هکر 21 ساله ایرانی موفق به رمزگشایی الگوریتم گواهینامه های SSL شد.
به گزارش خبرنگار بولتن نیوز،
این هکر که پس از رمزگشایی در نامه ای بلند به جهان نوشته که بدون کمک فرد
یا سازمانی است و به تنهایی این کار را انجام داده است ذکر کرده من هکری
هستم با تجربیات هزاران هکر ، و برنامه نویسی هستم با تجربیات هزاران
برنامه نویس، این هکر همچنین خود را مستقل از ارتش سایبری ایران دانسته و
نوشته که من هیچ ارتباطی با این گروه نداشته و فعالیت خود را به صورت
مستقل انجام می دهم.
در قسمتی دیگر از این نامه ذکر شده است زمانی
که امریکا و اسراییل ویروس استاکس نت را ایجاد کرد ، هیچ شخصی در باره این
موضوع حرفی نزد ، هیچ مقصری پیدا نشد ، و هیچ اتفاقی رخ نداد ولی زمانی که
من اینکار را انجام دادم باید چیزی رخ دهد ؟ زمانی که من اینکار را کردم
هیچ اتفاقی رخ نداد و این یک معامله ساده بود.
همچنین در قسمتی از نامه سن خود را 21 سال ذکر کرده است .
از نکات قابل توجه در این نامه این بود که در پایان نامه به فینگلیش ذکر کرده است : Janam Fadaye Rahbar ( جانم فدای رهبر )
شرکت
های مسئول که سخت در شگفت این عملیات هوشمندانه بوده اند سعی بر سطحی نشان
دادن موضوع نمودند ، این شرکت ها پس از 7 روز متوجه رمزنگاری شدند و پس از
آن سریع اقدام به تغییر الگوریتم های رمز نگاری کردند .
اس اس ال چیست ؟از
این پرتکول برای امن کردن پرتکول های غیرامن مانند HTTP ، LDAP ، IMAP و …
استفاده می شود. در حقیقت SSL بر این اساس یکسری الگوریتم های رمزنگاری بر
روی داده های خام قرار می دهد که قرار است یک کانال ارتباطی غیرامن بگذرد
تا محرمانه ماندن داده ها تضمین شود. به بیان دیگر شرکتی که صلاحیت صدور و
اعطاء گوهینامه دیجیتال SSL را دارد برای هر کدام از دو طرفی که قرار است
ارتباطات بین شبکه ای را امن کنند. این مدارک باید احراز هویت کاربران را
تایید کنند و از هر طرف گواهینامه تایید شود. اگر اطلاعات حین انتقال به
سرقت رفت برای رباینده قابل درک نیست که این کار به صورت الگوریتم های
رمزنگاری و کلیدهای رمزنگاری نامتقاران و متقاران انجام می دهد.
برای
داشتن ارتباطات امن مبتنی بر SSL ، عموما به دو نوع گواهی دیجیتال SSL ،
یکی برای سرویس دهنده و دیگری برای سرویس گیرنده و هم چنین یک مرکز صدور و
اعطای گواهینامه دیجیتال (Certificate authorities) که به اختصار CA نامیده
می شود، نیاز است. وظیفه CA این است که هویت طرفین ارتباط نشانی ها، حساب
های بانکی و تاریخ انقضای گواهینامه را بداند و بر اساس آن ها هویت ها را
تعیین نماید.
رمزنگاریرمزنگاری
(Cryptography) ، علم به رمز در آوردن (Encryption) اطلاعات است. البته
بدیهی است که توضیح روش های پیچیده ای که امروزه برای رمزنگاری استفاده می
شود از حوصله و این مطلب خارج است. برای مثال زدن در ادامه به یکی از ساده
ترین روش های رمزنگاری می پردازیم:
می دانیم هر حرف الفبا جایگاهی دارد
مثلا حرف «B قبل از A» و حرف «M بعد از N» قرار دارد. حالا برای مثال یک
جمله مثل My Site را می خواهیم رمز نگاری کنیم. حالا هر حرف را به حرف قبلی
برمیگردانیم. جمله ما می شود: Nx Rhsd به نظر شما معنی دارد؟ این جمله
طوری کد گذاری شده که شما می دانید! اما هکر های حرفه ای باهوش تر از این
حرف ها هستند! به راحتی می توانند الگوریتم ساده ی شما را شناسایی و هک
کنند!
SSL چگونه کار می کند؟SSL
در واقع پروتکلی است که در آن ارتباطات به وسیله یک کلید ، رمز گذاری
(Encryption) می شوند. لازم به ذکر است زمانی که قرار است یکسری اطلاعات به
صورت SSL به یک سایت که سرور آن گواهینامه SSL را دارد (ابتدای آدرس سایت
https باشد) ازسال شود ، ابتدا باید از یک کلید به عنوان قالبی برای به رمز
درآوردن اطلاعات بین خدمات گیرنده (Client) و خدمات دهنده (Server)
استفاده شود. برای ساخت این کلید نیاز به چند مرحله هماهنگی به شرح زیر
است.
• وقتی سرور بخواهد پروتکل SSL را فعال کند ابتدا یک کلید عمومی (Public Key) می سازد.
•
سپس کلید عمومی را همراه با یک درخواست گواهینامه SSL به یکی از
صادرکنندگان این گواهینامه مثل وریساین (Verisign) ارسال می کند.
•
وریساین نیز ابتدا مشخصات و میزان قابل اعتماد بودن و امنیت سرور را
ارزیابی کرده و کلید عمومی را دوباره رمزگذاری می کند و برای سرور می فرستد
تا در انتقال اطلاعات خود از آن استفاده کند. به این کلید جدید کلید خصوصی
یا امنیتی (Private Key) می گویند.
• حال هر زمان که کاربر بخواهد
از طریق پرتکول SSL به این سایت دست یابد ، ابتدا کامپیوتر کاربر یک کلید
عمومی برای سرور می فرستد (هر کامپیوتر کلید مخصوص به خود را دارد).
• سرور نیز این کلید عمومی را با کلید امنیتی خود مخلوط کرده و از آن کلید جدیدی می سازد سپس آن را به کامپیوتر کاربر می فرستد.
• از این به بعد تمامی اطلاعاتی که رد و بدل می شوند با این کلید جدید رمزنگاری می شوند.
البته
واضح است که نیازی به دانستن تمام این جزییات نیست و ما جهت رفع کنجکاوی
آن ها را توضیح دادیم. فقط این را بدانید که با استفاده از این سرویس
اطلاعات کاملا رمزنگاری شده و بازکردن آن ها تقریبا غیرممکن است. ضمن این
که تنها وظیفه شما این است که از این امکانات استفاده کنید و پرتکول SSL را
در مرورگر برای ایمیل و دیگر حساب های خود که سرور به شما این امکان را می
دهد فعال کنید. اگر شما هم مدیر یک سرور هستید سعی کنید گواهینامه پرتکول
SSL را از صادرکنندگان آن مثل Verisign و Thawte خریداری و در اختیار
کاربران و خدمت گیرندگان خود بگذارید.
چه طور می توانیم مطمئن شویم یک سایت از SSL استفاده می کند؟این
بخش خیلی ساده در عین حال حیاتی و مهم است. برای این کار به وب سایت
موردنظر وارد شوید سپس زمانی که سایت کاملا بارگذاری شد به ابتدای آدرس آن
نگاه کنید اکنون می بایست به جای http عبارت https را ببینید (منظور از حرف
s در پایان http، عبارت Secure است).
با سپاس
برای کسی که کارش تو این حوزه اس نوشته فوق فاقد هر گونه ارزشی هست و هیچ چی رو نشون نمیده