رمزنگاری چیست و چگونه کار میکند؟

رمزنگاری (encryption) با مخلوط کردن محتوا، امنیت پیام یا فایل را افزایش میدهد. برای رمزنگاری یک پیام، شما به یک رمز (کلید) مناسب نیاز دارید و برای رمزگشایی آن نیز به رمز صحیح احتیاج دارید.

این موثرترین روش برای پنهان کردن ارتباطات از طریق اطلاعات رمزگذاری شده است در جایی که فرستنده و گیرنده کلید رمزگشایی داده‌ها را دارند.

رمزگذاری مانند ارسال پیامهای مخفی بین طرفین است- اگر کسی بدون کلیدهای مناسب سعی در فضولی داشته باشد، نمیتواند پیام را درک کند و به دو روش وجود دارد: رمزنگاری متقارن و نامتقارن.

• متقارن که به رمزنگاری کلید مخفی نیز معروف است، مربوط به فرستنده و گیرنده است که همان کلیدها را برای رمزگذاری و رمزگشایی پیام دارند.
• نامتقارن یا رمزنگاری کلید عمومی، از آنچه که جفت کلید نامیده میشود- کلید عمومی برای رمزنگاری پیام و کلید خصوصی برای رمزگشایی- از آن استفاده میکند‌

اهمیت رمزنگاری در حفاظت از اطلاعات

هنگامیکه کلمه رمزگذاری (encryption) را میشنوید، اولین چیزی که ممکن است به ذهن شما خطور کند این است که چیزیست که فقط متخصصین میتوانند آنرا درک کرده یا از آن استفاده کنند.

در واقع، ایده رمزگذاری چندان پیچیده نیست. رمزنگاری سیستمی از الگوریتمهای ریاضی است که داده‌های کاربر را رمزگذاری میکند تا فقط گیرنده موردنظر بتواند آنرا بخواند.

اما قبل از اینکه تصمیم بگیرید این روش را برای راههای دیگر محافظت از ارتباطات آنلاین خود به تعویق بیندازید، چند مثال ممکن است شما را متقاعد کند که رمزگذاری (encryption) یکی از بهترین روشها برای محافظت از حریم خصوصی شماست، حتی در مواقعی که فکر میکنید این کار مهم نیست.

تماس تلفنی، ایمیل، خرید آنلاین، شبکه‌های اجتماعی و مرورگرها، فعالیتهای آنلاینی هستند که دیگر نمیتوانیم بدون آنها زندگی کنیم.

در حالیکه ما دائماً بصورت آنلاین اطلاعات را جستجو یا به اشتراک میگذاریم، اطلاعات ما اساساً در “جایی” ذخیره میشوند. اکثر افراد مطمئن نیستند که “جایی” کجاست، اما این داده‌ها فقط باید در اختیار ارائه دهنده خدمات باشد که مکالمه شما را انجام میدهد.

با این وجود میتواند برای شرکتهای مخابراتی که بسته‌های اینترنتی شما را حمل میکنند قابل مشاهده باشد و ارتباطات ظاهراً خصوصی و ایمن شما رهگیری شود.

همانطور که بسیاری از موارد ثابت شده است، داده‌های کاربر و شرکت بطور فزاینده‌ای توسط هکرها و مجرمان سایبری هدف قرار میگیرد که منجر به نقض داده‌ها و حملات هدفمند میشود.

این دلیل به تنهایی میتواند بعنوان هشدار کافی برای کسانی باشد که محافظت از ارتباطات خود را از طریق رمزگذاری (encryption) در نظر نگرفته اند.

اتصال شما رمزگذاری میشود

استفاده از Wi-Fi برای اتصال به اینترنت راحت است، اما از نظر امنیت، همیشه یک داد و ستد وجود دارد، زیرا قطع دسترسی از هر ارتباطی، برای یک متجاوز دشوار نخواهد بود، و میتواند منجر به سرقت اطلاعات کاربر و سایر اطلاعات حساس شود.

بهمین دلیل است که بسیاری از وبسایت‌ها از پروتکلی به نام HTTPS برای رمزگذاری (encryption) داده‌هایی که بین سایتها ارسال میشود استفاده میکنند.

اگرچه این لزوماً امنیت مطلق را تضمین نمیکند، اما خطرات کاهش می‌یابند زیرا اطلاعات منتقل شده فقط توسط سایتی که به آن ارسال شده رمزگشایی میشود.

رمزگذاری داده های شما

وقتی صحبت از داده‌های شما میشود، هدف اصلی از رمزگذاری (encryption) داده‌های ذخیره شده در رایانه و دستگاههای شما- حتی اگر پسوردهای بکاپ یا رمزهای ایمنی ایجاد کرده باشید- اطمینان از حریم خصوصی، محافظت از اطلاعات و امنیت مالکیت معنوی شماست.

این همچنین بعنوان رمزنگاری نقطه پایانی شناخته میشود، که اساساً یک لایه محافظت اضافی برای اطلاعات محرمانه موجود در رایانه شخصی و دستگاههای شما، داده‌های ذخیره شده در مدیاهای قابل جابجایی مانند USB، CD، DVD یا فایلها و فولدرهای خاص اضافه میکند.

انتخاب اینکه چه چیزی رمزگذاری شود

قبل از اینکه سازمانها در مورد نحوه رمزگذاری تصمیم بگیرند، لازمست تعیین کنند که چه چیزی باید رمزگذاری شود.

تهیه یک برنامه رمزگذاری باید بخشی از فرآیند برنامه ریزی مدیریت ریسک و مدیریت داده‌های کل شرکت باشد.

یک رویکرد جامع که بطور خاص در نظر میگیرد کدام مجموعه داده‌ها باید رمزگذاری شوند و نحوه کارکرد مدیریت کلید، کارایی و اثربخشی بیشتری را برای یک سازمان فناوری اطلاعات ایجاد میکند.

یک استاندارد جهانی واحد برای این اقدام بطور مداوم وجود ندارد. یک رویکرد موفق، به حساسیت و سطح ریسک اطلاعات سازمان و روشهای ذخیره اطلاعات آن بستگی دارد.

اولین قدم، درک انواع مختلف رمزگذاری است و اینکه چه کاری میتواند انجام دهد و چه کاری نمیتواند انجام دهد.

سه وضعیت داده

برای ایمن بودن داده‌ها، باید از آنها در طول چرخه عمر محافظت شود. بنابراین مهم است که وضعیت داده‌هایی را که میخواهید محافظت کنید در نظر بگیرید:

• داده‌های در حالت استراحت: در فضای ذخیره سازی خود یا در دسکتاپها، لپ تاپها، تلفنهای همراه، تبلتها و اکثر دستگاهها.
• داده در حال حرکت: از طریق شبکه منتقل میشود.
• داده‌ها در حالت استفاده: در حال تولید، بروز رسانی، پاک کردن یا مشاهده است.

هر نوع داده چالشهای منحصر بفردی را ارائه میدهد و هر یک ممکن است ابزارها و روشهای مختلفی داشته باشد که میتواند برای ایمن سازی آن استفاده شود.

رمزگذاری داده های در حالت استراحت

شامل رمزگذاری:

• فایل سیستم برای محافظت از ذخیره‌سازی
• مجازی برای محافظت از فضای ذخیره‌سازی
• فایل و فولدر برای محافظت از داده‌های بدون ساختار
• دیتابیس برای محافظت از داده‌های ساخت یافته
• کامل دیسک با تأیید اعتبار قبل از بوت برای محافظت از نقطه پایانی
• ماژول امنیتی سخت افزار برای حفاظت از چرخه عمر مدیریت کلیدی

 رمزگذاری داده های در حال حرکت

• شبکه خصوصی مجازی برای دسترسی از راه دور
• دسترسی محافظت شده Wi-Fi برای دسترسی بی‌سیم
• لایه سوکتهای امن (SSL) برای مرورگر وب به ارتباطات سرور
• Secure Shell (SSH) برای مدیریت ایمن سیستمهای از راه دور

متداولترین روش برای محافظت از داده‌های در حال حرکت، استفاده از شبکه خصوصی مجازی لایه سوکتهای امن(SSL VPN)  است.

فناوری‌هایی مانند SSL VPN برای محافظت در برابر حملات انسان و بسته‌های مخرب بسیار مهم هستند.

 رمزنگاری داده های در حال استفاده

رایانش ابری نیاز به ایمن سازی داده‌ها را هنگام استفاده فراهم میکند، زیرا ارائه دهندگان شخص ثالث بطور فزاینده ای داده‌ها را میزبانی و پردازش میکنند.

اما محافظت از داده‌ها در حال استفاده، سخت‌ترین است، زیرا برای استفاده از آنها تقریباً همیشه باید رمزگشایی شوند و در نتیجه در معرض دید قرار گیرند‌

رمزنگاری ایمیل

متداول ترین نوع رمزگذاری برای محافظت از ایمیل، رمزگذاری نامتقارن یا زیرساخت کلید عمومی (PKI) است.

PKI بصورت گسترده برای مدیریت توزیع و اعتبارسنجی کلید (کلمه عبور) استفاده میشود و شامل موارد زیر است:

• مرجع صدور گواهینامه (CA) که گواهینامه‌های دیجیتالی را صادر و تأیید میکند. گواهی یک سند الکترونیکی است که برای اثبات مالکیت یک کلید (کلمه عبور) عمومی استفاده میشود.
• مرجع ثبت (RA) که قبل از صدور گواهینامه دیجیتال برای درخواست کننده، بعنوان تأیید کننده مرجع صدور گواهینامه عمل میکند.
• یک یا چند دایرکتوری که گواهینامه‌ها (با کلیدهای عمومی آنها) در آنها نگهداری میشود.
• سیستم مدیریت گواهی.

ایجاد استراتژی خود

ضروریست که به یاد داشته باشید که پروژه رمزگذاری (encryption) شما و بطور کلی امنیتIT  یک فرآیند است، نه یک محصول. رمزگذاری موثر به زمان نیاز دارد.

علاوه بر بررسی دقیق حالتهای داده و تکنیکهای رمزگذاری، هفت عنصر اصلی میتوانند به شما کمک کنند تا یک رویکرد موفقیت آمیز از ابتدا به پایان را ایجاد کنید:

1. همکاری

ایجاد یک استراتژی رمزگذاری نیاز به یک تلاش مشترک دارد. با گرد هم آوردن ذینفعان اصلی داده ها شروع کنید.

برای شناسایی مقررات، دستورالعمل‌ها و تأثیرات خارجی که در تصمیم گیری های خرید و اجرا موثر هستند، کار کنید. از آنجا میتوانید به سمت شناسایی مناطق پرخطر مانند لپ تاپها، دستگاههای تلفن همراه، شبکه‌های بی سیم و بکاپ گیری از داده‌ها حرکت کنید.

2. طبقه بندی داده‌ها

استفاده از رمزنگاری (encryption) بعنوان بخشی از تلاشهای گسترده شما در زمینه امنیت IT مهم است. شرکتهایی که برنامه طبقه بندی و/ یا اولویت بندی داده‌های موثر ندارند، تمایل دارند با رمزگذاری داده‌ها دست و پنجه نرم کنند.

سیاستها و ابزارهای طبقه بندی داده‌ها، تفکیک اطلاعات ارزشمندی را که ممکن است بیش از اطلاعات کم ارزش مورد هدف قرار گیرند، تسهیل میکنند.

از ابزارهای طبقه بندی میتوان برای بهبود روش استفاده از داده‌های حساس و ارتقاء فرهنگ امنیتی استفاده کرد که به اجرای پالیسی‌های مدیریت داده و جلوگیری از افشای سهوی کمک میکند.

متا داده‌های طبقه بندی را میتوان با نرم افزار جلوگیری از دست دادن داده‌ها (DLP)، رمزنگاری و سایر راه حلهای امنیتی برای تعیین اینکه کدام اطلاعات حساس است و چگونه باید محافظت شود، جمع آوری نمود‌

3. مدیریت کلید

از کلمات عبور (کلید) خود محافظت کنید. اگر کلیدها و گواهینامه‌ها بدرستی ایمن نباشند، سازمان برای حمله باز است، مهم نیست که چه کنترلهای امنیتی وجود دارد.

ضروریست که سازمانها بفهمند چه کلیدها و گواهینامه‌هایی در شبکه استفاده میشوند، چه کسی به آنها دسترسی دارد و چگونه و چه زمانی از آنها استفاده میشود.

اولین قدم برای جمع آوری اطلاعات، شناخت دقیق موجودی سازمان با مدیریت متمرکز کلیدها و گواهینامه‌ها است. به شما این امکان را میدهد که رفتارهای غیرعادی را تشخیص دهید.

4. یافتن راه حل مناسب برای محیط خود

هنگامیکه نیازهای مدیریت کلیدی خود را ایجاد کردید، زمان ارزیابی و اجرای راه حلهای رمزنگاری فرا رسیده است. گزینه‌ها و فاکتورهای زیادی وجود دارد که باید درنظر گرفته شود.

رویکرد ” قبل از خرید، سعی کنید” بهتر است زیرا آنچه برای یک سازمان مفید است ممکن است برای سازمان دیگری مفید نباشد.

سازمانها باید با یک شرکت مستقل از فروشنده که میتواند به بررسی راه حلهای بالقوه کمک کند همکاری نموده تا بهترین تناسب را برای محیط خود پیدا کنند.

5. کنترل دسترسی

اطمینان از اینکه فقط کاربران مجاز میتوانند به داده‌ها دسترسی پیدا کنند، و تلاش برای جلوگیری از دستکاری توسط افراد در داخل یا خارج از سازمان، امری حیاتی است.

یک استراتژی رمزنگاری موفق، با استفاده از ترکیبات کافی مجوزهای فایلها، پسوردها و احراز هویت دو عاملی، تکنیک‌های کنترل دسترسی قوی را تعریف میکند.

کنترلهای دسترسی باید بطور منظم کنترل شوند تا از اعتبار آنها اطمینان حاصل شود.

6. پیامدها

قبل از استقرار، باید یک سیاست کتبی تدوین شود، توسط مدیریت تأیید شود و به کاربران نهایی، از جمله شرکای تجاری و اشخاص ثالث (از جمله ارائه دهندگان ابر) که داده‌های حساس را کنترل میکنند، ابلاغ شود.

اگر آنها نتوانند سیاستهای شرکت شما را برآورده کنند، داده‌های شما را دریافت نمیکنند. در غیر اینصورت، با مشکل مطابقت روبرو میشوید. مسئولیت رمزگذاری باید مشخص باشد و عواقب عدم تطابق را به همراه داشته باشد.

7. رمزگشایی SSL

در حالیکه رمزگذاری یک روش عالی برای محافظت از داده‌ها است، اما همچنین یک روش عالی برای پنهان کردن تهدیدات است.

اکثر کنترلهای امنیتی شبکه نمیتوانند ترافیک HTTPS (SSL) را رمزگشایی و بازرسی کنند.

از آنجا که برنامه‌های بیشتری (فیسبوک، توییتر، یوتیوب و..) برای کمک به امنیت کاربران به رمزنگاری SSL روی می‌آورند، ناخواسته توانایی شرکتها را برای اطمینان از عدم ورود کد مخرب به ترافیک شبکه مختل میکنند و مهاجمان سایبری از این آسیب‌پذیری سوء‌استفاده میکنند.

بنابراین هنگام انتخاب راه حلهای مناسب رمزگذاری برای سازمان خود، لازمست که فناوری رمزگشایی SSL را نیز در نظر داشته باشید تا از ورود به داده‌های مهم در نقاط ورود و خروج اطمینان حاصل کنید.

چرا ما به رمزنگاری احتیاج داریم؟

در حالیکه رمزگذاری به طرز جادویی امنیت را منتقل نمیکند، اما همچنان میتواند برای محافظت از هویت و حریم خصوصی کاربر مورد استفاده قرار گیرد.

اگر بطور خواسته یا ناخواسته تحت تماشا قرار بگیریم، میتوانیم با استفاده از سیستمهای رمزنگاری شده بدرستی داده‌های خود را پنهان کنیم.

رمزنگاری داده‌های حساس در صورتیکه با مدیریت کلید، کنترل دسترسی و رمزگشایی SSL همراه باشد، میتواند به امنیت ROI سازمان افزوده و درصورت نقض، داده‌ها را بی فایده خواهد کرد.

به گفته بروس اشنایر رمزنگار و متخصص امنیت و حریم خصوصی، “رمزگذاری در همه جا و خودکار بهترین عملکرد را دارد. این ویژگی باید بطور پیشفرض برای همه فعال باشد، نه ویژگی که فقط وقتی کاری را انجام میدهید که ارزش محافظت از آن را داشته باشید.”