرا اگر شانس بیاورید 2 یا 3 بار Login ناموفق باعث بسته شدن حسابتان خواهد شد و اگر یاداشت های شما بدست شخص دیگر افتاد هنوز این شانس را دارید که ممکن است آن شخس رمز حقیقی را پشدا نکند.گر چه این روش تضمین جدی را مهیا نخواهد ساخت واصلا توصیه نمیشود اما یک روش موثر برای کسانی که رمز خود را نا حفظ شدن کامل روی کاغذ نوشته وپیش خود نگاه میدارند.
چگونه یک رمز ایمن را انتخاب کنید:
انتخاب رمزهای ایمن مستلزم این است که بدانید رمزهای غیر امن کدامند.چگونه رمزها شکسته میشوند و پشت سر ایت«حاداقل 8 کاراکتر متشکل از حروف کوچک،بزرگ،اعداد وارقام و کاراکتر های ویژه»چه چیز هایی نهفته است به طور کلی هر چقدر رمز کوتاهتر باشد احتمال حدس زدن وشکستن آن بیشتر میشود یه هکر رمز تمام ترکیبات موجود از حروف و ارقام را بکار خواهد برد تا رمز مورد نظر را کشف کند استفاده ازحروف مختلف الفبا و آعداد(0-9)که به نام «رمز بر پایه اعداد»شناخته شده است باعث میشود احتمال شکسته شدن رمزتوسط هکر کاهش یابد روش متداول استفاده از دیکشنری مانند استکه بعنوان پایگاه داده رمزهای که به شکل لغات لیست شده و در آن دیکشنری میباشند به راحتی توسط هکر قابل شکسته شدن است به همین دلیل است که توصیه میکنم از رمزهای طولانیتر که شامل حروف و ارقام میباشد استفاده کنید تا هکر مجبور شود وقت بیشتری را صرف شکستن فایل رمز دزدیده کند.
هر زمان که رمزی را میسازید نکات زیر را مدنظر داشته باشید:

1- حداقل طول آن 7کاراکتر باشد و در آن از ترکیب حروف کوچک و بزرگ و حداقل یک عدد و کاراکتر های ویژه چون + -()%$#@! و ... استفاده کنید
2- از یک لغت موجود در دیکشنری و یا ترکیب منطقی ازکارکنر ها مثل aaa555ccc ویا123456789استفاده نکنید.
3- سعی کنید رمزی که قبلا روی سیستم دیگری استفاده میکردید را بکار نبرید هر گز از یک رمز برای دسترسی به تمام داده ها و اطلاعات مهم خود در مکانها وسیستم های مختلف استفاده نکنید.
روش های مختلف رمز نگاری قوی اما در عین حال ساده برای به خاطر آوردن به شرح زیر است:

1- از یک لغت موجود در دیکشنری استفاده کرده مانند(Success) ولی آن را برعکس کنید(sseccus)
2-جلو و یا پشت آن لغت چند عدد اضافه کنید مثلا(146sseccus یا sseccus953)
3-همیسه حداقل از یک کاراکتر ویژه در جایی از رمز خود استفاده کنید مثل(=+-()*&^%$#@!)
4-استفاده حداقل یک حرف بزرگ در رمز احتمال شکسته شدن رمز را افزایش میدهد
5-بجای برخی از کاراکتر ها از اعدادی که به آنها مربوط میباشند استفاده کنید:مثلا به جای Securityاز کلمه s3cur1ty استفاده منید3به جای e و1به جای استفاده شده است
6-هر حروف را با یک عدد از هم جدا کنید مثلا(به جای security از این s1e3c5u7r9i2t4y8 اسنفاده کنید)
چگونه رمز ها را حفظ کنیم:
حفظ کردن تعداد مخفی رمز برای کاربرد های گوناگون،مشکل اصلی اکثریت کاربر استبه همبن علت اغلب آنها حفظ کردن رمز را نادیده گرفته،آنها را روی کاغذ نوشته و یا از رمزهای ضعیف ولی آسان برای بخاطر آوردن استفاده میکننداما اگر افراد سعی کنند رمزها را نه بعنوان ترکیبی از کاراکترهای به دردنخور،بلکه روشی برای مشخص کردن هویتشان درست مثل زمانی که از دستگاه خود پرداز پول میگیرند حفظ کنند به خاطر آوردن این رمزها ساده خواهد شد زیرا در این حالت داده های شخصی وشرکتشان است که باید سعی در محافظت آن کنند
1- مربوط کردن رمزها به یکدیگر:ارنباط رمزها نقش مهمی در حفظ کردن آنها بازی میکند با صرف یک زمان مشخص،حتی میتوانید از یک آدم ژاپنی یاد بگیرید آکر آن شخص بفهمد که شما چه روشی را برای حفظ کردن استفاده میکنید و از همه مهمتر چگونه چیزها را مربوط میسازید دیدن رمز،یک روش بسیار مهم دیگر برای حفظ کردن آن است و ظرف مدت کوتاهی حتی بدون اینکه فکر کنید چه چیزی را تایپ میکنید به راحتی رمز را وارد خواهید کردن یک عادت موقت با توجه به این حقیقت که اکثریت سازمانها وشرکت ها دائما رمزهای خود را تغییر میدهند
2- رمز ها را برای خودتان توضیح دهید:برای مثال رمزY13#tiruceS در حقیقت همان لغت security است که وارونه نوشته شده و اولین وآخرین حرف آن بزرگ بوده و بعد از حرف اول عدد تاریخ تولد دوستتان آمده و بعد یکی از کاراکتر های ویژه استفاده شده است به جای یک مشت کاراکتر های نامربوط حالا شما به زبان کدگذای خودتان نوشته شده است
راه حلهای ممکن :
وقتی متد های رمز نگاری را در هر دو سطح سیاست های ایمن سازی و شبکه،ضروری میکنید اکثریت کاربران ثابت کرده اند که در ایجاد و نگهداری رمزهای قوی وقابل اطمینان نمیباشند بخش خدمات شرکتها، غالبا گرفتارتراز این هستند که تقاضای مربوط به «یافتن رمزهای فراموش شده» را پاسخ دهند و اگر شرکت آگاهی های لازم در خصوص سیستم رمز نگاری را ندهد این مشکل همچنان رشد خواهد کرد.
Passphrases :
Passphrases ها راحت تر میتوان به خاطر آورد ولی ظاهرا شکستن آنها غیر ممکن است اکثر نرم افراهای کدگذاری ازشما میخواهند که از یک Passphrases بعنوان کلید شخصی خود به جای رمز استفاده کنید
Passphrases ها معمولا شبه جمله ای هستند که شما همیشه یاد میاورید،مثلا یک شعار ،یک جمله مرد علاقه و یا ترکیبی از اعداد و حروف وکاراکتر های ویژه گرچه مجازا نمیتوان Passphrases ها رابا استفاده از یک KeyLogger(قفل گشا) میتوان باز کرد و یا به هنگام ارتباطات شبکه ای از طریق ردو بدل متن ساده آنها را حدس زد.
Biomectrics:
Biomectrics ها نسل بعدی متدهای کدگذاری هستند با وجود اینکه هنوز به دلیل هزینه های مربوطه در مراحل اولیه پیاده سازی هستند و گاهی اوقات نیز نتایج اشتباه به بار میاورند اما Biomectrics
ها روشی را که ما خودمان را مجاز به استفاده از چیزی میکنیم، تغییر خواهند داد و احتمالا دقتشان99%خواهد بود Biomectricsرا نمیتوان دزدید،فراموش کرد و یا به شخص دیگری داد سیستم های Biomectrics میتواند شامل سیستم های زیر باشد:
سیستمهای انگشت نگاری،تشخیص صدا ،اسکن شبکیه چشم ، تشخیص نقوش کفدست و تشخیص دست خط.
PKI(Public Key Infrastructure):

توابعPKI(ساختارهای کلید عمومی)به کاربران و سرورها این توانایی را میدهد که با هم ارتباط داشته،خود را شناسایی کرده و هویت خود را توسط مدارک دیجیتالی مشخص کنند که هر یک شامل کایدهای عمومی وشخصی است.
کلید عمومی برای هرکس که میخواهد داده ها را با شخص دیگری مبادله کند در دسترس قرار میگیرد و کلید شخصی تنها روش برای باز کردن کد و یا تشخیص هویت صحصیح است.PKI خصوصا به هنگام ارتباط از طریق شبکه های ناامن مثا اینترنت و یا سرورهای داخلی مفید واقع میشود.
با وجود اینکه متداول ترین روش برای شناسایی یک کاربر از گذشته بسیار دور،استفاده رمز بوده است اما کاربران و سازمان ها متوجه ضعف این روش شده ئ تدریجا در حال تغییر روش خود و استفاده از متدهای دیگر هستند کدگذاری مهمترین قدم بعدی برای اکثر شرکتهای کوچک و متوسط خواهد بود و هم چنین استفاده از متدهای مختلف Biomectrics در سر فصل این تغییرات قرار خواهد گرفت.
در پایان با امید به رضایت این مقاله شما عزیزان رو به خدا میسپارم

منبع: کتاب ؛امنیت، شرط هر کار

جناب آقای hatef_4541 !
ظاهرا مقاله خیلی خوبی هست ...
از شما بابت این مقاله تشکر می کنم ...
من هنوز دقیق نخوندم ، به خاطر همین گفتم (( ظاهرا ))
در هر صورت دوباره از شما تشکر می کنم

امکانش هست که به صورت pdf اپلود کنی؟
لطفا؟

سيد علي جان با اين سرعت كم اينترنت و هزينه تلفن من سعي ميكنم هميشه از آپلود پرهيز كنم. چشم. اين بار واسه شما درست ميكنم ! صبر كن چند مقاله در همين موضوعات هست اونا رو بذارم بعد همه رو با هم تو Pdf ميذارم! :)

دستت درد نکنه اونم خیلی
پس منتظریم واسه اپلود :laughing:

دوست عزيز ميتوني در اين تاپيك به صورت PDF لينك رو برداري:

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

:)

خیلی ممنون از لطفت

tnx a lot:11: