رمزگذاری چیست و چگونه کار میکند؟
رمزگذاری (encryption) با مخلوط کردن محتوا، امنیت پیام یا پرونده را افزایش میدهد. برای رمزگذاری یک پیام، شما به یک رمز (کلید) مناسب نیاز دارید و برای رمزگشایی آن نیز به رمز صحیح احتیاج دارید.
این موثرترین روش برای پنهان کردن ارتباطات از طریق اطلاعات رمزگذاری شده است در جایی که فرستنده و گیرنده کلید رمزگشایی داده ها را دارند.
رمزگذاری مانند ارسال پیامهای مخفی بین طرفین است- اگر کسی بدون کلیدهای مناسب سعی در فضولی داشته باشد، نمیتواند پیام را درک کند.
رمزگذاری به دو روش وجود دارد: رمزگذاری متقارن و نامتقارن.
رمزگذاری متقارن که به رمزگذاری کلید مخفی نیز معروف است، مربوط به فرستنده و گیرنده است که همان کلیدها را برای رمزگذاری و رمزگشایی پیام دارند.
رمزگذاری نامتقارن یا رمزگذاری کلید عمومی، از آنچه که جفت کلید نامیده میشود- کلید عمومی برای رمزگذاری پیام و کلید خصوصی برای رمزگشایی- از آن استفاده میکند.
اهمیت رمزگذاری
هنگامیکه کلمه رمزگذاری (encryption) را میشنوید، اولین چیزی که ممکن است به ذهن شما خطور کند این است که چیزیست که فقط متخصصین میتوانند آن را درک کرده یا از آن استفاده کنند.
در واقع، ایده رمزگذاری چندان پیچیده نیست. رمزگذاری سیستمی از الگوریتم های ریاضی است که داده های کاربر را رمزگذاری میکند تا فقط گیرنده موردنظر بتواند آنرا بخواند.
اما قبل از اینکه تصمیم بگیرید این روش را برای راههای دیگر محافظت از ارتباطات آنلاین خود به تعویق بیندازید، چند مثال ممکن است شما را متقاعد کند که رمزگذاری (encryption) یکی از بهترین روشها برای محافظت از حریم خصوصی شماست، حتی در مواقعی که فکر میکنید این کار مهم نیست.
تماس تلفنی، ایمیل، خرید آنلاین، شبکه های اجتماعی و مرورگرها، فعالیتهای آنلاینی هستند که دیگر نمیتوانیم بدون آنها زندگی کنیم.
در حالیکه ما دائماً بصورت آنلاین اطلاعات را جستجو یا به اشتراک میگذاریم، اطلاعات ما اساساً در “جایی” ذخیره میشوند. اکثر افراد مطمئن نیستند که “جایی” کجاست، اما این داده ها فقط باید در اختیار ارائه دهنده خدمات باشد که مکالمه شما را انجام میدهد.
با این وجود میتواند برای شرکتهای مخابراتی که بسته های اینترنتی شما را حمل میکنند قابل مشاهده باشد و ارتباطات ظاهراً خصوصی و ایمن شما رهگیری شود.
همانطور که بسیاری از موارد ثابت شده است، داده های کاربر و شرکت بطور فزاینده ای توسط هکرها و مجرمان سایبری هدف قرار میگیرد که منجر به نقض داده ها و حملات هدفمند میشود.
این دلیل به تنهایی میتواند بعنوان هشدار کافی برای کسانی باشد که محافظت از ارتباطات خود را از طریق رمزگذاری (encryption) در نظر نگرفته اند.
اتصال شما رمزگذاری میشود
استفاده از Wi-Fi برای اتصال به اینترنت راحت است، اما از نظر امنیت، همیشه یک داد و ستد وجود دارد، زیرا قطع دسترسی از هر ارتباطی، برای یک متجاوز دشوار نخواهد بود، و میتواند منجر به سرقت اطلاعات کاربر و سایر اطلاعات حساس شود.
به همین دلیل است که بسیاری از وبسایت ها از پروتکلی به نام HTTPS برای رمزگذاری (encryption) داده هایی که بین سایتها ارسال میشود استفاده میکنند.
اگرچه این لزوماً امنیت مطلق را تضمین نمیکند، اما خطرات کاهش می یابند زیرا اطلاعات منتقل شده فقط توسط سایتی که به آن ارسال شده رمزگشایی میشود.
رمزگذاری داده های شما
وقتی صحبت از داده های شما میشود، هدف اصلی از رمزگذاری (encryption) داده های ذخیره شده در رایانه و دستگاههای شما- حتی اگر پسوردهای بکاپ یا رمزهای ایمنی ایجاد کرده باشید- اطمینان از حریم خصوصی، محافظت از اطلاعات و امنیت مالکیت معنوی شماست.
این همچنین بعنوان رمزگذاری نقطه پایانی شناخته میشود، که اساساً یک لایه محافظت اضافی برای اطلاعات محرمانه موجود در رایانه شخصی و دستگاههای شما، داده های ذخیره شده در رسانه های قابل جابجایی مانند USB ،CD ،DVD یا پرونده ها و پوشه های خاص اضافه میکند.
انتخاب اینکه چه چیزی رمزگذاری شود
قبل از اینکه سازمانها در مورد نحوه رمزگذاری تصمیم بگیرند، لازمست تعیین کنند که چه چیزی باید رمزگذاری شود.
تهیه یک برنامه رمزگذاری باید بخشی از فرآیند برنامه ریزی مدیریت ریسک و مدیریت داده های کل شرکت باشد.
یک رویکرد جامع که بطور خاص در نظر میگیرد کدام مجموعه داده ها باید رمزگذاری شوند و نحوه کارکرد مدیریت کلید، کارایی و اثربخشی بیشتری را برای یک سازمان فناوری اطلاعات ایجاد میکند.
یک استاندارد جهانی واحد برای این اقدام بطور مداوم وجود ندارد. یک رویکرد موفق، به حساسیت و سطح ریسک اطلاعات سازمان و روشهای ذخیره اطلاعات آن بستگی دارد.
اولین قدم، درک انواع مختلف رمزگذاری است و اینکه چه کاری میتواند انجام دهد و چه کاری نمیتواند انجام دهد.
سه حالت داده
برای ایمن بودن داده ها، باید از آنها در طول چرخه عمر محافظت شود. بنابراین مهم است که وضعیت داده هایی را که میخواهید محافظت کنید در نظر بگیرید:
داده ها در حالت استراحت: در فضای ذخیره سازی خود یا در رایانه های رومیزی، لپ تاپ ها، تلفنهای همراه، تبلت ها و اکثر دستگاهها.
داده در حال حرکت: از طریق شبکه منتقل میشود.
data in use: در حال تولید، بروز رسانی، پاک کردن یا مشاهده است.
هر نوع داده چالشهای منحصر بفردی را ارائه میدهد و هر یک ممکن است ابزارها و روشهای مختلفی داشته باشد که میتواند برای ایمن سازی آن استفاده شود.
رمزگذاری داده های در حالت استراحت:
- رمزگذاری کامل دیسک با تأیید اعتبار قبل از بوت برای محافظت از نقطه پایانی
- ماژول امنیتی سخت افزار برای حفاظت از چرخه عمر مدیریت کلیدی
- رمزگذاری فایل سیستم برای محافظت از ذخیره سازی
- رمزگذاری مجازی برای محافظت از فضای ذخیره سازی
- رمزگذاری پرونده و پوشه برای محافظت از داده های بدون ساختار
- رمزگذاری پایگاه داده برای محافظت از داده های ساخت یافته
رمزگذاری داده های در حال حرکت:
- شبکه خصوصی مجازی برای دسترسی از راه دور
- دسترسی محافظت شده Wi-Fi برای دسترسی بی سیم
- لایه سوکتهای امن (SSL) برای مرورگر وب به ارتباطات سرور
- Secure Shell (SSH) برای مدیریت ایمن سیستم های از راه دور
متداولترین روش برای محافظت از داده های در حال حرکت، استفاده از شبکه خصوصی مجازی لایه سوکت های امن(SSL VPN) است.
فناوری هایی مانند SSL VPN برای محافظت در برابر حملات انسان و بسته های مخرب بسیار مهم هستند.
رمزگذاری داده های در حال استفاده:
رایانش ابری نیاز به ایمن سازی داده ها را هنگام استفاده فراهم میکند، زیرا ارائه دهندگان شخص ثالث بطور فزاینده ای داده ها را میزبانی و پردازش میکنند.
اما محافظت از داده ها در حال استفاده، سخت ترین است، زیرا برای استفاده از آنها تقریباً همیشه باید رمزگشایی شوند و در نتیجه در معرض دید قرار گیرند.
رمزگذاری ایمیل
متداول ترین نوع رمزگذاری برای محافظت از ایمیل، رمزگذاری نامتقارن یا زیرساخت کلید عمومی (PKI) است.
PKI بصورت گسترده برای مدیریت توزیع و اعتبارسنجی کلید (کلمه عبور) استفاده میشود و شامل موارد زیر است:
- یک مرجع صدور گواهینامه (CA) که گواهینامه های دیجیتالی را صادر و تأیید میکند. گواهی یک سند الکترونیکی است که برای اثبات مالکیت یک کلید (کلمه عبور) عمومی استفاده میشود.
- یک مرجع ثبت(RA) که قبل از صدور گواهینامه دیجیتال برای درخواست کننده، بعنوان تأیید کننده مرجع صدور گواهینامه عمل میکند.
- یک یا چند دایرکتوری که گواهینامه ها (با کلیدهای عمومی آنها) در آنها نگهداری میشود.
- یک سیستم مدیریت گواهی.
ایجاد استراتژی خود
ضروریست که به یاد داشته باشید که پروژه رمزگذاری (encryption) شما و بطور کلی امنیتIT یک فرآیند است، نه یک محصول.
رمزگذاری موثر به زمان نیاز دارد. علاوه بر بررسی دقیق حالتهای داده و تکنیک های رمزگذاری، هفت عنصر اصلی میتوانند به شما کمک کنند تا یک رویکرد موفقیت آمیز از ابتدا به پایان را ایجاد کنید:
1. همکاری
ایجاد یک استراتژی رمزگذاری نیاز به یک تلاش مشترک دارد. با گرد هم آوردن ذینفعان اصلی داده ها شروع کنید و برای شناسایی مقررات، دستورالعمل ها و تأثیرات خارجی که در تصمیم گیری های خرید و اجرا موثر هستند، کار کنید.
از آنجا میتوانید به سمت شناسایی مناطق پرخطر مانند لپ تاپ ها، دستگاههای تلفن همراه، شبکه های بی سیم و پشتیبان گیری از داده ها حرکت کنید.
2. طبقه بندی داده ها
استفاده از رمزگذاری (encryption) بعنوان بخشی از تلاشهای گسترده شما در زمینه امنیت IT مهم است. شرکتهایی که برنامه طبقه بندی و/ یا اولویت بندی داده های موثر ندارند، تمایل دارند با رمزگذاری داده ها دست و پنجه نرم کنند.
سیاستها و ابزارهای طبقه بندی داده ها، تفکیک اطلاعات ارزشمندی را که ممکن است بیش از اطلاعات کم ارزش مورد هدف قرار گیرند، تسهیل میکنند.
از ابزارهای طبقه بندی میتوان برای بهبود روش استفاده از داده های حساس و ارتقاء فرهنگ امنیتی استفاده کرد که به اجرای پالیسی های مدیریت داده و جلوگیری از افشای سهوی کمک میکند.
متاداده های طبقه بندی را میتوان با نرم افزار جلوگیری از دست دادن داده ها (DLP)، رمزگذاری و سایر راه حلهای امنیتی برای تعیین اینکه کدام اطلاعات حساس است و چگونه باید محافظت شود، جمع آوری نمود.
3. مدیریت کلید
از کلمات عبور (کلید) خود محافظت کنید. اگر کلیدها و گواهینامه ها بدرستی ایمن نباشند، سازمان برای حمله باز است، مهم نیست که چه کنترلهای امنیتی وجود دارد.
ضروریست که سازمانها بفهمند چه کلیدها و گواهینامه هایی در شبکه استفاده میشوند، چه کسی به آنها دسترسی دارد و چگونه و چه زمانی از آنها استفاده میشود.
اولین قدم برای جمع آوری این اطلاعات، شناخت دقیق موجودی سازمان با مدیریت متمرکز کلیدها و گواهینامه ها است. به شما این امکان را میدهد که رفتارهای غیرعادی را تشخیص دهید.
4. یافتن راه حل مناسب برای محیط خود
هنگامیکه نیازهای مدیریت کلیدی خود را ایجاد کردید، زمان ارزیابی و اجرای راه حلهای رمزگذاری فرا رسیده است. گزینه ها و فاکتورهای زیادی وجود دارد که باید در نظر گرفته شود.
رویکرد ” قبل از خرید، سعی کنید” بهتر است زیرا آنچه برای یک سازمان مفید است ممکن است برای سازمان دیگری مفید نباشد.
سازمانها باید با یک شرکت مستقل از فروشنده که میتواند به بررسی راه حلهای بالقوه کمک کند همکاری نموده تا بهترین تناسب را برای محیط خود پیدا کنند.
5. کنترل دسترسی
اطمینان از اینکه فقط کاربران مجاز میتوانند به داده ها دسترسی پیدا کنند، و تلاش برای جلوگیری از دستکاری توسط افراد در داخل یا خارج از سازمان، امری حیاتی است.
یک استراتژی رمزگذاری موفق، با استفاده از ترکیبات کافی مجوزهای پرونده، گذر واژه ها و احراز هویت دو عاملی، تکنیک های کنترل دسترسی قوی را تعریف میکند.
کنترلهای دسترسی باید بطور منظم کنترل شوند تا از اعتبار آنها اطمینان حاصل شود.
6. پیامدها
قبل از استقرار، باید یک سیاست کتبی تدوین شود، توسط مدیریت تأیید شود و به کاربران نهایی، از جمله شرکای تجاری و اشخاص ثالث (از جمله ارائه دهندگان ابر) که داده های حساس را کنترل میکنند، ابلاغ شود.
اگر آنها نتوانند سیاستهای شرکت شما را برآورده کنند، داده های شما را دریافت نمیکنند. در غیر اینصورت، با مشکل مطابقت روبرو میشوید. مسئولیت رمزگذاری باید مشخص باشد و عواقب عدم تطابق را به همراه داشته باشد.
7. رمزگشایی SSL
در حالیکه رمزگذاری یک روش عالی برای محافظت از داده ها است، اما همچنین یک روش عالی برای پنهان کردن تهدیدات است.
اکثر کنترلهای امنیتی شبکه نمیتوانند ترافیک HTTPS (SSL) را رمزگشایی و بازرسی کنند.
از آنجا که برنامه های بیشتری (فیس بوک، توییتر، یوتیوب و ..) برای کمک به امنیت کاربران به رمزگذاری SSL روی می آورند، ناخواسته توانایی شرکتها را برای اطمینان از عدم ورود کد مخرب به ترافیک شبکه مختل میکنند و مهاجمان سایبری از این آسیب پذیری سوء استفاده میکنند.
بنابراین هنگام انتخاب راه حلهای مناسب رمزگذاری برای سازمان خود، لازمست که فناوری رمزگشایی SSL را نیز در نظر داشته باشید تا از ورود به داده های مهم در نقاط ورود و خروج اطمینان حاصل کنید.
چرا ما به آن احتیاج داریم؟
در حالیکه رمزگذاری به طرز جادویی امنیت را منتقل نمیکند، اما همچنان میتواند برای محافظت از هویت و حریم خصوصی کاربر مورد استفاده قرار گیرد.
اگر بطور خواسته یا ناخواسته تحت تماشا قرار بگیریم، میتوانیم با استفاده از سیستمهای رمزنگاری شده بدرستی داده های خود را پنهان کنیم.
رمزگذاری داده های حساس در صورتیکه با مدیریت کلید، کنترل دسترسی و رمزگشایی SSL همراه باشد، میتواند به امنیت ROI سازمان افزوده و در صورت نقض، داده ها را بی فایده خواهد کرد.
به گفته بروس اشنایر رمزنگار و متخصص امنیت و حریم خصوصی ، “رمزگذاری در همه جا و خودکار بهترین عملکرد را دارد. این ویژگی باید بطور پیش فرض برای همه فعال باشد، نه ویژگی که فقط وقتی کاری را انجام میدهید که ارزش محافظت از آن را داشته باشید.”
