رمزنگاری چیست و چگونه کار میکند؟

رمزنگاری (encryption) با مخلوط کردن محتوا، امنیت پیام یا فایل را افزایش میدهد. برای رمزنگاری یک پیام، شما به یک رمز (کلید) مناسب نیاز دارید و برای رمزگشایی آن نیز به رمز صحیح احتیاج دارید.

این موثرترین روش برای پنهان کردن ارتباطات از طریق اطلاعات رمزگذاری شده است در جاییکه فرستنده و گیرنده کلید رمزگشایی داده‌ها را دارند.

رمزگذاری مانند ارسال پیامهای مخفی بین طرفین است- اگر کسی بدون کلیدهای مناسب سعی در فضولی داشته باشد، نمیتواند پیام را درک کند و به دو روش وجود دارد: رمزنگاری متقارن و نامتقارن.

• متقارن که به رمزنگاری کلید مخفی نیز معروف است، مربوط به فرستنده و گیرنده است که همان کلیدها را برای رمزگذاری و رمزگشایی پیام دارند.
• نامتقارن یا رمزنگاری کلید عمومی، از آنچه که جفت کلید نامیده میشود- کلید عمومی برای رمزنگاری پیام و کلید خصوصی برای رمزگشایی- از آن استفاده میکند‌

اهمیت رمزنگاری در حفاظت از اطلاعات

هنگامیکه کلمه رمزگذاری (encryption) را میشنوید، اولین چیزی که ممکن است به ذهن شما خطور کند این است که چیزیست که فقط متخصصین میتوانند آنرا درک کرده یا از آن استفاده کنند.

در واقع، ایده رمزگذاری چندان پیچیده نیست. رمزنگاری سیستمی از الگوریتمهای ریاضی است که داده‌های کاربر را رمزگذاری میکند تا فقط گیرنده موردنظر بتواند آنرا بخواند.

اما قبل از اینکه تصمیم بگیرید این روش را برای راههای دیگر محافظت از ارتباطات آنلاین خود به تعویق بیندازید، چند مثال ممکن است شما را متقاعد کند که رمزگذاری (encryption) یکی از بهترین روشها برای محافظت از حریم خصوصی شماست، حتی در مواقعی که فکر میکنید این کار مهم نیست.

تماس تلفنی، ایمیل، خرید آنلاین، شبکه‌های اجتماعی و مرورگرها، فعالیتهای آنلاینی هستند که دیگر نمیتوانیم بدون آنها زندگی کنیم.

در حالیکه ما دائماً بصورت آنلاین اطلاعات را جستجو یا به اشتراک میگذاریم، اطلاعات ما اساساً در “جایی” ذخیره میشوند. اکثر افراد مطمئن نیستند که “جایی” کجاست، اما این داده‌ها فقط باید در اختیار ارائه دهنده خدمات باشد که مکالمه شما را انجام میدهد.

با این وجود میتواند برای شرکتهای مخابراتی که بسته‌های اینترنتی شما را حمل میکنند قابل مشاهده باشد و ارتباطات ظاهراً خصوصی و ایمن شما رهگیری شود.

همانطور که بسیاری از موارد ثابت شده است، داده‌های کاربر و شرکت بطور فزاینده‌ای توسط هکرها و مجرمان سایبری هدف قرار میگیرد که منجر به نقض داده‌ها و حملات هدفمند میشود.

این دلیل به تنهایی میتواند بعنوان هشدار کافی برای کسانی باشد که محافظت از ارتباطات خود را از طریق رمزگذاری (encryption) در نظر نگرفته اند.

اتصال شما رمزگذاری میشود

استفاده از Wi-Fi برای اتصال به اینترنت راحت است، اما از نظر امنیت، همیشه یک داد و ستد وجود دارد، زیرا قطع دسترسی از هر ارتباطی، برای یک متجاوز دشوار نخواهد بود، و میتواند منجر به سرقت اطلاعات کاربر و سایر اطلاعات حساس شود.

بهمین دلیل است که بسیاری از وبسایت‌ها از پروتکلی به نام HTTPS برای رمزگذاری (encryption) داده‌هایی که بین سایتها ارسال میشود استفاده میکنند.

اگرچه این لزوماً امنیت مطلق را تضمین نمیکند، اما خطرات کاهش می‌یابند زیرا اطلاعات منتقل شده فقط توسط سایتی که به آن ارسال شده رمزگشایی میشود.

رمزگذاری داده های شما

وقتی صحبت از داده‌های شما میشود، هدف اصلی از رمزگذاری (encryption) داده‌های ذخیره شده در رایانه و دستگاههای شما- حتی اگر پسوردهای بکاپ یا رمزهای ایمنی ایجاد کرده باشید- اطمینان از حریم خصوصی، محافظت از اطلاعات و امنیت مالکیت معنوی شماست.

این همچنین بعنوان رمزنگاری نقطه پایانی شناخته میشود، که اساساً یک لایه محافظت اضافی برای اطلاعات محرمانه موجود در رایانه شخصی و دستگاههای شما، داده‌های ذخیره شده در مدیاهای قابل جابجایی مانند USB، CD، DVD یا فایلها و فولدرهای خاص اضافه میکند.

انتخاب اینکه چه چیزی رمزگذاری شود

قبل از اینکه سازمانها در مورد نحوه رمزگذاری تصمیم بگیرند، لازمست تعیین کنند که چه چیزی باید رمزگذاری شود.

تهیه یک برنامه رمزگذاری باید بخشی از فرآیند برنامه ریزی مدیریت ریسک و مدیریت داده‌های کل شرکت باشد.

یک رویکرد جامع که بطور خاص در نظر میگیرد کدام مجموعه داده‌ها باید رمزگذاری شوند و نحوه کارکرد مدیریت کلید، کارایی و اثربخشی بیشتری را برای یک سازمان فناوری اطلاعات ایجاد میکند.

یک استاندارد جهانی واحد برای این اقدام بطور مداوم وجود ندارد. یک رویکرد موفق، به حساسیت و سطح ریسک اطلاعات سازمان و روشهای ذخیره اطلاعات آن بستگی دارد.

اولین قدم، درک انواع مختلف رمزگذاری است و اینکه چه کاری میتواند انجام دهد و چه کاری نمیتواند انجام دهد.

سه وضعیت داده

برای ایمن بودن داده‌ها، باید از آنها در طول چرخه عمر محافظت شود. بنابراین مهم است که وضعیت داده‌هایی را که میخواهید محافظت کنید در نظر بگیرید:

• داده‌های در حالت استراحت: در فضای ذخیره سازی خود یا در دسکتاپها، لپ تاپها، تلفنهای همراه، تبلتها و اکثر دستگاهها.
• داده در حال حرکت: از طریق شبکه منتقل میشود.
• داده‌ها در حالت استفاده: در حال تولید، بروز رسانی، پاک کردن یا مشاهده است.

هر نوع داده چالشهای منحصر بفردی را ارائه میدهد و هر یک ممکن است ابزارها و روشهای مختلفی داشته باشد که میتواند برای ایمن سازی آن استفاده شود.

رمزگذاری داده‌های درحال استراحت

شامل رمزگذاری:

• فایل سیستم برای محافظت از ذخیره‌سازی
• مجازی برای محافظت از فضای ذخیره‌سازی
• فایل و فولدر برای محافظت از داده‌های بدون ساختار
• دیتابیس برای محافظت از داده‌های ساخت یافته
• کامل دیسک با تأیید اعتبار قبل از بوت برای محافظت از نقطه پایانی
• ماژول امنیتی سخت افزار برای حفاظت از چرخه عمر مدیریت کلیدی

 رمزگذاری داده‌های درحال حرکت

• شبکه خصوصی مجازی برای دسترسی از راه دور
• دسترسی محافظت شده Wi-Fi برای دسترسی بی‌سیم
• لایه سوکتهای امن (SSL) برای مرورگر وب به ارتباطات سرور
• Secure Shell (SSH) برای مدیریت ایمن سیستمهای از راه دور

متداولترین روش برای محافظت از داده‌های درحال حرکت، استفاده از شبکه خصوصی مجازی لایه سوکتهای امن (SSL VPN) است.

فناوری‌هایی مانند SSL VPN برای محافظت در برابر حملات انسان و بسته‌های مخرب بسیار مهم هستند.

 رمزنگاری داده های درحال استفاده

رایانش ابری نیاز به ایمن‌سازی داده‌ها را هنگام استفاده فراهم میکند، زیرا ارائه‌دهندگان شخص ثالث بطور فزاینده‌ای داده‌ها را میزبانی و پردازش میکنند.

اما محافظت از داده‌ها درحال استفاده، سخت‌ترین است، زیرا برای استفاده از آنها تقریباً همیشه باید رمزگشایی شوند و درنتیجه در معرض دید قرار گیرند‌

ایجاد استراتژی اختصاصی

ضروریست که به یاد داشته باشید که پروژه رمزگذاری (encryption) و بطور کلی امنیت IT یک فرآیند است، نه یک محصول. رمزگذاری موثر به زمان نیاز دارد.

علاوه بر بررسی دقیق حالتهای داده و تکنیکهای رمزگذاری، هفت عنصر اصلی میتوانند به شما کمک کنند تا یک رویکرد موفقیت آمیز از ابتدا به پایان را ایجاد کنید:

1. همکاری

ایجاد یک استراتژی رمزگذاری نیاز به یک تلاش مشترک دارد. با گرد هم آوردن ذینفعان اصلی داده ها شروع کنید.

برای شناسایی مقررات، دستورالعمل‌ها و تأثیرات خارجی که در تصمیم گیری‌‎‌‌های خرید و اجرا موثر هستند، کار کنید. از آنجا میتوانید به سمت شناسایی مناطق پرخطر مانند لپ‌تاپ‌ها، دستگاههای تلفن همراه، شبکه‌های بی سیم و بکاپ گیری از داده‌ها حرکت کنید.

2. طبقه بندی داده‌ها

استفاده از راهکار رمزنگاری (encryption) بعنوان بخشی از تلاشهای گسترده شما در زمینه امنیت IT مهم است. شرکتهایی که برنامه طبقه بندی و/ یا اولویت بندی داده‌های موثر ندارند، تمایل دارند با رمزگذاری داده‌ها دست و پنجه نرم کنند.

سیاستها و ابزارهای طبقه‌بندی داده‌ها، تفکیک اطلاعات ارزشمندی را که ممکن است بیش از اطلاعات کم ارزش مورد هدف قرار گیرند، تسهیل میکنند.

3. مدیریت کلید

از کلمات عبور (کلید) خود محافظت کنید. اگر کلیدها و گواهینامه‌ها بدرستی ایمن نباشند، سازمان برای حمله باز است، مهم نیست که چه کنترلهای امنیتی وجود دارد.

ضروریست که سازمانها بفهمند چه کلیدها و گواهینامه‌هایی در شبکه استفاده میشوند، چه کسی به آنها دسترسی دارد و چگونه و چه زمانی از آنها استفاده میشود.

اولین قدم برای جمع آوری اطلاعات، شناخت دقیق موجودی سازمان با مدیریت متمرکز کلیدها و گواهینامه‌ها است. به شما این امکان را میدهد که رفتارهای غیرعادی را تشخیص دهید.

4. یافتن راه‌حل مناسب برای محیط خود

هنگامیکه نیازهای مدیریت کلیدی خود را ایجاد کردید، زمان ارزیابی و اجرای راه‌حلهای رمزنگاری فرا رسیده است. گزینه‌ها و فاکتورهای زیادی وجود دارد که باید درنظر گرفته شود.

رویکرد ” قبل از خرید، سعی کنید” بهتر است زیرا آنچه برای یک سازمان مفید است ممکن است برای سازمان دیگری مفید نباشد.

سازمانها باید با یک شرکت مستقل از فروشنده که میتواند به بررسی راه‌حلهای بالقوه کمک کند همکاری نموده تا بهترین تناسب را برای محیط خود پیدا کنند.

5. کنترل دسترسی

اطمینان از اینکه فقط کاربران مجاز میتوانند به داده‌ها دسترسی پیدا کنند، و تلاش برای جلوگیری از دستکاری توسط افراد در داخل یا خارج از سازمان، امری حیاتی است.

یک استراتژی رمزنگاری موفق، با استفاده از ترکیبات کافی مجوزهای فایلها، پسوردها و احراز هویت دو عاملی، تکنیک‌های کنترل دسترسی قوی را تعریف میکند.

کنترلهای دسترسی باید بطور منظم کنترل شوند تا از اعتبار آنها اطمینان حاصل شود.

6. پیامدها

قبل از استقرار، باید یک پالیسی کتبی تدوین شود، توسط مدیریت تأیید شود و به کاربران نهایی که داده‌های حساس را کنترل میکنند، ابلاغ شود.

اگر آنها نتوانند پالیسی‌های شرکت شما را برآورده کنند، داده‌های شما را دریافت نمیکنند. درغیر اینصورت، با مشکل مطابقت روبرو میشوید. مسئولیت رمزگذاری باید مشخص باشد و عواقب عدم تطابق را به همراه داشته باشد.

7. رمزگشایی SSL

در حالیکه رمزگذاری یک روش عالی برای محافظت از داده‌ها است، اما همچنین یک روش عالی برای پنهان کردن تهدیدات است.

اکثر کنترلهای امنیتی شبکه نمیتوانند ترافیک HTTPS (SSL) را رمزگشایی و بازرسی کنند.

از آنجاکه برنامه‌های بیشتری (فیسبوک، توییتر، یوتیوب و..) برای کمک به امنیت کاربران به رمزنگاری SSL روی می‌آورند، ناخواسته توانایی شرکتها را برای اطمینان از عدم ورود کد مخرب به ترافیک شبکه مختل میکنند و مهاجمان سایبری از این آسیب‌پذیری سوء‌استفاده میکنند.

چرا ما به رمزنگاری احتیاج داریم؟

درحالیکه رمزگذاری به طرز جادویی امنیت را منتقل نمیکند، اما همچنان میتواند برای محافظت از هویت و حریم خصوصی کاربر مورد استفاده قرار گیرد.

اگر بطور خواسته یا ناخواسته تحت تماشا قرار بگیریم، میتوانیم با استفاده از سیستمهای رمزنگاری شده بدرستی داده‌های خود را پنهان کنیم.

رمزنگاری داده‌های مهم و حساس در صورتیکه با مدیریت کلید، کنترل دسترسی و رمزگشایی SSL همراه باشد، میتواند به امنیت ROI سازمان افزوده و درصورت نقض، داده‌ها را بی فایده خواهد کرد.

به گفته بروس اشنایر رمزنگار و متخصص امنیت و حریم خصوصی، “رمزگذاری در همه جا و خودکار بهترین عملکرد را دارد. این ویژگی باید بطور پیشفرض برای همه فعال باشد، نه ویژگی که فقط وقتی کاری را انجام میدهید که ارزش محافظت از آن را داشته باشید.”