آرشیو

صفحه اصلی
برچسب برایشبکه

توسط

در

روشهای عیب یابی شبکه

در این پست قصد داریم بصورت اجمالی به روشهای عیب یابی شبکه بپردازیم. با افزايش كاربرد كامپيوتر در بخش‌های مختلفی نظير سازمان‌ها، شركت‌ها و تقريباً هر بنگاه اقتصادی و بازرگانی، به تدريج بحث به اشتراک گذاری منابع و ارتباط متقابل كامپيوترها و در واقع شبكه سازی (Networking) در ابعاد و مقياس‌های كوچك، متوسط و بزرگ مطرح گرديد. به طوری كه امروزه شبكه‌ها به يك جزء ضروری و مهم برای تمامی دست‌اندركاران رايانه تبديل شده است. به دنبال طراحی، ايجاد و به بهره‌برداری رسيدن شبكه‌ها، خود به خود موضوع نگهداری و پشتيبانی و سرپا نگهداشتن شبكه موجود مطرح می‌گردد. در ادامه اين روند، موضوع عيب‌يابی كه شامل تشخيص و تعيين نوع مشكل و رفع آن می‌شود نيز از مباحث مهم نگهداری شبكه‌ها به شمار می ‌رود. منشأ اين عيب می تواند نرم‌افزاری، سخت‌افزاری، عدم تطابق تجهيزات، ناهماهنگی بين اجزا، تنظيمات نادرست و … باشد. افراد دست‌اندركار رفع مشكلا‌ت شبكه در تمامی موارد، الزاماً نبايد مدارك علمی چندان سطح بالا‌يی داشته باشند. چون در اين ميدان تجربه و كارآزمودگی حرف اول را می‌زند و معمولا‌ً داشتن اطلا‌عات اوليه و زيربنايی از شبكه‌ها كافی به نظر می‌رسد. عيب‌يابی يك شبكه بسيار شبيه حل معما است. اگر يك ايده كلی در مورد نحوه عملكرد شبكه به دست آورده‌ايد و می‌دانيد كدام بخش‌ها به يكديگر وابسته هستند، معمولا‌ً اشاره به محل مشكل كار چندان دشواری نخواهد بود. در اين پست به ذكر مختصر روشهای عیب یابی شبکه و برخی از ابزارهای عيب‌يابی TCP/IP و ابزارهای تحليل شبكه می پردازيم.

1 – استفاده از مدل هفت لا‌يه‌ ای OSI

شناخت لا‌يه‌های مختلف شبكه و نحوه ارتباط آن‌ها و همچنين دانستن اين كه هر وسيله يا ابزار شبكه در كدام لا‌يه از شبكه قرار گرفته است و با كدام لا‌يه و تجهيزات ديگر مستقيماً در ارتباط است، كمك شايانی به تشخيص و پيدا كردن محل عيب مي نمايد. به عنوان مثال، چنانچه Cabling در یک نقطه از شبكه قطع يا شل شده باشد، اين مسئله به لا‌يه فيزيكی مربوط می‌شود و به عنوان نمونه چك كردن bridge يا روتر كه در لا‌يه‌های دوم و سوم قرار گرفته‌اند، هيچ توجيه منطقی ندارد. در جدول 1 لا‌يه‌ها و تجهيزات و مشخصات مرتبط با هر لا‌يه آورده شده است.

2 – عيب‌يابی جعبه سياه

عيب‌يابی جعبه سياه (Black Box)، نحوه مواجه‌ شدن با عملكرد يک سيستم پيچيده به عنوان يک سری سيستم‌های ساده ‌تر است. ايجاد جعبه سياه در بسياری از موارد علمی، كاربر دارد و در عيب‌يابی نيز بسيار مفيد است. در اين روش نگران جزئيات كم‌اهميت نيستيم و محتويات پنهانی یک سيستم اهميت چندانی ندارند و ما بيشتر روی صحت ورودی و خروجی های هر سيستم تكيه می‌نماييم.

لا‌يه‌	كاربرد
لا‌يه كاربرد	Program – to – (N)OS interaction
لا‌يه ارائه	فرمت متن، رمزگذاری، تبديل كد
لا‌يه جلسه‌(sessionn)	تصديق اعتبار، نگهداری، هماهنگیاتصالا‌ت
لا‌يه انتقال	كنترل جريان، ترتيب‌دهی، تصديق
لا‌يه شبكه	آدرس‌دهی منطقی، مسيريابی،(روترها،‌ سوييچ‌های لا‌يه 3)
لا‌يه Data Link	فريم‌بندی و آدرس‌دهی فيزيكی(bridgeها و سوييچ‌ها)
لا‌يه فيزيكی	تشخيص ولتاژ، سيگنالينگ‌ (cabling،repeaters ،hubs ،NICS)

جدول 1

3 – روش تشخيص تغيير در شبكه

ايجاد يا به وجود آمدن هر گونه تغييری در شبكه را بايد به دقت بررسی كرد. به علا‌وه، چنانچه افراد ديگری نيز از شبكه شما استفاده می‌كنند، بايد در رابطه با تغييراتی كه اخيراً انجام داده‌اند، از آن‌ها پرس‌وجو نماييد. تغيير نيروی كار هم می‌تواند مشكلا‌تی را در شبكه ايجاد كند؛ ‌به‌ويژه اين‌كه افراد در ثبت رخدادها و رويدادها معمولا‌ً بی‌نقص عمل نمی كنند.

4- مستندسازی

در اختيار داشتن نقشه شبكه بسيار مهم است. معمولا‌ً شبكه‌های غيرمستند، مبهم و غيرقابل درك هستند. مستندات شامل نقشه كاربردی شبكه، مستندات فيزيكی (اطلا‌عات سيم‌كشی‌ها و…)، مستندات منطقی (Logical) كه بخش‌های غيرفيزيكی يا مجازی شبكه مانند VLAN را نشان می دهد، برچسب‌گذاری كابل‌ها و دستگاه‌ها
(Labelingg) و … را شامل می‌شود.

همچنين ثبت رويدادها، هنری است كه حل بسياری از مشكلا‌ت بعدی را آسان‌تر می‌نمايد. می‌توان در كنار هر دستگاه مانند سرور، سوييچ يا مسيرياب، هر كار انجام گرفته در مورد آن‌ها را به همراه زمان انجام آن يادداشت كرد. در مورد يك شبكه غيرمستند نيز حتی‌المقدور بايد مستندسازی را در هر مرحله‌ای شروع كرد و اين كار به نظم و سرعت در عمل كمك شايانی خواهد كرد.

5 – روش تقسيم‌بندی

تقسيم‌بندی يك شبكه باعث می‌شود كنترل آن آسان‌تر شود. در واقع منطقه‌بندی مشكل (Problem Localization) هنگامی است كه شما نمی‌دانيد دقيقاً از كجا به جست‌وجوی مشكل بپردازيد. منطقه‌بندی سريع مشكل، اهميت بسياری دارد؛ زيرا هيچ‌كس نمی‌خواهد صدها دستگاه را به عنوان منبع بالقوه‌ای از مشكلا‌ت بررسی كند.

6- مقايسه با مواردی كه درست عمل می‌كنند

چنانچه يك نمونه شبكه خراب‌ شده داريد، می‌توانيد با مقايسه آن با نمونه‌ای كه درست كار می كند، روش سريعی برای تشخيص دقيق خرابی پيدا كنيد. اين كار مي‌تواند در مورد مقايسه تركيب‌بندی سرورها و همچنين وسايل سخت‌افزاری نظير مسيرياب‌ها، سوييچ‌ها و … نيز به كار رود. بررسی مقايسه‌ای زمانی خوب عمل می كند كه شما بخواهيد ساير موضوعات شبكه مانند تنظيمات كاربر و تركيب‌بندی‌های ايستگاه كاری را نيز بررسی كنيد. گاهی، اگر مشكلی را در یک تركيب‌بندی خاص عيب‌يابی كرده باشيد، می‌توانيد آن را كاملا‌ً با یک تركيب‌بندی كه عملكرد خوبی دارد، جايگزين كنيد.

7- فرمان‌های عيب‌يابی ipconfig و winipcfg در ويندوز

تركيب‌بندی اصلی IP با استفاده از ipconfig (در خانواده ويندوز NT) و winipfgg (در خانواده ويندوز 9x) نشان داده می‌شود. اين دو فرمان به شما امكان می‌دهند اجازه نامه DHCP خود را تجديد يا ترخيص نماييد يا اين‌كه اطلا‌عات اصلی TCP/IP را نمايش دهيد. در اينجا برخی ديگر از فرمان‌های مفيد مختص خانواده ويندوز NT (اكس‌پی‌و2000) ارائه شده‌اند.

●ipconfig‌/‌all: همه اطلا‌عات تركيب‌بندی، نه فقط نشانی IP و نقاب (Mask) شبكه را نشان می‌دهد.

● ipconfig/release: نشانی‌های DHCP را برای همه آداپتورهای شبكه آزاد می‌كند (برای پرهيز از آزاد‌شدن همه نشانی‌ها نام يك آداپتور مشخص را وارد كنيد.)

●‌‌ipconfig/renew: نشاني‌هايیDHCP را برای همه تطبيق‌گرها باز می‌كند.

●‌‌ipconfig/flushdns: فقط در ويندوز 2000 و بالا‌تر يكباره نهانگاه (Cache) محلی DNS را توسعه می‌دهد. اگر شما DNS را تغيير داده‌ايد و لا‌زم است آن را تا اين ايستگاه كاری تعميم‌ دهيد، سوييچ مزبور بسيار سودمند خواهد بود. (اگر آن را تعميم ندهيد، تغيير مزبور برای لحظه‌ای در ايستگاه شما نشان داده نخواهد شد).

●ipconfig/display dns: فقط در ويندوز 2000 و بالا‌تر نهانگاه DNS را نمايش می‌دهد.

8 – برخی از فرمان‌های اصلی خطايابی در TCP/IP و شبكه

(Ping Address (Hostname اتصال اصلی IP را با Hostname يا Address بررسی مي‌كند. Arp ‌-a: جدول تبديل نشانی Mac به IP را نشان می‌دهد. netstat ‌-rn: جدول مسيريابی TCP/IPP را به طور عددی نشان می‌دهد. netstat -an همه سوكت‌های TCP/IP مورد استفاده را به طور عددی برای همه كلا‌ينت‌ها و سرورها نشان می‌دهد.
مراحل Pingg به ترتيب می‌تواند به اين شكل باشد:

مرحله1‌:Ping كردن نشانی حلقه برگشتی (ping 127.0.0.1)

مرحله2: Ping كردن نشانی IP ايستگاه كاری

مرحله3: Ping كردن نشانی IP يك ايستگاه كاری ديگر در يك بخش

مرحله4: Ping كردن مسيرياب محلی

مرحله5: ping كردن سرور از طريق نشانی IP و نام (Tracert Address (Hostname مسيری كه يک بستک (Packet) از ايستگاه كاری تا Hostname يا Address طی می‌كند را رديابی می‌نمايد. هر مسيريابی كه بستك مزبور از طريق آن به سمت Hostname يا Address می‌رود را نشان می‌دهد.

netsh: برنامه سودمند خط فرمان تعاملی كه به شما امكان می دهد تركيب‌بندی لا‌يه شبكه را فهرست كنيد و آن را تغيير دهيد.

net session: همه جلسات شبكه ‌سازی ويندوز كه در اين دستگاه فعال هستند را نشان می‌دهد (نظير اشتراک گذاری و …)
net share: همه اشتراک ‌گذاری‌های ويندوز به همراه Hidden Share ها كه در اين دستگاه قابل دسترس هستند را فهرست می‌كند. همچنين در صورت داشتن Windows Resource Kit با استفاده از فرامين آن می‌توان در بسياری موارد خطايابی‌های دقيقی انجام داد. Resource Kit نه تنها منبعی از ابزارها به شمار می ‌آيد،‌بلكه يك منبع عالی به عنوان دانش اضافی ويندوز است.

9 – تحليلگرهای پروتكل

استفاده از تحليلگرهای پروتكل (Protocol Analyzer) در حلا‌جی و تحليل مشكلا‌ت شبكه بسيار سودمند است. يك تحليلگر پروتكل ابزاری است كه به بستک‌های(Packets) موجود در بخش اشتراكی شبكه گوش می‌دهد، آن‌ها را از حالت رمز خارج می‌نمايد و به شكل فرمت قابل خواندن برای انسان تبديل می‌كند.

دو نوع اصلی از ابزارهای تحليل پروتكل عبارتند از:
● تحليلگرهای بستک (Packet analyzer): بستک‌های موجود در سيم را می گيرند، آن‌ها را برای تحليل بعدی ذخيره می‌كنند و چند تحليل آماری را نيز انجام می‌دهند، ولی اين كار اصلی آن‌ها نيست.

●‌ تحليلگرهای آماری (Statistical analyzer): كار اصلی آن‌ها جمع‌آوری داده‌های كمی است تا بعداً بتوانند درباره روش‌های مختلف آماری گزارش دهند، ولی معمولا‌ً بستک‌ها را برای تحليل بعدی، ذخيره نمی‌كنند.
اكثر تحليلگرهایی بستک دو حالت عملياتی دارند:

●‌ ‌حالت Capture/monitor (مانيتور / تسخير)

●‌ ‌حالت Decode (رمزگشايی)

در مرحله تسخير،‌تحليلگر می‌تواند اطلا‌عات آماری، شامل تعداد خطاهای هر ايستگاه، تعداد بستک‌های دريافتی/‌ارسالی توسط هر ايستگاه، ضريب بهره وری از شبكه (ميزان ازدحام در شبكه) و …. را جمع‌آوری نمايد.

تحليلگرهای بسيارخوب، با نشان دادن نمودارها به شما امكان می‌دهند در مرحله تسخير، برحسب ايستگاه فعال‌تر و ساير موارد، عمل مرتب‌سازی را انجام دهيد. در مرحله رمزگشايی، داده‌های خاصی كه تحليلگر به دست می‌آورد را بررسی مي‌كنيد. لا‌زم به ذكر است استفاده از تحليلگر متناسب با نوع شبكه اهميت زيادی دارد. مثلا‌ً اگر يك شبكه FDDI قديمی و بدقلق داشته باشيد، از تحليلگر خاص اترنتی كه اتفاقاً با FDDI هم كار می كند، استفاده نكنيد. بدين منظور بهتر است يك تحليلگر مختص FDDI را به كار ببريد.

نكته جالب توجه در مورد تحليلگرهای بستک اين است كه اگر دارای كارت شبكه مناسبی باشيد (يعنی يک كارت شبكه كنجكاو كه قادر به شنيدن همه بستک‌های شبكه است) اين تحليلگرها می‌توانند در اكثر پی‌سی‌ها اجرا شوند. برای دانلود يك تحليلگر رايگان می‌توانيد به اینترنت مراجعه كنيد.

10 – ابزارهای مديريت شبكه

دست آخر اين‌كه، ابزارهای مديريت شبكه نيز نقشی مهم در عيب‌يابی و شناسایی شكل شبكه‌ها ايفا می‌كنند. مديريت شبكه در واقع در بهترين شكل آن، شامل تركيب‌بندی و ديده‌بانی دوردست Remote Monitoring شبكه می شود كه به شما امكان می‌دهد علا‌وه بر انجام اصلا‌حات نهايی از راه‌دور، سالم‌بودن شبكه خود را نيز ارزيابی كنید و جزئيات بيشتری روشهای عیب یابی شبکه به كمك ابزارهای مديريت شبكه را به مجالی ديگر واگذار می‌كنيم.

ادامه مطلب

توسط

admin

در

شبکه Network

ریکاوری کردن پسورد ادمین دامین کنترلر

Change Domain Admin Password in Windows Server 2003

با توجه به درخواست های دانشجویان عزیز در رابطه با امکان تغییر کلمه عبور کاربر Administrator در Active Directory متن زیر تقدیم می شود .

جهت تغییر Password کاربر Administrator در Domain Controller ها در مواقعی که Password را فراموش کرده اید می توان به راحتی با دنبال کردن مراحل زیر Password را تغییر داد .

پیش نیاز ها :

دسترسی فیزیکی به سروری که می خواهید Password آن را تغییر دهید .
داشتن پسورد Active Directory Restore Mode
داشتن دو ابزار SRVANY و INSTSRV که در Microsoft Resource Kit وجود دارد و همچنین می توانید ازاینجا دانلود کنید .
در زمان روشن کردن سرور دکمه F8 را بزنید و ویندوز را در Directory Service Restore Mode بالا آورده و با Password مربوط به Directory Service Restore Mode وارد ویندوز سرور شوید .
اکنون شما می بایست ابزار SRVANY را نصب کنید .
دو ابزار SRVANY و INSTSRV را پس از دانلود کردن در یک فولدر خالی به نام Temp ذخیره کنید .
فایل cmd.exe را از مسیر نصب ویندوز داخل فولدر System32 یافته و در فولدر Temp کپی کنید .
حال command prompt را باز کرده و دستور زیر را در آن اجرا کنید

instsrv PassRecovery d:\temp\srvany.exe

حال زمان Configure ابزار SRVANY می باشد .

10. رجیستری ویندوز را با اجرای دستور Regedit در منوی Run باز کنید و به مسیر زیر بروید.

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\PassRecover

11. یک Sub Key جدید در آدرس رجیستری فوق به نام Parameters بسازید سپس دو Value جدید با مشخصات زیر در داخل آن بسازید :

name: Application

(type: REG_SZ (string

value: d:\temp\cmd.exe

name: AppParameters

(type: REG_SZ (string

value: /k net user administrator 123456 /domain

12. مقدار 123456 کلمه عبوری است که شما می خواهید برای Administrator قرار دهید .در صورتی که Default domain policy قبلا تغییر نیافته باشد Password وارد شده می بایست حداقل 7 کاراکتر شامل حروف کوچک و بزرگ و عدد باشد .

13. در منوی Run مقدار Services.msc را وارد کرده و سرویس PassRecovery را یافته ،دو بار بر روی آن کلیک کنید و در پنجره ای که ظاهر می شود به Tab ،Log on رفته و گزینه Allow service to interact with the desktop را فعال کرده و سیستم را Restart کرده و بصورت نرمال سیستم را بالا بیاورید .حال با Password ای که در مرحله 11 در رجیستری وارد کرده بودید می توانید Login نمایید .

14. پس از ورود به ویندوز با دستورات زیر می توانید عملیات انجام شده فوق را Uninstall نمایید .

net stop PassRecovery

sc delete PassRecovery

15. در پایان می توانید فولدر Temp را Delete کنید.

ادامه مطلب

توسط

admin

در

شبکه Network, مفاهیم شبکه

طراحی شبکه

استراتژی طراحی شبکه (بخش اول )

طراحی شبکه:

استفاده از شبکه های کامپيوتری در چندين سال اخير رشد و به موازات آن سازمان ها و موسسات متعددی اقدام به برپاسازی شبکه نموده اند. هر شبکه کامپيوتری می بايست با توجه به شرايط و سياست های هر سازمان ، طراحی و در ادامه پياده سازی گردد .شبکه ها ی کامپيوتری زيرساخت لازم برای استفاده از منابع فيزيکی و منطقی را در يک سازمان فراهم می نمايند . بديهی است در صورتی که زيرساخت فوق به درستی طراحی نگردد، در زمان استفاده از شبکه با مشکلات متفاوتی برخورد نموده و می بايست هزينه های زيادی به منظور نگهداری و تطبيق آن با خواسته ها ی مورد نظر( جديد) ، صرف گردد ( اگر خوش شانس باشيم و مجبور نشويم که از اول همه چيز را مجددا” شروع نمائيم !) . يکی از علل اصلی در بروز اينچنين مشکلاتی ، به طراحی شبکه پس از پياده سازی آن برمی گردد. ( در ابتدا شبکه را پياده سازی می نمائيم و بعد سراغ طراحی می رويم ! ) .
برپاسازی هر شبکه کامپيوتری تابع مجموعه سياست هائی است که با استناد به آنان در ابتدا طراحی منطقی شبکه و در ادامه طراحی فيزيکی ، انجام خواهد شد . پس از اتمام مراحل طراحی ، امکان پياده سازی شبکه با توجه به استراتژی تدوين شده ، فراهم می گردد.

در زمان طراحی يک شبکه ، سوالات متعددی مطرح می گردد :

برای طراحی يک شبکه از کجا می بايست شروع کرد ؟
چه پارامترهائی را می بايست در نظر گرفت ؟
هدف از برپاسازی يک شبکه چيست ؟
انتطار کاربران از يک شبکه چيست ؟
آيا شبکه موجود ارتقاء می يابد و يا يک شبکه از ابتدا طراحی می گردد ؟
چه سرويس ها و خدماتی بر روی شبکه، ارائه خواهد شد ؟
و …

سوالات فوق ، صرفا” نمونه هائی در اين زمينه بوده که می بايست پاسخ آنان متناسب با واقعيت های موجود در هر سازمان ، مشخص گردد . ( يکی از اشکالات ما استفاده از پاسخ های ايستا در مواجهه با مسائل پويا است !) .
در اين مقاله قصد داريم به بررسی پارامترهای لازم در خصوص تدوين يک استراتژی مشخص به منظور طراحی شبکه پرداخته تا از اين طريق امکان طراحی منطقی ، طراحی فيزيکی و در نهايت پياده سازی مطلوب يک شبکه کامپيوتری ، فراهم گردد .

مقدمه

قبل از طراحی فيزيکی شبکه ، می بايست در ابتدا و بر اساس يک فرآيند مشخص ، خواسته ها شناسائی و آناليز گردند. چرا قصد ايجاد شبکه را داريم و اين شبکه می بايست چه سرويس ها و خدماتی را ارائه نمايد ؟ به چه منابعی نيار می باشد ؟ برای تامين سرويس ها و خدمات مورد نظر اکثريت کاربران ، چه اقداماتی می بايست انجام داد ؟ در ادامه می بايست به مواردی همچون پروتکل مورد نظر برای استفاده در شبکه ، سرعت شبکه و از همه مهم تر، مسائل امنيتی شبکه پرداخته گردد. هر يک از مسائل فوق ، تاثير خاص خود را در طراحی منطقی يک شبکه به دنبال خواهند داشت .يکی ديگر از پارامترهائی که معمولا” از طرف مديريت سازمان دنبال و به آن اهميت داده می شود ، هزينه نهائی برپاسازی شبکه است . بنابراين لازم است در زمان طراحی منطقی شبکه به بودجه در نظر گرفته شده نيز توجه نمود .
در صورتی که قصد ايجاد يک شبکه و تهيه نرم افزارهای جديدی وجود داشته باشد ، زمان زيادی صرف بررسی توانمندی نرم افزارها ، هزينه های مستقيم و غير مستقيم آنان ( آموزش کاربران ، کارکنان شبکه و ساير موارد ديگر ) ، خواهد شد .در برخی موارد ممکن است تصميم گرفته شود که از خريد نرم افزارهای جديد صرفنظر نموده و نرم افزارهای قديمی را ارتقاء داد. تعداد زيادی از برنامه های کامپيوتری که با استفاده از زبانهایی نظير : کوبال ، بيسيک و فرترن نوشته شده اند ، ممکن است دارای قابليت های خاصی در محيط شبکه بوده که استفاده از آنان نيازمند بکارگيری پروتکل های قديمی باشد. در چنين مواردی لازم است به چندين موضوع ديگر نيز توجه گردد :

هزينه ارتقاء هزاران خط کد نوشته شده قديمی توسط نسخه های جديد و پيشرفته همان زبان های برنامه نويسی ، چه ميزان است ؟
هزينه ارتقاء برنامه ها به يک زبان برنامه نويسی شی گراء چه ميزان است ؟
آيا به منظور صرفه جوئی در هزينه ها ، می توان بخش های خاصی از شبکه را ارتقاء و از سخت افزارها و يا نرم افزارهای خاصی برای ارتباط با عناصر قديمی شبکه استفاده نمود؟

با توجه به هزينه و زمان ارتقاء برنامه های نوشته شده قديمی توسط زبان های جديد برنامه نويسی ، ممکن است تصميم گرفته شود که فعلا” و تا زمانی که نرم افزارهای جديد نوشته و جايگزين گردند از نرم افزارهای موجود حمايت و پشتيبانی شود. در اين رابطه ممکن است بتوان از يک بسته نرم افراری به عنوان گزينه ای جايگزين در ارتباط با برنامه های قديمی نيز استفاده نمود. در صورتی که می توان با اعمال تغييراتی اندک و ترجمه کد منبع برنامه ، امکان اجرای برنامه را بر روی يک سيستم عامل جديد فراهم نمود ، قطعا” هزينه مورد نظر بمراتب کمتر از حالتی است که برنامه از ابتدا و متناسب با خواسته های جديد ، بازنويسی گردد. يکی ديگر از مسائلی که می بايست در زمان ارتقاء يک برنامه جديد مورد توجه قرار گيرد ، آموزش کاربرانی است که از نرم افزار فوق استفاده می نمايند.

برنامه ريزی برای طراحی منطقی شبکه

برای طراحی منطقی شبکه ، می توان از يک و يا دو نقطه کار خود را شروع کرد: طراحی و نصب يک شبکه جديد و يا ارتقاء شبکه موجود.

در هر دو حالت ، می بايست اطلاعات مورد نياز در خصوص چندين عامل اساسی و مهم را قبل از طراحی منطقی شبکه ، جمع آوری نمود. مثلا” با توجه به سرويس ها و خدماتی که قصد ارائه آنان به سرويس گيرندگان شبکه را داريم ، می بايست به بررسی و آناليز الگوهای ترافيک در شبکه پرداخته گردد . شناسائی نقاط حساس و بحرانی (در حد امکان ) ، کاهش ترافيک موجود با ارائه مسيرهای متعدد به منابع و تامين سرويس دهندگان متعددی که مسئوليت پاسخگوئی به داده های مهم با هدف تامين Load balancing را دارا می باشند ، نمونه هائی در اين رابطه می باشد .برای برنامه ريزی در خصوص طراحی منطقی شبکه می بايست به عواملی ديگر نيز توجه و در خصوص آنان تعيين تکليف شود :

سرويس گيرندگان، چه افرادی می باشند؟ نياز واقعی آنان چيست ؟ چگونه از نياز آنان آگاهی پيدا کرده ايد ؟ آيا اطلاعات جمع آوری شده معتبر است ؟
چه نوع سرويس ها و يا خدماتی می بايست بر روی شبکه ارائه گردد؟ آيا در اين رابطه محدوديت های خاصی وجود دارد ؟ آيا قصد استفاده و پيکربندی يک فايروال بين شبکه های محلی وجود دارد ؟ در صورت وجود فايروال ، به منظور استفاده از اينترنت به پيکربندی خاصی نياز می باشد؟
آيا صرفا” به کاربران داخلی شبکه ، امکان استفاده از اينترنت داده می شود و يا کاربران خارجی ( مشتريان سازمان ) نيز می بايست قادر به دستيبابی شبکه باشند ؟ هزينه دستيابی و ارائه سرويس ها و خدمات به کاربران خارجی از طريق اينترنت، چه ميزان است ؟ ؟ آيا تمامی کاربران شبکه مجاز به استفاده از سرويس پست الکترونيکی می باشند (سيستم داخلی و يا خارجی از طريق فايروال ) . کاربران شبکه ، امکان دستيابی به چه سايت هائی را دارا خواهند بود؟ آيا سازمان شما دارای کاربرانی است که در منزل و يا محيط خارج از اداره مشغول به کار بوده و لازم است به شبکه از طريق Dial-up و يا VPN ( از طريق ايننترنت ) ، دستيابی نمايند ؟

يکی از موضوعات مهمی که امروزه مورد توجه اکثر سازمان ها می باشد ، نحوه تامين امکان دستيابی نامحدود به اينترنت برای کاربران است. در صورتی که کاربران نيازمند مبادله نامه الکترونيکی با مشتريان سازمان و يا مشاوران خارج از شرکت می باشند ، می بايست ترافيک موجود را از طريق يک برنامه فيلتر محتوا و يا فايروال انجام و به کمک نرم افزارهائی که حفاظت لازم در مقابل ويروس ها را ارائه می نمايند ، عمليات تشخيص و پيشگيری از کد های مخرب و يا فايل ضميمه آلوده را نيز انجام داد.
با استفاده از نرم افزارهائی نظير FTP ،کاربران قادر به ارسال و يا دريافت فايل از طريق سيستم های راه دور می باشند .آيا در اين خصوص تابع يک سياست مشخص شده ای بوده و می توان پتانسيل فوق را بدون اين که اثرات جانبی خاصی را به دنبال داشته باشد در اختيار کاربران قرار داد ؟ از لحاظ امنيتی ،امکان اجرای هر برنامه جديد بر روی هر کامپيوتر ( سرويس گيرنده و يا سرويس دهنده ) بدون بررسی لازم در خصوص امنيت برنامه ، تهديدی جدی در هر شبکه کامپيوتری محسوب می گردد .

آيا کاربران شبکه با يک مشکل خاص کوچک که می تواند برای دقايقی شبکه و سرويس های آن را غير فعال نمايد ، کنار می آيند و يا می بايست شبکه تحت هر شرايطی به منظور ارائه خدمات و سرويس ها ، فعال و امکان دستيابی به آن وجود داشته باشد ؟ آيا به سرويس دهندگان کلاستر شده ای به منظور در دسترس بودن دائم شبکه ، نياز می باشد ؟ آيا کاربران در زمان غيرفعال بودن شبکه ، چيزی را از دست خواهند داد ؟ آيا يک سازمان توان مالی لازم در خصوص پرداخت هزينه های مربوط به ايجاد زيرساخت لازم برای فعال بودن دائمی شبکه را دارا می باشد ؟ مثلا” می توان توپولوژی های اضافه ای را در شبکه پيش بينی تا بتوان از آنان برای پيشگيری از بروز اشکال در يک نقطه و غير فعال شدن شبکه ، استفاده گردد. امروزه با بکارگيری تجهيزات خاص سخت افزاری به همراه نرم افزاری مربوطه ، می توان از راهکارهای متعددی به منظور انتقال داده های ارزشمند در يک سازمان و حفاظت از آنان در صورت بروز اشکال ، استفاده نمود.
در صورتی که قصد ارتقاء شبکه موجود وجود داشته باشد ، آيا می توان از پروتکل های فعلی استفاده کرد و يا می بايست به يک استاندارد جديد در ارتباط با پروتکل ها ، سوئيچ نمود ؟ در صورتی که يک شبکه جديد طراحی می گردد ، چه عواملی می تواند در خصوص انتخاب پروتکل شبکه ، تاثير گذار باشد ؟ اترنت ، متداولترين تکنولوژی شبکه ها ی محلی ( LAN ) و TCP/IP ، متداولترين پروتکلی است که بر روی اترنت ، اجراء می گردد . در برخی موارد ممکن است لازم باشد که ساير تکنولوژی های موجود نيز بررسی و در رابطه با استفاده از آنان ، تصميم گيری گردد .

استفاده کنندگان شبکه چه افرادی هستند ؟

اين سوال به نظر خيلی ساده می آيد. ما نمی گوئيم که نام استفاده کنندگان چيست ؟ هدف از سوال فوق، آشنائی با نوع عملکرد شغلی و حوزه وظايف هر يک از کاربران شبکه است . طراحان شبکه های کامپيوتری نيازمند تامين الگوها و خواسته ها متناسب با ماهيت عملياتی هر يک از بخش های يک سازمان بوده تا بتوانند سرويس دهندگان را به درستی سازماندهی نموده و پهنای باند مناسب برای هر يک از بخش های فوق را تامين و آن را در طرح شبکه ، لحاظ نمايند . مثلا” در اکثر سازمان ها ، بخش عمده ترافيک شبکه مربوط به واحد مهندسی است. بنابراين در چنين مواردی لازم است امکانات لازم در خصوص مبادله داده در چنين واحدهائی به درستی پيش بينی شود .

شبکه مورد نظر می بايست چه نوع سرويس ها و خدماتی را ارائه نمايد ؟

مهمترين وظيفه يک شبکه ، حمايت از نرم افزارهائی است که امکان استفاده از آنان برای چندين کاربر ، وجود داشته باشد. در اين رابطه لازم است در ابتدا ليستی از انواع نرم افزارهائی که در حال حاضر استفاده می گردد و همچنين ليستی از نرم افزارهائی را که کاربران تقاضای استفاده از آنان را نموده اند، تهيه گردد. هر برنامه دارای يک فايل توضيحات کمکی است که در آن به مسائل متفاوتی از جمله رويکردهای امنيتی ، اشاره می گردد ( در صورت وجود ) . نرم افزارهای عمومی شبکه در حال حاضر FTP، telnet و مرورگرهای وب بوده که نسخه های خاص امنيتی در ارتباط با هر يک از آنان نيز ارائه شده است . برخی از اين نوع نرم افزارها دارای نسخه هائی می باشند که همزمان با نصب ، حفره ها و روزنه های متعددی را برروی شبکه ايجاد می نمايند . صرفنظر از اين که چه نرم افزارهائی برای استفاده در شبکه انتخاب می گردد ، می بايست به دو نکته مهم در اين رابطه توجه گردد :

آيا برنامه ايمن و مطمئن می باشد؟ اکثر برنامه ها در حال حاضر دارای نسخه هائی ايمن بوده و يا می توان آنان را به همراه يک سرويس دهنده Proxy به منظور کمک در جهت کاهش احتمال بکارگيری نادرست ، استفاده نمود.سرويس دهندگان Proxy ، يکی از عناصر اصلی و مهم در فايروال ها بوده و لازم است به نقش و جايگاه آنان بيشتر توجه گردد. حتی شرکت های بزرگ نيز در معرض تهديد و آسيب بوده و هر سازمان می بايست دارای کارشناسانی ماهر به منظور پيشگيری و برخورد با مشکلات امنيتی خاص در شبکه باشد .
آيا يک برنامه با برنامه ديگر Overlap دارد؟ هر کاربر دارای نرم افزار مورد علاقه خود می باشد . برخی افراد يک واژه پرداز را دوست دارند و عده ای ديگر به واژه پردازه ديگری علاقه مند می باشند. در زمان استفاده از چنين نرم افزارهائی لازم است حتی المقدور سعی گردد از يک محصول خاص بمظور تامين خواسته تمامی کاربران ،استفاده گردد. فراموش نکنيم که پشتيبانی چندين برنامه که عمليات مشابه و يکسانی را انجام می دهند هم سرمايه های مالی را هدر خواهد داد و هم می تواند سردرگمی ، تلف شدن زمان و بروز مشکلات مختلف در جهت مديريت آنان توسط گروه مديريت و پشتيبان شبکه را به دنبال داشته باشد .

هر برنامه و يا سرويس جديدی را که قصد نصب و فعال شدن آن را در شبکه داشته باشيم ، می بايست در ابتدا بررسی و در ادامه متناسب با سياست ها و شرايط موجود ، پيکربندی نمود . برنامه های جديد می بايست منطبق بر اين حقيقت باشند که چرا به وجود آنان نياز می باشد؟ در صورتی که يک برنامه موجود می تواند به منظور تحقق اهداف خاصی استفاده گردد ، چرا به برنامه ای ديگر نياز می باشد ؟ آيا عدم کارائی برنامه قديمی بررسی و بر اساس نتايج به دست آمده به سراغ تهيه يک نرم افزار جديد می رويم ؟ همواره لازم است برنامه جديد بررسی تا اطمينان لازم در خصوص تامين خواسته ها توسط آن حاصل گردد.اين موضوع در رابطه با برنامه های قديمی نيز صدق خواهد کرد: آيا اين نوع برنامه ها بر روی شبکه جديد و يا شبکه موجود که قصد ارتقاء آن را داريم ، کار خواهند کرد؟
آيا استفاده از شبکه ، مانيتور می گردد؟ آيا به کاربران شبکه اجازه داده می شود که اکثر وقت خود را در طی روز به استفاده از اينترنت و يا ارسال و يا دريافت نامه های الکترونيکی شخصی ، صرف نمايند ؟ تعداد زيادی از سازمان ها و موسسات امکان استفاده از تلفن برای کاربردهای شخصی را با لحاط نمودن سياست های خاصی در اختيار کارکنان خود قرار می دهند. آيا در زمان تعريف آدرس الکترونيکی کاربران ، راهکاری مناسب در اين خصوص انتخاب و به آنان اعلام شده است ؟ آيا پيشگيری لازم به منظور دستيابی به سايت هائی که ارتباطی با عملکرد شغلی پرسنل ندارند ، پيش بينی شده است ؟

برای هر يک از لينک های شبکه به چه درجه ای از اطمينان نياز است ؟

از کار افتادن شبکه و غير فعال شدن سرويس های آن تا چه ميزان قابل قبول است ؟ شايد اکثر کاربران در پاسخ زمان صفر را مطرح نموده و تمايل دارند که شبکه تحت هر شرايطی فعال و در دسترس باشد . عناصر مهم در شبکه ، نظير سرويس دهندگان فايل دارای استعداد لازم برای پذيرش اشکالات و بروز خطاء می باشند . در سرويس دهندگان بزرگ ، از دو منبع تغذيه متفاوت که هر کدام به يک ups جداگانه متصل می گردند ، استفاده می شود و از فن آوری های Raid به منظور اطمينان از صحت ارائه اطلاعات در رابطه با حوادثی که ممکن است باعث از کار افتادن يک ديسک گردد ، استفاده می شود. در صورتی که دو بخش متفاوت يک سازمان از طريق يک خط ارتباطی ( لينک ) خاص با يکديگر مرتبط شده باشند و لازم است که همواره ارتباط بين آنان بصورت تمام وقت برقرار باشد، می بايست برنامه ريزی لازم در خصوص ايجاد چندين لينک بين دو سايت ، صورت پذيرد (لينک Backup ). در چنين مواردی ، می بايست هزينه تامين لينک اضافه نيز پيش بينی گردد. در صورتی که از چندين لينک برای ارتباط با سايت های راه دور استفاده می شود ، می توان از مسيرهای مختلفی بدين منظور استفاده نمود . بديهی است در صورت بروز اشکال در يکی از لينک های موجود، می توان از ساير مسير ها استفاده به عمل آورد . در اين رابطه لازم است به موارد زير نيز توجه گردد :

علاوه بر در نظر گرفتن خطوط اختصاصی بين سايت ها ، استفاده از VPN)Virtual Private Networking) ، نيز روشی متداول به منظور اتصال به سايت های راه دور، می باشد . مهمترين مزيت روش فوق، ارزان بودن آن نسبت به يک لينک اختصاصی با توجه به استفاده از زيرساخت اينترنت برای مبادله داده است . کاربران موبايل می توانند با استفاده از يک VPN به شبکه سازمان خود دستيابی داشته باشند ( در زمان حرکت از يک نقطه به نقطه ای ديگر ) . در چنين مواردی لازم است سايت راه دور ( و نيز سايت اصلی ) ، از دو ISP استفاده نموده تا اگر يکی از آنان با مشکل روبرو گرديد ، امکان استفاده از اينترنت از طريق يک اتصال ديگر ، وجود داشته باشد .
فن آوری ديگری که می توان از آن به منظور ارائه يک لايه اضافه به منظور در دسترس بودن شبکه استفاده نمود ، دستيابی با سرعت بالا به دستگاههای ذخيره سازی و شبکه ذخيره سازی ( SAN:Storage Area Network ) است . SAN ، شبکه ای است که از LAN جدا بوده و شامل صرفا” دستگاههای ذخيره سازی و سرويس دهندگان لازم برای دستيابی به دستگاه ها است . با توجه به اين که پهنای باند شبکه با کاربران شبکه محلی LAN به اشتراک گذاشته نمی شود ، چندين سرويس دهنده قادر به دستيابی محيط ذخيره سازی مشابه و يکسانی ، خواهند بود. ساير سرويس دهندگان می توانند بگونه ای پيکربندی گردند که امکان دستيابی به داده را فراهم نمايند . در اين رابطه می توان از RAID و يا برخی فن آوری های ديگر مرتبط با دستگاه های ذخيره سازی نيز استفاده نمود .

ادامه مطلب

توسط

admin

در

شبکه Network, مفاهیم شبکه

مفاهیم Load Balancing

مقدمه

مفاهیم Load Balancing: به توضیع بار شبکه و یا ترافیک نرم افزاری روی سرور های Cluster جهت بهینه سازی پاسخ به درخواست و افزایش کیفیت و پایداری تقسم بار یا Load Balancing گفته میشود. سرور یا سیستم تقسیم بار بین Client و Server Farm قرار میگیرید و ترافیک های شبکه و نرم افزار را با استفاده از متد های گوناگون بین سرور ها توضیع میکند که با انجام این عمل بین سرور ها از بروز Single Point Failure جلوگیری میشود. Load Balancing یکی از بهترین و کارامد ترین معماری برای Application server میباشد.

مفاهیم Load Balancing

با راه اندازی این متد زمانی که درگیری سرور و مصرف منابع Application بالا میرود میتوان به راحتی سرور های جدید را به Server Pool اضافه کرد. به محض اضافه شدن سرور جدید Request ها و ترافیک روی سرور جدید نیز توضیع خواهد شد.

با توجه به توضیحات بالا وظایف Load Balancer به شرح زیر خواهد بود:

توضیع درخواست های Client و یا ترافیک شبکه بصورت موثر بین سرور ها
اطمینان از پایداری سرویس، کیفیت و اعتماد با فرستادن درخواست Client به سمت سرور های فعال و در دسترس
ارائه انعطاف پذیری در حذف و یا اضافه سرور در صورت نیاز

تقسیم بار یا همان Load Balancing چگونه انجام میشود:

زمانی که یک Application Server غیر قابل دسترس میشود Load balancer تمامی درخواست های مربوط به Application را به یکی دیگر از سرور های فعال ارجاع میدهد. جهت تحویل پیشرفته درخواست های نرم افزاری از یک سیستم Application Delivery Controller یا به اختصار ADC استفاده میشود تا امنیت و Performance در زمان ارجاع درخواست به Web افزایش یابد. ADC فقط یک Load Balancer نیست بلکه یک پلتفرم جهت تحویل شبکه، Application، سرویس های مبایل با سرعت و امنیت بالا میباشد.

متدها و الگوریتم های Load Balancing

The Least Connection Method : زمانی که Virtual Server طوری کانفیگ میشود تا از متد Least Connection استفاده کند سرویسی که کمترین تعداد کانکشن را دارد جهت پاسخ به درخواست انتخاب میشود.
The Round Robin Method : در این الگوریتم بصورت گردشی درخواست ها بین Server یا service ها تقسیم میشود. به این صورت که Server ها یا Service ها بصورت یک لیست شده و درخواست به اول سرویس دهنده لیست ارسال میشود و این متد بصورت گردشی ادامه میابد.
The Least Response Time Method : در این روش درخواست به سرویس دهنده ای که کمترین تعداد کانکشن و کمترین میانگین زمانی پاسخدهی را دارد ارسال میشود.
The Least Bandwidth Method : این متد برای سرویس دهندگان File Server مناسب بوده و سروری که کمترین میزان مصرف ترافیک شبکه را دارد جهت پردازش درخواست انتخاب میشود.
The Least Packets Method : در این متد سرویس دهنده ای کمترین میزان packet را در بازه مشخص دریافت میکند انتخاب میشود.
The Custom Load Method: زمانی که این متد جهت Load Balancing انتخاب شود سرویسی که هیچ درخواستی را برای پردازش ندارد انتخاب میشود، اگر همه سرور ها در حال پردازش Transaction بودند سروری که کمترین میزان لود را داراست جهت پردازش درخواست جدید انتخاب میشود.

دلیل استفاده از Load Balancing چیست ؟!

در هر صورت استفاده از این ساختار باعث پایداری، کیفیت و افزایش امنیت در سرویس دهی خواهد شد. در سیستم های Critical Mission و سیستم هایی که High Availability در ان مهم است استفاده از تقسیم بار ضروری میباشد.

ادامه مطلب

توسط

admin

در

امنیت Security, شبکه Network, مفاهیم شبکه

نقش پروتکل SSL یا Secure Socket Layer در امنیت ارتباطات شبکه

SSL یا Secure Socket Layer راه حلی جهت برقراری ارتباطات ایمن میان یک سرویس‌دهنده و یک سرویس‌گیرنده است که توسط شرکت Netscape ارائه شده است. درواقع SSL پروتکلی است که پایین‌تر از لایه کاربرد (لایه ۴ از مدل TCP/IP) و بالاتر از لایه انتقال (لایه سوم از مدل TCP/IP) قرار می‌گیرد.

پروتکل SSL بهره‌گیری از موارد امنیتی تعبیه شده آن برای امن کردن پروتکل‌های غیر امن لایه کاربردی نظیر HTTP، LDAP، IMAP و غیره است. الگوریتم‌های رمزنگاری بر اساس پروتکل SSL بر روی داده‌های خام (plain text) که قرار است از یک کانال ارتباطی غیر امن مثل اینترنت عبور کنند، اعمال می‌شود و محرمانه ماندن داده‌ها را در طول کانال انتقال تضمین می‌کند. به‌بیان‌دیگر شرکتی که صلاحیت صدور و اعطای گواهی‌های دیجیتال SSL را دارد برای هرکدام از دو طرفی که قرار است ارتباطات میان شبکه‌ای امن داشته باشند، گواهی‌های مخصوص سرویس‌دهنده و سرویس‌گیرنده را صادر می‌کند و با مکانیسم‌های احراز هویت خاص خود، هویت هرکدام از طرفین را برای طرف مقابل تأیید می‌کند. البته غیر از این کار می‌بایست تضمین کند که اگر اطلاعات حین انتقال مورد سرقت قرار گرفت، برای رباینده قابل‌درک و استفاده نباشد که این کار را با کمک الگوریتم‌های رمزنگاری و کلیدهای رمزنگاری نامتقارن و متقارن انجام می‌دهد.

ملزومات یک ارتباط مبتنی بر پروتکل امنیتی SSL

برای داشتن ارتباطات امن مبتنی بر SSL عموماً به دو نوع گواهی دیجیتال SSL نیاز است. گواهی اول برای سرویس‌دهنده و گواهی دیگر برای سرویس‌گیرنده است. همچنین به یک مرکز صدور و اعطای گواهینامه دیجیتال یا CA نیاز است. وظیفه CA این است که هویت طرفین ارتباط، نشانی‌ها، حساب‌های بانکی و تاریخ انقضای گواهینامه را بداند و بر اساس آن‌ها هویت‌ها را تعیین نماید.

مکانیسم‌های تشکیل‌دهنده SSL

۱– تأیید هویت سرویس‌دهنده

با استفاده از این ویژگی در SSL، یک کاربر از صحت هویت یک سرویس‌دهنده مطمئن می‌شود. نرم‌افزارهای مبتنی بر SSL سمت سرویس‌گیرنده، مثلاً یک مرورگر وب نظیر Internet Explorer می‌تواند از تکنیک‌های استاندارد رمزنگاری مبتنی بر کلید عمومی و مقایسه با کلیدهای عمومی یک سرویس‌دهنده، (مثلاً یک برنامه سرویس‌دهنده وب نظیر IIS) و از هویت آنها مطلع شود و پس از اطمینان کامل، کاربر می‌تواند نسبت به وارد نمودن اطلاعات خود مانند شماره کارت‌های اعتباری و یا گذرواژه‌ها اقدام نماید.

۲- تأیید هویت سرویس‌گیرنده

برعکس حالت قبلی در اینجا سرویس‌دهنده است که می‌بایست از صحت هویت سرویس‌گیرنده اطمینان یابد. طی این مکانیسم، نرم‌افزار مبتنی بر SSL سمت سرویس‌دهنده پس از مقایسه نام سرویس‌گیرنده با نام‌های مجاز موجود در لیست سرویس‌گیرنده‌های مجاز که در داخل سرویس‌دهنده تعریف می‌شود، اجازه استفاده از سرویس‌های مجاز را به او می‌دهد.

۳- ارتباطات رمز شده

کلیه اطلاعات مبادله شده میان سرویس‌دهنده و گیرنده می‌بایست توسط نرم‌افزارهای موجود در سمت سرویس‌دهنده و سرویس‌گیرنده رمزنگاری (Encrypt) شده و در طرف مقابل رمزگشایی (Decrypt) شوند تا حداکثر محرمانگی (Confidentiality) در این‌گونه سیستم‌ها لحاظ شود.

اجزای پروتکل SSL

پروتکل SSL دارای دو زیرپروتکل تحت عناوین زیر است:

۱- SSL Rocord Protocol که نوع قالب‌بندی داده‌های ارسالی را تعیین می‌کند.

۲- SSL Handshake Protocol که بر اساس قالب تعیین‌شده در پروتکل قبلی، مقدمات ارسال داده‌ها میان سرویس‌دهنده‌ها و سرویس‌گیرنده‌های مبتنی بر SSL را تهیه می‌کند.

بخش‌بندی پروتکل SSL به دو زیرپروتکل دارای مزایایی است ازجمله:

اول: در ابتدای کار و طی مراحل اولیه ارتباط (Handshake) هویت سرویس‌دهنده برای سرویس‌گیرنده مشخص می‌گردد.

دوم: در همان ابتدای شروع مبادلات، سرویس‌دهنده و گیرنده بر سر نوع الگوریتم رمزنگاری تبادلی توافق می‌کنند.

سوم: در صورت لزوم، هویت سرویس‌گیرنده نیز برای سرویس‌دهنده احراز می‌گردد.

چهارم: در صورت استفاده از تکنیک‌های رمزنگاری مبتنی بر کلید عمومی، می‌توانند کلیدهای اشتراکی مخفی را ایجاد نمایند.

پنجم: ارتباطات بر مبنای SSL رمزنگاری می‌شود.

الگوریتم‌های رمزنگاری پشتیبانی شده در SSL

در استاندارد SSL، از اغلب الگوریتم‌های عمومی رمزنگاری و مبادلات کلید (Key Exchcenge Algorithm) نظیر RSA، RC4، RC2،MD5، KEA، DSA، DES و RSA Key Exchauge، SHA1، Skipjack و DES3 پشتیبانی می‌شود. بسته به این که نرم‌افزارهای سمت سرویس‌دهنده و سرویس‌گیرنده نیز از موارد مذکور پشتیبانی نمایند، ارتباطات SSL می‌تواند بر اساس هرکدام از این الگوریتم‌ها صورت پذیرد. البته بسته به طول کلید مورد استفاده در الگوریتم و قدرت ذاتی الگوریتم، می‌توان آن‌ها را در رده‌های مختلفی قرار داد که توصیه می‌شود با توجه به سناریوهای موردنظر، از الگوریتم‌های قوی‌تر نظیر DES۳ با طول کلید ۱۶۸ بیت برای رمزنگاری داده‌ها و همچنین الگوریتم SHA-1 برای مکانیسم‌های تأیید پیغام MD5 استفاده شود و یا این که اگر امنیت در این حد مورد نیاز نبود، می‌توان در مواردی خاص از الگوریتم رمزنگاری RC4 با طول کلید ۴۰ بیت و الگوریتم تأیید پیغام MD5 استفاده نمود.

نحوه عملکرد داخلی پروتکل SSL

همان‌طور که می‌دانید SSL می‌تواند از ترکیب رمزنگاری متقارن و نامتقارن استفاده کند. رمزنگاری کلید متقارن سریع‌تر از رمزنگاری کلید عمومی است و از طرف دیگر رمزنگاری کلید عمومی تکنیک‌های احراز هویت قوی‌تری را ارائه می‌کند. یک جلسه (SSL (Session با یک تبادل پیغام ساده تحت عنوان SSL Handshake شروع می‌شود. این پیغام اولیه به سرویس‌دهنده این امکان را می‌دهد تا خودش را به سرویس‌دهنده دارای کلید عمومی معرفی نماید و سپس به سرویس‌گیرنده و سرویس‌دهنده این اجازه را می‌دهد که یک کلید متقارن را ایجاد نمایند که برای رمزنگاری‌ها و رمزگشایی سریع‌تر در جریان ادامه مبادلات مورد استفاده قرار می‌گیرد. گام‌هایی که قبل از برگزاری این جلسه انجام می‌شوند بر اساس الگوریتم RSA Key Exchangeعبارت‌اند از:

۱- سرویس‌گیرنده، نسخه SSL مورد استفاده خود، تنظیمات اولیه درباره نحوه رمزگذاری و یک داده تصادفی را برای شروع درخواست یک ارتباط امن مبتنی بر SSL به سمت سرویس‌دهنده ارسال می‌کند.

۲- سرویس‌دهنده نیز در پاسخ نسخه SSL مورد استفاده خود، تنظیمات رمزگذاری و داده تصادفی تولیدشده توسط خود را به سرویس‌گیرنده می‌فرستد و همچنین سرویس‌دهنده گواهینامه خود را نیز برای سرویس‌گیرنده ارسال می‌کند و اگر سرویس‌گیرنده از سرویس‌دهنده، درخواستی داشت که نیازمند احراز هویت سرویس‌گیرنده بود، آن را نیز از سرویس‌گیرنده درخواست می‌کند.

۳- سپس سرویس‌گیرنده با استفاده از اطلاعاتی که از سرویس‌دهنده مجاز در خود دارد، داده‌ها را بررسی می‌کند و اگر سرویس‌دهنده مذکور تأیید هویت شد، وارد مرحله بعدی می‌شود و در غیر این صورت با پیغام هشداری به کاربر، ادامه عملیات قطع می‌گردد.

نقش پروتکل SSL یا Secure Socket Layer در امنیت ارتباطات شبکه

شکل 1 : SSL

۴- سرویس‌گیرنده یک مقدار به نام Secret Premaster را برای شروع جلسه ایجاد می‌کند و آن را با استفاده از کلید عمومی (که اطلاعات آن معمولاً در سرویس‌دهنده موجود است) رمزنگاری می‌کند و این مقدار رمز شده را به سرویس‌دهنده ارسال می‌کند.

۵- اگر سرویس‌دهنده به گواهینامه سرویس‌گیرنده نیاز داشت می‌بایست در این گام برای سرویس‌دهنده ارسال شود و اگر سرویس‌گیرنده نتواند هویت خود را به سرویس‌دهنده اثبات کند، ارتباط در همین‌جا قطع می‌شود.

۶- به‌محض این که هویت سرویس‌گیرنده برای سرویس‌دهنده احراز شد، سرویس‌دهنده با استفاده از کلید اختصاصی خودش مقدار Premaster Secret را رمزگشایی می‌کند و سپس اقدام به تهیه مقداری به نام Master Secret می‌نماید.

۷- هم سرویس‌دهنده و هم سرویس‌گیرنده با استفاده از مقدار Master Secret کلید جلسه (Session Key) را تولید می‌کنند که درواقع کلید متقارن مورد استفاده در عمل رمزنگاری و رمزگشایی داده‌ها حین انتقال اطلاعات است و در این مرحله به‌نوعی جامعیت داده‌ها بررسی می‌شود.

۸- سرویس‌گیرنده پیغامی را به سرویس‌دهنده می‌فرستد تا به او اطلاع دهد، داده بعدی که توسط سرویس‌گیرنده ارسال می‌شود به‌وسیله کلید جلسه رمزنگاری خواهد شد و در ادامه، پیغام رمز شده نیز ارسال می‌شود تا سرویس‌دهنده از پایان یافتن Handshake سمت سرویس‌گیرنده مطلع شود.

۹- سرویس‌دهنده پیغامی را به سرویس‌گیرنده ارسال می‌کند تا او را از پایان Handshake سمت سرویس‌دهنده آگاه نماید و همچنین این که داده بعدی که ارسال خواهد شد توسط کلید جلسه رمز می‌شود.

۱۰- در این مرحلهSSL Handshake تمام می‌شود و از این به بعد جلسه SSL شروع می‌شود و هر دو عضو سرویس‌دهنده و گیرنده شروع به رمزنگاری و رمزگشایی و ارسال داده‌ها می‌کنند.

ادامه مطلب

توسط

admin

در

Network

مفاهيم ارسال سيگنال و پهناي باند

مفاهيم ارسال سيگنال و پهناي باند: پهناي باند (Bandwidth) به تفاوت بين بالاترين و پايين‌ترين فركانسهايي كه يك سيستم ارتباطي مي‌تواند ارسال كند گفته مي‌شود. به عبارت ديگر منظور از پهناي باند مقدار اطلاعاتي است كه مي‌تواند در يك مدت زمان معين ارسال شود. براي وسايل ديجيتال، پهناي باند برحسب بيت در ثانيه و يا بايت در ثانيه بيان مي‌شود. براي وسايل آنالوگ، پهناي باند، برحسب سيكل در ثانيه بيان مي‌شود.
دو روش براي ارسال اطلاعات از طريق رسانه‌هاي انتقالي وجود دارد كه عبارتند از: روش ارسال باند پايه (Baseband) و روش ارسال باند پهن (Broadband).]27]
در يك شبكه LAN، كابلي كه كامپيوترها را به هم وصل مي‌كند، فقط مي‌تواند در يك زمان يك سيگنال را از خود عبور دهد، به اين شبكه يك شبكه Baseband مي‌گوئيم. به منظور عملي ساختن اين روش و امكان استفاده از آن براي همه كامپيوترها، داده‌اي كه توسط هر سيستم انتقال مي‌يابد، به واحدهاي جداگانه‌اي به نام Packet شكسته مي‌شود. در واقع در كابل يك شبكه LAN، توالي Packetهاي توليد شده توسط سيستم‌هاي مختلف را شاهد هستيم كه به سوي مقاصد گوناگوني در حركت‌اند.شكلي كه در ادامه خواهد آمد، اين مفهوم را بهتر نشان مي‌دهد.

ادامه مطلب

توسط

admin

در

امنیت Security, شبکه Network, هک Hack

تکنولوژی نوین کدهای مخرب

شاید 15 سال پیش، هیچ كس گمان نمی‌كرد كه كد‌هاي مخرب تا اين حد در ساده‌ترين كار‌هاي روزمره ما نيز دخالت كنند.

آن روز‌ها وقتي يك ويروس جديد طراحي و خلق مي‌شد، انتشار آن، هفته‌ها و يا حتي ماه‌ها طول مي‌كشيد؛ چرا كه يك فلاپي ديسك مي‌تواند وسيله‌اي سريع براي انتشار ويروس‌ها نباشد!!

فناوري‌هاي مورد استفاده براي حفاظت سيستم‌ها در برابر اين ويروس‌هاي ماقبل تاريخ بسيار ساده و ابتدايي بودند، درست هماهنگ با فناوري‌هاي مورد استفاده براي طراحي، خلق و انتشار اين ويروس‌ها.

بنابراين در آن زمان، تعدادي روش محدود و ابتدايي براي مقابله با تهديدات رايانه اي و قابل قبول بودن سطح شرايط ايمني سيستم‌ها كفايت مي‌نمود.

اما اكنون ساختار و نحوه طراحي ويروس‌ها بسيار پيچيده‌تر شده است. هكر‌ها قدرتمند و توانا شده‌اند و عرصه‌هاي جديدي را فتح كرده‌اند مانند پست الكترونيك و نيز فناوري ويروس‌هايي كه بدون نياز به باز شدن پيغام‌ها از طرف كاربر به طور خودكار منتشر مي‌شوند.

اكنون ويروس‌هايي وجود دارند كه مي‌توانند رايانه‌ها را آلوده كنند فقط به اين دليل ساده كه كاربر به اينترنت متصل شده است.

هركدام از اين مراحل طي شده توسط هكر‌ها، نشان دهنده روند رو به رشد آنان در استفاده از فناوري‌هاي جديد براي طراحي، خلق و انتشار ويروس‌ها بوده است.

بنابراين براي حفاظت سيستم‌ها در مقابل اين كد‌هاي مخرب، روش‌هاي نوين منطبق بر فناوري‌هاي جديد لازم است.

براي نمونه اگر نامه‌هاي الكترونيكي منبع بالقوه تهديدات باشد، بررسي و جست‌وجوي مستمر يك برنامه ضدويروس، بايد نقل و انتقالات اطلاعاتي POP3 را نيز دربربگيرد.

اما امسال، سال 2006، واقعاً چه اتفاقاتي در حال رخ دادن است؟ آيا ما شاهد انقلاب‌هاي جديد در فناوري‌هاي مربوط به طراحي وخلق كد‌هاي مخرب خواهيم بود؟

هرگز. شايد بشود گفت كه طراحان كد‌هاي مخرب در خلاقيت و فناوري، حتي يك گام هم به عقب برداشته‌اند. روش‌هاي استفاده شده براي انتقال و انتشار كد‌هاي مخرب در رايانه‌ها، كمي ابتدايي‌تر نيز شده‌اند. مدت زماني است كه از ايده‌هاي خلاق و پي درپي براي نفوذ در سيستم‌ها مانند استفاده از روش‌هاي EPO (Entry Point Obscuring) و آلوده كردن فايل‌هاي PE ويندوز اثري نيست.

پيشرفته ترين روش‌ها در حال حاضر از يك rootkit استفاده مي‌كنند كه چه از نوع تجاري و چه از نوع غيرتجاري، اغلب اوقات توسط يك طراح حرفه‌اي ويروس، خلق نمي‌شوند.

خلاقيت و پيشرفت بسيار دشوار است و نياز به تلاش فراوان و تخيل خلاق دارد كه گمان نمي‌رود طراحان ويروس داراي چنين ويژگي‌هاي مثبتي باشند!!

شركت‌هاي امنيتي نيز به نوبه خود همواره در حال پژوهش، بررسي، طراحي و توليد فناوري‌هاي قدرتمند و مؤثر در مقابله با هكر‌ها هستند و به نظر مي‌رسد كه امنيت و حفاظت گوي سبقت را از طراحان كد‌هاي مخرب ربوده است و از لحاظ تكنولوژي درجايي بالاتر از آن‌ها ايستاده است.

استراتژي جديد هكر‌ها، روي استفاده از فناوري‌ها و خلاقيت‌هاي نوين تمركز نمي‌كند، بلكه جهت‌گيري آن به سمت رشد ارتكاب جرم‌هاي اينترنتي است.

تا چند سال قبل طراحان و خالقان ويروس به خود مي‌باليدند از اينكه ويروس‌هاي ساخت آن‌ها تا چه حد درسطح انتشار و تخريب موفق عمل مي‌كردند. اما اكنون در خصوص مبالغي كه از طريق كلاهبرداري‌هاي اينترنتي به سرقت مي‌برند به خود مي‌بالند.

براي دستيابي به اين هدف، آنها نيازي به تلاش فراوان و دانش پيشرفته براي تحليل API ها و آشنايي با سيستم‌هاي جديد تخريب ندارند.

يك روش قديمي و نخ نما براي فريب كاربر نيز كافي است كه پول وي به سرقت رود.

در دهه 30 در ايالات متحده آمريكا، فروشنده‌اي اعلام كرد كه روش قطعي مبارزه با آفات سيب زميني را يافته و حاضر است آن را با قيمتي مناسب در اختيار كشاورزان قرار دهد.

بسياري از توليدكنندگان سيب زميني نيز با خريد اين روش موافقت كردند و حتي حاضر شدند مبلغ آن را نيز پيش پرداخت كنند.

پس از پرداخت مبلغ، آنها دو تكه چوب به شكل مكعب مستطيل و به اندازه پاكت سيگار دريافت كردند. در راهنماي روش قاطع دفع آفات سيب زميني ذكر شده بود كه آنها مي‌بايست يك حشره را گرفته، آن را روي يكي از تكه‌هاي چوب گذاشته و با چوب ديگر روي آن ضربه بزنند تا آن حشره از بين برود و آنها بايد تا دفع كامل آفات اين عمل تكرار كنند!!

بله؛ اين فقط يك شگرد تبليغاتي فريبكارانه بود.

آيا شباهتي بين اين روش كهنه دهه 30 و روش‌هاي مورد استفاده طراحان كد‌هاي مخرب در سال 2006 ديده نمي‌شود؟

با غلبه امنيت و حفاظت بر كد‌هاي مخرب و ويروس‌ها در عرصه تكنولوژي و دانش، اكنون فناوري‌هاي امنيتي حفاظتي مبارزه دوم را آغاز مي‌كنند.

مقابله با كد‌هاي مخربي كه داراي تكنولوژي پيشرفته‌اي نيستند، اما از عملكرد كاربراني كه در دام هكر‌ها گرفتار شده‌اند سوءاستفاده مي‌كنند.

هيچ حفره امنيتي در زمينه امنيت IT از يك كاربر بي‌تجربه و ساده خطرناك‌تر نيست. بنابراين فناوري‌هاي حفاظتي جديد بايد به رفع اين مشكل بپردازند.

از آنجا كه تكنولوژي و دانش هكر‌ها براي مدت زماني است كه متوقف مانده و رو به پيشرفت نمي‌رود، سيستم‌هاي حفاظت جديد يقيناً قادر خواهند بود تا بسادگي حملات هك را دفع كنند.

ادامه مطلب

توسط

admin

در

امنیت Security, شبکه Network

کوکی (Cookie) چیست؟

تقریبا تمام سایت هایی که بازدید می کنید اطلاعاتی را در قالب یک فایل کوچک متنی (Text) بر روی کامپیوتر شما ذخیره می کنند به این فایل کوکی می گویند محل ذخیره شدن این فایل در فولدر Temporary Internet Files در اینترنت اکسپولرر و در نت اسکیپ در فولدر Cashe است در اپرا و موزیلا و نسخه های قدیمی تر اینترنت اکسپولرر در فولدر جدایی به نام کوکی است.

انواع مختلفی از کوکی ها وجود دارد و شما در نسخه های جدیدتر وب بروسر ها (Web Browsers) این امکان را دارید که انتخاب کنید کدام کوکی ها برروی کامپیوتر شما ذخیره شوند در صورتی که کوکی ها را کاملا غیر فعال کنید ممکن است بعضی سایت های اینترنتی را نتوانید ببیند و یا از بعضی امکانات مثل به یاد داشتن شناسه و رمز عبور شما در آن سایت محروم شوید و یا انتخاب هایی که داشتید مثل ساعت محلی و یا دمای هوای محلی و کلا از تنظیمات شخصی ای که در آن وب سایت انجام داده اید نتوانید استفاده کنید.

کوکی ها چگونه مورد استفاده قرار می گیرند؟

همانطوری که گفتیم کوکی یک فایل است که توسط یک وب سایت برای حفظ اطلاعات بر روی کامپیوتر شما قرار می گیرد یک کوکی می تواند شامل اطلاعاتی باشد که شما در آن سایت وارد کرده اید مانند ای میل – آدرس – شماره تلفن و سایر اطلاعات شخصی – همچنین کوکی ها می توانند صفحات و یا کارهایی را که در آن وب سایت انجام داده اید مثل تعداد کلیک لینک های بازدید شده و مدت بازدیدرا نیز ضبط کنند. این به سایت کمک می کند تا دفعه بعد که به آن سایت بازگشتید اطلاعات شما را به خاطر داشته باشد و از وارد کردن تکراری اطلاعات خودداری کنید نمونه بارز این مطلب لاگ این ماندن شما در آن سایت است و یا پیغام های Welcome Back و یا حفظ تنظیماتی که درآن سایت انجام داده این به عنوان مثال می توان به خصوصی کردن صفحه My MSN اشاره کرد. نکته ای را که باید به خاطر داشته باشید این است که هر وب سایت فقط می تواند از اطلاعاتی که شما وارد کرده اید استفاده کند نه بیشتر مثلا اگر ای میل خود را در آن سایت وارد نکرده اید آن وب سایت نمی تواند ای میل شما را به دست آورد و یا به سایر اطلاعات کامپیوتر شما دست یابد .

مورد دیگر اینکه وب سایت ها فقط می توانند کوکی هایی را که خود ایجاد کرده اند بخوانند و نمی توانند از سایر کوکی های موجود استفاده کنند. وقتی که از یک وب سایت برای بار دوم بازدید می کنید آن وب سایت به دنبال کوکی مربوط به خود می گرد و در صورت وجود از آن استفاده می کند.( البته باز هم با توجه به تنظیماتی که انجام داده اید )

انواع کوکی ها:

کوکی های پایا – دائمی (presistent Cookies):

این نوع کوکی ها به عنوان یک فایل بر روی کامپیوتر شما ذخیره می شوند و بعد از بستن مرورگر اینترنتی شما پاک نخواهند شد و همچنان باقی می مانند. این کوکی ها قابلیت به روز شدن توسط سایت ایجاد کننده خود را دارند همچنین سایت اجازه دسترسی مستقیم به این کوکی ها رو نیز دارد حدود 80 درصد کوکی های مورد استفاده از این نوع هستند.

کوکی های موقت (Temporary Cookies):

کوکی هایی هستند که بعد از بستن مرورگر اینترنتی شما و یا خروج از سایت استفاده کننده از کوکی پاک می شوند.

نوع دیگر کوکی های موقت کوکی های زمان دار هستند که زمانی برای کار دارند و بعد از آن اصطلاحا Expire می شوند و از کار می افتند ولی پاک نمی شوند و در صورت بازدید مجدد از سایت ممکن است به روز رسانی شوند و مجددا مورد استفاده قرار بگیرند.

کوکی های ناخوشایند؟(Un$$$isfactory cookies)

این کوکی ها اجازه دسترسی به اطلاعات خصوصی شما را برای استفاده دویاره بدون پرسیدن از شما دارند از این کوکی ها بیشتر در خرید های اینترنتی و سایت امن (SSL*) مورد استفاده قرار می گیرند.

مقایسه کوکی های متعلق به سایت اصلی (First Party) و کوکی های متعلق به سایت های دیگر (Third Party)

دوستان قبل از هر چیز اجازه بدین با دو مفهوم First & third party اشنا شویم این مفاهیم در حقیقت مفاهیم بیمه ای هستند :

First Party: عضو اصلی یک خانواده و یا شرکت صاحب حقوق و مزایای اصلی کسی که بیمه نامه اصلی را داراست (Policy Holder)

Second party : شرکت بیمه کننده

Third Party : هر شخص سومی غیر از این دو کلا بقیه افراد

و اما این مفاهیم در کوکی ها چه معنایی می دهند؟

First Party : کوکی هایی هستند که فقط اطلاعات آنها به سایت که توسط آنها ایجاد شده اند فرستاده می شود و کار آنها همانطور که اشاره شد یادآوری اطلاعات ماست.

Third Party : کوکی هایی هستند که اطلاعات را به چندین سایت مختلف غیر از آنچه بازدید می کنید می فرستند استفاده این کوکی ها معمولا تجاری است بدینگونه که شما از سایتی بازدید می کنید و آن سایت دارای بنرهای تجاری و تبلیغات از سایت دیگری (Third Party) می باشد در اینجاست که کوکی Third Party وارد عمل شده و اطلاعات شما را ثبت می کند به عنوان مثال صاحب تبلیغ با استفاده از این امکان می تواند ببیند که شما چه نوع تبلیغ هایی را بازدید می کنید و در کدام سایت ها. این نوع کوکی هم می توانند از نوع دائمی و هم موقت باشند. اصولا این نوع کوکی ها استاندارد نیستند و توسط مرورگرهای جدید بلوک می شوند. همچنین این کوکی ها ممکن است به هکر ها کمک کنند تا اطلاعات شخصی شما را بدست بیاورند.( برای جلوگیری از آخرین پچ های مرورگر خود استفاده کنید*) اصولا پیشنهاد می شود تا این کوکی ها را که هیچ استفاده مفیدی برای کاربر ندارند بلوک کنید.

ادامه مطلب

توسط

admin

در

امنیت Security, شبکه Network, هک Hack

Adware و Spyware چیست؟

آيا از صفحات مختلفي که گاه و بيگاه ، نا خواسته روي صفحه مانيتورتان ظاهر مي شود بستوه آمده ايد ؟
آيا مي دانيدکه سيستم شما آلوده به برنامه هاي جاسوسي شده است؟
مي دانيد در هنگام استفاده از سرويس هاي File Sharing مانند Kazza و … سيستم شما آلوده به Spyware و Adware ميگردد؟
Spyware و Adware فايل هائي هستند که روي کامپيوتر شما نصب مي شوند حتي بدون اينکه شما چنين چيزي را درخواست کرده باشيد! اين برنامه ها شرکت هاي بزرگ را قادر مي سازند تمام اعمال شما را در هنگام گشت و گذار در اينترنت رديابي کنند . بدانند چه مي خواهيد ؛ چه مي خريد و حتي به چه چيزهائي علاقه داريد.

ابزار جاسوسي Spy ware در حالت کلي به هر تکنولوژي برمي گردد که منجر به جمع آوري اطلاعات درباره يک شخص يا سازمان بدون اينکه آنها بدانند مي شود.در حيطه اينترنت،نرم افزاري است که طوري برنامه نويسي شده است که بر روي کامپيوتر يک شخص قرار مي گيرد تا درباره کاربر و مطالب مورد علاقه وي اطلاعاتي را بطور محرمانه جمع آوري کند.Spyware مي تواند به صورت يک ويروس نرم افزاري يا در نتيجه نصب يک برنامه جديد در يافت شود.مثلا کوکي ها از اين نوع هستند و کاربر مي تواند دستيابي به اطلاعات کوکي را غير مجاز کند.مدياهاي مختلفي که رايگان بر روي وب هستند نيز به همين منظور مي باشند.
متاسفانه در اکثر حالات اين جاسوسي قانوني است زيرا اين شرکت ها موافقت شما را با نصب اين برنامه ها در متن يادداشت License agreement خويش براي اينکه از برنامه هاي آنها (برنامه هائي مانند Kazza و…) استفاده کنيد ؛ دريافت کرده اند و در واقع کاربر از همه جا بي خبر که بدون خواندن متن اين License ها آنها را تائيد مي کند ؛ با دست خويش سيستم خود را به سمت هلاکت سوق داده است.
بنا بر اين اگر در هنگام گشت و گذار در اينترنت ؛ ناگهان صفحات ناخواسته اي روي مونيتور شما ظاهر شد
که اکثر آنها شما را ترغيب به کليک روي لينک خاصي مي نمايند ؛ شک نکنيد که سيستم شما آلوده به Spyware مي باشد .
خوب با اين اوصاف چه بايد کرد؟
نگران نباشيد چون برنامه هاي متعددي جهت پاکسازي سيستم از شر اين مهمان هاي ناخوانده وجود دارد . همچنين سايتهاي متعددي وجود دارند که بصورت Online سيستم شما را از حيث وجود اين برنامه ها بررسي مي کنند. شما با مراجعه به آدرس
http://www.spywareguide.com/txt_onlinescan.html
مي توانيد سيستم خود را پويش کنيد . همچنين در سايت زير نيز برنامه هاي Desktop اي

کامپيوترتان وجود دارد که مي توانيد دانلود نمائيد.
http://www2.palsol.com/spyrem_offer/index.html?hop=cyberw

ادامه مطلب

توسط

admin

در

امنیت Security, شبکه Network

امنيت نامه های الکترونيکی

الکترونيکی با هر يک از سطوح فوق متفاوت است . اين نوع برنامه ها ، امکان اجرای کدهای موجود در فايل اينترنت چالش های جديدی را در عرصه ارتباطات ايجاد کرده است. کاربران اينترنت با استفاده از روش های متفاوت ،امکان ارتباط با يکديگر را بدست آورده اند .اينترنت زير ساخت مناسب برای ارتباطات نوين را فراهم و زمينه ای مساعد و مطلوب بمنظور بهره برداری از سرويس های ارتباطی توسط کاربران فراهم شده است . بدون شک ، پست الکترونيکی در اين زمينه دارای جايگاهی خاص است .

پست الکترونيکی، يکی از قديمی ترين و پرکاربردترين سرويس موجود در اينترنت است . شهروندان اينترنت، روزانه ميليون ها نامه الکترونيکی را برای يکديگر ارسال می دارند. ارسال و دريافت نامه الکترونيکی، روش های سنتی ارسال اطلاعات ( نامه های دستی ) را بشدت دستخوش تحول نموده و حتی در برخی از کشورها ،اغلب مردم تمايل به استفاده از نامه الکترونيکی در مقابل تماس تلفتی با همکاران و خويشاوندان خود دارند . در اين مقاله قصد نداريم به بررسی مزايای سيستم پست الکترونيکی اشاره نمائيم. در صورتيکه بپذيريم که سيستم پست الکترونيکی عرصه جديدی را در ارتباطات افراد ساکن در کره زمين ايجاد کرده است، می بايست بگونه ای حرکت نمائيم که از آسيب های احتمالی تکنولوژی فوق نيز در امان باشيم .

طی ساليان اخير، بدفعات شنيده ايم که شبکه های کامپيوتری از طريق يک نامه الکترونيکی آلوده و دچار مشکل و تخريب اطلاعاتی شده اند. صرفنظر از وجود نواقص امنيتی در برخی از محصولات نرم افزاری که در جای خود توليد کنندگان اين نوع نرم افزارها بمنظور استمرار حضور موفقيت آميز خود در عرصه بازار رقابتی موجود، می بايست مشکلات و حفره های امنيتی محصولات خود را برطرف نمايند ، ما نيز بعنوان استفاده کنندگان از اين نوع نرم افزارها در سطوح متفاوت ، لازم است با ايجاد يک سيستم موثر پيشگيرانه ضريب بروز و گسترش اين نوع حوادث را به حداقل مقدار خود برسانيم . عدم وجود سيستمی مناسب جهت مقابله با اين نوع حوادث ، می تواند مسائلی بزرگ را در يک سازمان بدنبال داشته که گرچه ممکن است توليدکننده نرم افزار در اين زمينه مقصر باشد ولی سهل انگاری و عدم توجه به ايجاد يک سيستم امنيتی مناسب ، توسط استفاده کنندگان مزيد بر علت خواهد بود ( دقيقا” مشابه عدم بستن کمربند ايمنی توسط سرنشين يک خودرو با نواقص امنيتی ) . در اين مقاله ، به بررسی روش های پيشگيری از تخريب اطلاعات در شبکه های کامپيوتری از طريق پست الکترونيکی پرداخته و با ارائه راهکارهای مناسب ، يک سيستم حفاظتی مطلوب پيشنهاد می گردد . در اين راستا ، عمدتا” بر روی برنامه سرويس گيرنده پست الکترونيکی ماکروسافت (Outlook) متمرکز خواهيم شد( بدليل نقش بارز و مشهود اين نوع از برنامه ها در جملات اينترنتی اخير) .

سيل ناگهانی حملات اينترنتی مبتنی بر کدهای مخرب، با ظهور کرم ILOVEYOU ، وارد عرصه جديدی شده است . سيتسم های مدرن پست الکترونيکی بمنظور مقابله با اين نوع از تهديدات ، تدابير لازم را در جهت ايجاد يک حفاظ امنيتی مناسب برای مقابله با عرضه و توزيع کدهای مخرب آغاز نموده اند .برنامه های سرويس گيرنده پست الکترونيکی متعلق به شرکت ماکروسافت ، هدفی جذاب برای اغلب نويسندگان کدهای مخرب می باشند . شايد يکی از دلايل آن ، گستردگی و مدل برنامه نويسی خاص بکارگرفته شده در آنان باشد . تاکنون کدهای مخرب فراوانی ، محصولات ماکروسافت را هدف قرار داده اند . عملکرد قدرتمند سه نوع ويروس ( و يا کرم ) در زمينه تخريب اطلاعات از طريق اينترنت ، شرکت ماکروسافت را وادار به اتخاذ تصميمات امنيتی خاص در اينگونه موارد نمود . اين ويروس ها عبارتند از :

ويروس Melissa ، هدف خود را بر اساس يک فايل ضميمه Word مورد حمله ويرانگر قرار می دهد . بمحض باز نمودن فايل ضميمه ، کد مخرب بصورت اتوماتيک فعال می گردد .

ويروس BubbleBoy ، همزمان با مشاهده ( پيش نمايش ) يک پيام ، اجراء می گردد . در اين رابطه ضرورتی به باز نمودن فايل ضميمه بمنظور فعال شدن و اجرای کدهای مخرب وجود ندارد . در ويروس فوق ، کدهای نوشته شده در بدنه نامه الکترونيکی قرار می گيرند . بدين ترتيب، بمحض نمايش پيام توسط برنامه مربوطه ، زمينه اجرای کدهای مخرب فراهم می گردد .

کرم ILOVEYOU از لحاظ مفهومی شباهت زيادی با ويروس Mellisa داشته و بصورت يک فايل ضميمه همراه يک نامه الکترونيکی جابجا می گردد . در اين مورد خاص، فايل ضميمه خود را بشکل يک سند Word تبديل نکرده و در مقابل فايل ضميمه از نوع يک اسکريپت ويژوال بيسيک (vbs . ) بوده و بمحض فعال شدن، توسط ميزبان اسکريپت ويندوز (Windows Scripting Host :WSH) تفسير و اجراء می گردد .

پيشگيری ها

در اين بخش به ارائه پيشنهادات لازم در خصوص پيشگيری از حملات اطلاعاتی مبتنی بر سرويس گيرندگان پست الکترونيکی خواهيم پرداخت.رعايت موارديکه در ادامه بيان می گردد، بمنزله حذف کامل تهاجمات اطلاعاتی از اين نوع نبوده بلکه زمينه تحقق اين نوع حوادث را کاهش خواهد داد .

پيشگيری اول : Patch های برنامه پست الکترونيکی ماکروسافت

بدنبال ظهور کرم ILOVEYOU و ساير وقايع امنيتی در رابطه با امنيت کامپيوترها در شبکه اينترنت، شرکت ماکروسافت يک Patch امنيتی برای برنامه های outlook 98 و outlook 2000 عرضه نموده است . Patch فوق، با ايجاد محدوديت در رابطه با برخی از انواع فايل های ضميمه ، زمينه اجرای کدهای مخرب را حذف می نمايد . با توجه به احتمال وجود کدهای مخرب در فايل های ضميمه و ميزان مخرب بودن آنان، تقسيمات خاصی توسط ماکروسافت انجام گرفته است .فايل های ضميمه ای که دارای بيشترين احتمال تهديد برای سيستم های کامپيوتری می باشند ، سطح يک و فايل هائی با احتمال تخريب اطلاعاتی کمتر سطح دو ، ناميده شده اند. نحوه برخورد برنامه های سرويس گيرنده پست های ضميمه از نوع سطح يک را بلاک می نمايند. جدول زير انواع فايل ها ی موجود در سطح يک را نشان می دهد .

انشعاب	شرح
ade	Microsoft Access project extension
adp	Microsoft Access project
bas	Visual Basic class module
bat	Batch file
chm	Compiled HTML Help file
cmd	Windows NT Command script
com	MS-DOS program
cpl	Control Panel extension
crt	Security certificate
exe	Program
hlp	Help file
hta	HTML
inf	Setup Information
ins	Internet Naming Service
isp	Internet Communication settings
js	JScript Script file
jse	JScript Encoded Script file
lnk	Shortcut
mdb	Microsoft Access program
mde	Microsoft Access MDE database
msc	Microsoft Common Console document
msi	Windows Installer package
msp	Windows Installer patch
mst	Visual Test source files
pcd	Photo CD image
pif	Shortcut to MS-DOS program
reg	Registration entries
scr	Screen saver
sct	Windows Script Component
shs	Shell Scrap Object
url	Internet shortcut
vb	VBScript file
vbe	VBScript encoded script file

Patch فوق، در رابطه با ضمائمی که با نام سطح دو( مثلا” فايل هائی از نوع zip ) ، شناخته می شوند از رويکردی ديگر استفاده می نمايد . اين نوع ضمائم بلاک نمی گردند ولی لازم است که کاربر قبل از اجراء آنان را بر روی کامپيوتر خود ذخيره نمايد . بدين ترتيب در روند اجراء يک توقف ناخواسته بوجود آمده و زمينه فعال شدن ناگهانی آنان بدليل سهل انگاری ، حذف می گردد. در رابطه با اين نوع از فايل ها ، پيامی مشابه زير ارائه می گردد .

فايل هائی بصورت پيش فرض درسطح دو ، وجود نداشته و مديرسيستم می تواند فايل هائی با نوع خاص را اضافه نمايد (در رابطه با فايل های سطح يک نيز امکان حذف و يا افزودن فايل هائی وجود دارد ) . در زمان تغيير نوع فايل های سطح يک و دو، می بايست به دو نکته مهم توجه گردد : عمليات فوق، صرفا” برای کاربرانی که به سرويس دهنده پست الکترونيکی Exchange متصل هستند امکان پذير بوده و کاربرانی که از فايل ها ی pst . برای ذخيره سازی پيام های الکترونيکی خود استفاده می نمايند را شامل نمی شود. قابليت تغيير تعاريف ارائه شده سطح يک و دو، می تواند بعنوان يک رويکرد مضاعف در رابطه با سياست های امنيتی محلی، مورد استفاده قرار گيرد . مثلا” می توان با استفاده از ويژگی فوق، فايل های با انشعاب doc . ( فايل های word) را به ليست فايل های سطح يک اضافه کرد. برای انجام تغييرات مورد نظر در نوع فايل ضميمه تعريف شده در سطح يک ، می بايست مراحل زير را دنبال نمود :

برنامه Regedit.exe را اجراء نمائيد .

کليد HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Security key را انتخاب نمائيد . ( در صورتيکه کليد فوق وجود ندارد می بايست آن را ايجاد کرد) .

از طريق منوی Edit دستور New و در ادامه String Value انتخاب گردد .

نام جديد را Level1AttachmentAdd منظور نمائيد.

گزينه new Level1AttachmentAdd value را انتخاب و دکمه Enter را فعال نمائيد .

يک رشته شامل انشعاب فايل های مورد نظر را که قصد اضافه کردن آنها را داريم ، وارد نمائيد ( هر يک از انشعاب فايل ها توسط “;” از يکديگر تفکيک می گردند )

Example:
Name: Level1AttachmentAdd
Type: REG_SZ
Data: doc;xls

در زمان بازنمودن فايل های ضميمه ای که از نوع سطح يک و يا دو نمی باشند( فايل های آفيس نظير Word ,Powerpoint بجزء فايل های مربوط به Access ) ، پيامی مطابق شکل زير ارائه و کاربران دارای حق انتخاب بمنظور فعال نمودن ( مشاهده ) فايل ضميمه و يا ذخيره آن بر روی کامپيوتر را دارند . پيشنهاد می گردد که در چنين مواردی فايل ذخيره و پس از اطمينان از عدم وجود کدهای مخرب ، فعال و مشاهده گردد . در اين رابطه می توان از ابزارهای موجود استفاده کرد .

Patch فوق، همچنين امکان دستيابی به دفترچه آدرس Outlook را از طريق مدل شی گراء Outlook و CDO)Collaborative Data Objects) ، توسط کدهای برنامه نويسی کنترل می نمايد .بدين ترتيب، پيشگيری لازم در مقابل کدهای مخربی که بصورت خودکار و تکراری اقدام به تکثير نسخه هائی از خود برای ليست افراد موجود در دفترچه آدرس می نمايند ، انجام خواهد يافت . Patch فوق، صرفا” برای نسخه های Outlook 98 و outlook 2000 ارائه شده است ( برای نسخه های قبلی و يا Outlook Express نسخه مشابهی ارائه نشده است ) .

پيشگيری دوم : استفاده از نواحی امنيتی Internet Explorer

سرويس گيرندگان Outlook 98/2000 و Outlook Express 4.0/5.0 امکان استفاده از مزايای نواحی (Zones) امنيتی مرورگر IE را بمنظور حفاظت در مقابل کدهای مخرب ( کنترل های ActiveX ، جاوا و يا اسکريپت ها ) موجود در بدنه پيام ها ،خواهند داشت . مرورگر IE ، امکان اعمال محدوديت در اجرای کدها را بر اساس چهار ناحيه فراهم می نمايد . قبل از پرداختن به نحوه استفاده از تنظيمات فوق توسط برنامه outlook ، لازم است که به کاربرد هر يک ازنواحی در مرورگر IE ، اشاره گردد :

Local Intranet zone :ناحيه فوق، شامل آدرس هائی است که قبل از فايروال سازمان و يا سرويس دهنده Proxy قرار می گيرند . سطح امنيتی پيش فرض برای ناحيه فوق ، ” medium -low” است .

Trusted Sites zone : ناحيه فوق، شامل سايت هائی است که مورد اعتماد می باشند . ( سايت هائی که شامل فايل هائی بمنظور تخريب اطلاعاتی نمی باشند ) . سطح امنيتی پيش فرض برای ناحيه فوق، ” low” است .

Restricted Sites zone : ناحيه فوق، شامل ليست سايت هائی است که مورد اعتماد و تائيد نمی باشند . ( سايت هائی که ممکن است دارای محتوياتی باشند که در صورت دريافت و اجرای آنها ، تخريب اطلاعات را بدنبال داشته باشد ) .سطح امنيتی پيش فرض برای ناحيه فوق ،” high” است .

Internet zone : ناحيه فوق ، بصورت پيش فرض شامل هرچيزی که بر روی کامپيوتر و يا اينترانت موجود نمی باشد ، خواهد بود . سطح امنيتی پيش فرض برای ناحيه فوق، ” medium ” است .

برای هر يک از نواحی فوق، می توان يک سطح امنيتی بالاتر را نيز تعريف نمود. ماکروسافت در اين راستا سياست هائی با نام : low , medium-low , medium و high را تعريف کرده است . کاربران می توانند هر يک از پيش فرض های فوق را انتخاب و متناسب با نياز خود آنان را تغيير نمايند .

برنامه outlook می تواند از نواحی فوق استفاده نمايد . در اين حالت کاربر قادر به انتخاب دو ناحيه ( Internet zone و Restricted Zone ) خواهد بود .

تنظيمات تعريف شده برای ناحيه انتخاب شده در رابطه با تمام پيام های outlook اعمال خواهد شد . پيشنهاد می گردد ناحيه restricted انتخاب گردد . بدين منظور گزينه Tools/Options و در ادامه گزينه Security را انتخاب نموده و از ليست مربوطه ناحيه Restricted sites را انتخاب نمائيد. در ادامه و بمنظور انجام تنظيمات مورد نظر ، دکمه Zone Settings را فعال و گزينه Custom Level را انتخاب نمائيد . تغييرات اعمال شده در زمان استفاده از برنامه مرورگر برای دستيابی به وب سايت ها نيز مورد توجه قرار خواهند گرفت . پيشنهادات ارائه شده مختص برنامه IE 5.5 بوده و در نسخه های 5 و 4 نيز از امکانات مشابه با اندکی تغييرات استفاده می گردد. در اين رابطه تتظيمات زير پيشنهاد می گردد :

گزينه	وضعيت
Download signed ActiveX controls	DISABLE
Download unsigned ActiveX controls	DISABLE
Initialize and script ActiveX controls not marked as safe	DISABLE
Run ActiveX controls and plug-ins	DISABLE
Script ActiveX controls marked safe for scripting	DISABLE
Allow per-session cookies (not stored)	DISABLE
File download	DISABLE
Font download	DISABLE
Java permissions	DISABLE JAVA
Access data sources across domains	DISABLE
Don�t prompt for client certificate selection when no certificates or only one certificate exists	DISABLE
Drag and drop or copy and paste files	DISABLE
Installation of desktop items	DISABLE
Launching programs within an IFRAME	DISABLE
Navigate sub-frames across different domains	DISABLE
Software channel permissions	HIGH SAFETY
Submit nonencrypted form data	DISABLE
Userdata persistence	DISABLE
Active scripting	DISABLE
Allow paste operations via script	DISABLE
Scripting of Java Applets	DISABLE
Logon	Anonymous logon

با غير فعال نمودن گزينه های فوق، امکانات پيشرفته ای از کاربر سلب می گردد. امکانات فوق برای تعداد زيادی از کاربران پست الکترونيکی ، دارای کاربردی خاص نخواهند بود . اکثر نامه های الکترونيکی ، پيام های ساده متنی بهمراه ضمائم مربوطه می باشند. گزينه های فوق، عموما” به غير فعال نمودن اسکريپت ها و کنترل های موجود در بدنه يک پيام الکترونيکی اشاره داشته و برای کاربران معمولی سيستم پست الکترونيکی دارای کاربردی خاص نمی باشند. تنظيمات فوق، بصورت مشترک توسط مرورگر IE نيز استفاده خواهند شد (صفحات وبی که از برخی از ويژگی های فوق استفاده می نمايند) . در اين رابطه لازم است مجددا” به اين موضوع اشاره گردد که ناحيه Restricted صرفا” شامل سايت هائی است که مورد اعتماد نبوده و مشکلی ( عدم فعال بودن برخی از پتانسيل های مرورگر ) را در رابطه با مشاهده صفحات وب از سايت های تائيد شده ،نخواهيم داشت.مهمترين دستاورد تنظيمات فوق،پيشگيری از حملاتی است که سياست تخريبی خود را بر اساس درج محتويات فعال در بدنه نامه های الکترونيکی، تبين نموده اند . ( نظير ويروس BubbleBoy ) .

پيشگيری سوم : تغيير فايل مرتبط و يا غير فعال نمودن WSH

patch امنيتی ارائه شده در پيشگيری اول، باعث حفاظت سيستم در مقابل ويروس هائی نظير ILOVEYOU ، در outlook 98 و outlook 2000 می گردد . متاسفانه روش مشابهی بمنظور استفاده در outlook Express ، وجود ندارد. بمنظور حفاظت سيستم در مقابل نامه های الکترونيکی که دارای عملکردی نظير ILOVEYOU می باشند ، می توان از روشی ديگر در outlook express استفاده کرد. بدين منظورمی توان تغييراتی را در سطح برنامه هائی که مسئول فعال نمودن فايل مورد نظر( File Associations ) می باشند ، اعمال نمود. کرم ILOVEYOU ، از طريق يک فايل اسکريپت ويژوال بيسيک ( vbs .) ، که توسط ميزبان اسکريپت ويندوز (Windows Scripting Host :WSH ) تفسير می گردد ، فعال خواهد شد. در حقيقت WSH محيط ( شرايط) لازم برای ILOVEYOU را فراهم می نمايد. اعمال محدوديت در رابطه با WSH و يا تغيير در فايل پيش فرض مربوطه ای که مسئول برخورد( نمايش ، ايجاد شرايط اجراء) با فايل مورد نظر می باشد ، می تواند يک سطح مناسب امنيتی را در رابطه با ضمائم نامه های الکترونيکی که حاوی کدهای مخرب می باشند ، فراهم می نمايد. در اين رابطه از راهکارهای متفاوتی می توان استفاده کرد .

روش اول : يکی از روش های پيشگيری موثر در مقابل اين نوع از حملات ، تغيير واکنش پيش فرض در زمانی است که کاربر باعث فعال شدن اينچنين فايل های می گردد ( double click بر روی فايلی با انشعاب vbs . ) .در ويندوز NT ، اين عمليات از طريق Windows Explorer و بصورت زير انجام می شود.

View | Folder Options ==>
Select VBScript Script File ==> Click Edit ==> Highlight Edit ==> Click Set Default

پس از اعمال تغييرات فوق ، در صورتيکه کاربری فايلی ضميمه با انشعاب vbs . را فعال نمايد ، فايل مورد نظر توسط WSH اجراء نخواهد شد ، در مقابل ، فايل فوق ، بدون نگرانی توسط اديتور پيش فرض ( معمولا” notepad ) ، فعال و نمايش داده خواهد شد. فرآيند فوق را می توان به فايل های ديگر نيز تعميم داد. فايل هائی که دارای يکی از انشعابات زير باشند ، توسط WSH فعال خواهند شد . بنابراين می توان تغييرات لازم را مطابق آنچه اشاره گرديد ، در رابطه با آنها نيز اعمال نمود.

WSC , WSH ,WS ,WSF,VBS,VBE,JS,JSE

روش ارائه شده در رابطه با outlook Express بخوبی کار خواهد کرد . در اين راستا ، لازم است به اين مسئله مهم اشاره گردد که تضمينی وجود ندارد که سرويس گيرندگان پست الکترونيکی از تنظيمات پيش فرض، زمانيکه کاربر يک فايل ضميمه را فعال می نمايد، استفاده نمايند . مثلا” زمانيکه يک فايل ضميمه vbs. ، توسط Netscape messenger فعال می گردد ، کاربر دارای گزينه های open و يا Save خواهد بود. در صورتيکه کاربر گزينه open را انتخاب نمايد ، کد مورد نظر صرفنظر از تنظيمات پيش فرض فعال خواهد شد.( ناديده گرفتن تنظيمات پيش فرض )

روش دوم : راهکار ديگری که می توان بکمک آن باعث پيشگيری از بروز چنين مسائلی گرديد ، غير فعال نمودن WSH است . برای انجام عمليات فوق ( غير فعال نمودن WSH ) می بايست برنامه های ويندوز را که باعث حمايت و پشتيبانی از اجراء اسکريپت ها می گردند ( برنامه های wscript.exe و csscript ) را تغيير نام داد .در سيستم هائی شامل ويندوزNT ، اين فايل ها در مسير %System%\System32 ، قرار دارند( معمولا” C:\Winnt\System32 ) . بمنظور تغيير نام فايل های فوق ، بهتر است از طريق خط دستور ( command prompt) اين کار انجام شود. در برخی از نسخه های سيستم عامل، بموازات تغيير نام فايل مرتبط با يک نوع حاص از فايل ها ، بصورت اتوماتيک برنامه مرتبط با آنان به نام جديد تغيير داده خواهد شد. بدين ترتيب تغيير اعمال شده هيچگونه تاثير مثبتی را از لحاظ امنيتی بدنبال نخواهد داشت .

روش سوم : گزينه سوم در خصوص غير فعال نمودن WSH ، تغيير مجوز فايل ( File Permission ) در رابطه با فايل های Wscript.exe و CSscript.exe است . روش فوق ، نسبت به دو روش اشاره شده ، ترجيح داده می شود. در چنين مواردی امکان استفاده از پتانسيل های WSH برای مديران سيستم وجود داشته در حاليکه امکان استفاده از پتانسيل فوق از کاربران معمولی سلب می گردد .

لازم است به اين نکته مهم اشاره گردد که با اينکه پيشگيری فوق ، در رابطه با کرم هائی نظير ILOVEYOU و موارد مشابه موثرخواهد بود ، ولی نمی تواند تمام ريسک های مربوط در اين خصوص و در رابطه با ساير فايل ها ئی که ممکن است شامل کدهای اسکريپت باشند را حذف نمايد. در اين رابطه می توان به فايل های با انشعاب exe . ، اشاره نمود. اين نوع فايل ها دارای نقشی حياتی در رابطه با انجام عمليات بر روی يک کامپيوتر بوده و نمی توان آنها را غير فعال نمود . بدين ترتيب متجاوزان اطلاعاتی می توانند از اين نوع فايل ها ، بعنوان مکانيزمی جهت توزيع کدهای مخرب ، استفاده نمايند .

پيشگيری چهارم : حفاظت ماکروهای آفيس و آموزش کاربران

ماکروسافت در رابطه با حفاظت در مقابل فايل های ضميمه حاوی کدهای مخرب از طريق ساير برنامه های جانبی، نيز تدابيری انديشيده است . مثلا” با اينکه patch امنيتی ارائه شده در پيشگيری اول ، بصورت پيش فرض در رابطه با ماکروهای word موثر واقع نمی شود ، ولی در بطن اين نوع نرم افزارها امکانات خاصی قرار گرفته شده است که می توان بکمک آنان ، يک سطح امنيتی اوليه در رابطه با فعال شدن ماکروها را اعمال نمود. مثلا” آفيس 97 ، گزينه اختياری حفاظت ماکرو را ارائه که می توان بکمک آن يک لايه حفاظتی را در رابطه با عملکرد ماکروها ، ايجاد نمود. در چنين مواردی به کاربران پيامی ارائه و کاربران می توانند قبل از فعال شدن ماکرو در رابطه با آن تصميم گيری نمايند ( ارائه پاسخ مناسب توسط کاربران ) . لازم است در اين خصوص به کاربران آموزش های ضروری و مستمر در رابطه با خطرات احتمالی عدم رعايت اصول اوليه امنيتی خصوصا” در رابطه با دريافت نامه های الکترونيکی از منابع غيرمطمئن داده شود . گزينه فوق را می توان از طريق Tools|options|General| Enable macro virus protection ، فعال نمود. آفيس 2000 و XP وضعيت فوق را بهبود و می توان تنظيمات لازم در خصوص اجرای ماکروهای دريافتی از يک منبع موثق و همراه با امضاء ديجيتالی را انجام داد . در word , Powerpoint .Excel می توان ، گزينه فوق را از طريق Tools|macro|Security ، استفاده و تنظيمات لازم را انجام داد. با انتخاب گزينه High ، حداکثر ميزان حفاظت ، در نظر گرفته خواهد شد.

پيشگيری پنجم : نمايش و انشعاب فايل

يکی از روش متداول بمنظور ايجاد مصونيت در مقابل فايل های حاوی کدهای مخرب ، تبديل فايل فوق به فايلی بی خاصيت ( عدم امکان اجراء) است . بدين منظور می توان از يک انشعاب فايل اضافه استفاده نمود .(مثلا” فايل : ILOVYOU.TXT.VBS) . در صورتيکه ويندوز برای نمايش اين نوع فايل ها ( با در نظر گرفتن انشعاب فايل ها ) ، پيکربندی نشده باشد ، فايل فوق بصورت يک فايل متن تفسير خواهد شد. ( ILOVEYOU.TXT ) . بمنظور پياده سازی روش فوق می بايست دو فاز عملياتی را دنبال نمود : در اولين مرحله می بايست به ويندوز اعلام گردد که انشعاب فايل ها را از طريق Windows Explorer ، نمايش دهد . ( انتخاب Options|View و غير فعال نمودن Hide file extensions for known file types ) . متاسفانه برای برخی فايل های خاص که می توانند شامل عناصر اجرائی و يا اشاره گری به آنان باشند ، تنظيم فوق ، تاثيری را بدنبال نداشته و در اين رابطه لازم است کليد های ريجستری زير ، بمنظور پيکربندی ويندوز برای نمايش انشعاب اين نوع از فايل ها ، حذف گردد ( مرحله دوم.)

انشعاب فايل	کليد ريجستری	توضيحات
.lnk	HKEY_CLASSES_ROOT\lnkfile\NeverShowExt	Shortcut
.pif	HKEY_CLASSES_ROOT\piffile\NeverShowExt	Program information file (shortcut to a DOS program)
.scf	HKEY_CLASSES_ROOT\SHCmdFile\NeverShowExt	Windows Explorer Command file
.shb	HKEY_CLASSES_ROOT\DocShortcut\NeverShowExt	Shortcut into a document
.shs	HKEY_CLASSES_ROOT\ShellScrap	Shell Scrap Object
.xnk	HKEY_CLASSES_ROOT\xnkfile\NeverShowExt	Shortcut to an Exchange folder
.url	HKEY_CLASSES_ROOT\InternetShortcut\NeverShowExt	Internet shortcut
.maw	HKEY_CLASSES_ROOT\Access.Shortcut.DataAccessPage.1\NeverShowExt	Shortcuts to elements of an MS Access database. Most components of an Access database can containan executable component.
.mag	HKEY_CLASSES_ROOT\Access.Shortcut.Diagram.1\NeverShowExt
.maf	HKEY_CLASSES_ROOT\Access.Shortcut.Form.1\NeverShowExt
.mam	HKEY_CLASSES_ROOT\Access.Shortcut.Macro.1\NeverShowExt
.mad	HKEY_CLASSES_ROOT\Access.Shortcut.Module.1\NeverShowExt
.maq	HKEY_CLASSES_ROOT\Access.Shortcut.Query.1\NeverShowExt
.mar	HKEY_CLASSES_ROOT\Access.Shortcut.Report.1\NeverShowExt
.mas	HKEY_CLASSES_ROOT\Access.Shortcut.StoredProcedure.1\NeverShowExt
.mat	HKEY_CLASSES_ROOT\Access.Shortcut.Table.1\NeverShowExt
.mav	HKEY_CLASSES_ROOT\Access.Shortcut.View.1\NeverShowExt

پيشگيری ششم : از Patch های بهنگام شده، استفاده گردد

اغلب حملات مبتنی بر اينترنت از نقاط آسيب پذير يکسانی بمنظور نيل به اهداف خود استفاده می نمايند . ويروس Bubbleboy ، نمونه ای مناسب در اين زمينه بوده که تهيه کننده آن از نفاط آسيب پذير شناخته شده در مرورگر اينترنت ( IE ) ، استفاده کرده است . ماکروسافت بمنظور حل مشکل اين نوع از نقاط آسيب پذير در محصولات خود خصوصا” برنامه مرورگر اينترنت ، patch های امنيتی خاصی را ارائه نموده است . با توجه به امکان بروز حوادث مشابه و بهره برداری از نقاط آسيب پذير در محصولات نرم افزاری استفاده شده ، خصوصا” نرم افزارهائی که بعنوان ابزار ارتباطی در اينترنت محسوب می گردند ، پيشنهاد می گردد که patch های ارائه شده را بر روی سيستم خود نصب تا حداقل از بروز حوادث مشابه قبلی بر روی سيستم خود جلوگيری نمائيم .

پيشگيری هفتم : محصولات آنتی ويروس

اغلب محصولات تشخيص ويروس های کامپيوتری، عمليات تشخيص خود را بر اساس ويروس های شناخته شده ، انجام خواهند داد . بنابراين اينگونه محصولات همواره در مقابل حملات جديد و نامشخص ، غيرموثر خواهند بود. محصولات فوق ، قادر به برخورد و پيشگيری از تکرار مجدد ، حملات مشابه تهاجمات سابق می باشند. برخی از محصولات آنتی ويروس ، امکان بلاک نمودن ضمائم نامه های الکترونيکی را در سطح سرويس دهنده پست الکترونيکی فراهم می نمايند. پتانسيل فوق می تواند عاملی مهم بمنظور بلاک نمودن ضمائم نامه های الکترونيکی حاوی کدهای مخرب قبل از اشاعه آنان باشد .

پيشگيری هشتم : رعايت و پايبندی به اصل ” کمترين امتياز ”

” کمترين امتياز ” ، يک رويکرد پايه در رابطه با اعمال امنيت در کامپيوتر است . بر اين اساس توصيه می شود که به کاربران صرفا” امتيازاتی واگذار گردد که قادر به انجام عمليات خود باشند . کدهای مخرب بمنظور تحقق اهداف خود به يک محيط ، نياز خواهند داشت . محيط فوق ، می تواند از طريق اجرای يک برنامه توسط يک کاربر خاص بصورت ناآگاهانه ايجاد گردد. در اين رابطه پيشنهاد می گردد ، پس از آناليز نوع فعاليت هائی که هر کاربر می بايست انجام دهد ، مجوزها ی لازم برای وی تعريف و از بذل و بخشش مجوز در اين رابطه می بايست جدا” اجتناب ورزيد.

پيشگيری نهم : امنيت سيستم عامل

حفاظت در مقابل کدهای مخرب می تواند به ميزان قابل محسوسی از طريق کليدهای اساسی سيستم ، کنترل و بهبود يابد. در اين راستا از سه رويکرد خاص استفاده می گردد : حفاظت عناصر کليدی در ريجستری سيستم ، ايمن سازی اشياء پايه و محدوديت در دستيابی به دايرکتوری سيستم ويندوز NT . در ادامه به بررسی هر يک از رويکردهای فوق ، خواهيم پرداخت .

پيشگيری نهم – رويکرد اول : ايمن سازی ريجستری سيستم

کرم ILOVEYOU از مجوزهای ضعيف نسبت داده شده به کليدهای ريجستری RUN و RUNSERVICES ، استفاده و اهداف خود را تامين نموده است . مجوزهای دستيابی پيش فرض در رابطه با کليدهای فوق ، امکان تغيير محتويات و يا حتی ايجاد محتويات جديد را در اختيار کاربران قرار می دهد.مثلا” می توان با اعمال تغييراتی خاص در رابطه با کليدهای فوق ، زمينه اجرای اسکريپت های خاصی را پس از ورود کاربران به شبکه و اتصال به سرويس دهنده بصورت تکراری فراهم نمود . ( پس از ورود کاربران به شبکه ، اسکريپت ها بصورت اتوماتيک اجراء خواهند شد ) . بدين منظور پيشنهاد می گردد که مجوزهای مربوط به کليدهای فوق بصورت جدول زير تنظيم گردد : ( پيشنهادات ارائه شده شامل کليدهای اساسی و مشخصی است که توسط ILOVEYOU استفاده و علاوه بر آن کليدهای اضافه ديگر را نيز شامل می شود) :

مجوزهای پيشنهادی	User / Groups	کليد ريجستری
Full Control Read, Write, Execute Full Control Full Control	Administrators Authenticated Users CREATOR OWNER SYSTEM	MACHINE\SOFTWARE\Microsoft\Windows کليدها و زير کليدها پارامترهای استفاده شده توسط زير سيستم های win32
Full Control Read, Execute Full Control	Administrators Authenticated Users SYSTEM	\MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\Runکليدها و زير کليدها شامل اسامی امورد نظر که در هر مرتبه راه اندازی سيستم ، اجراء خواهند شد.
Full Control Read, Execute Full Control	Administrators Authenticated Users SYSTEM	\MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\RunOnceکليدها و زير کليدها شامل نام برنامه ای که در اولين مرتبه ورود به شبکه کاربر ، اجراء می گردد.
Full Control Read, Execute Full Control	Administrators Authenticated Users SYSTEM	\MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\RunOnceExکليدها و زير کليدها شامل اطلاعات پيکربندی برای برخی از عناصر سيستم و مرورگر. عملکرد آنان مشابه کليد RunOnce است.
Full Control Read, Execute Full Control Full Control	Administrators Authenticated Users CREATOR OWNER SYSTEM	\MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\Shell Extensionsکليدها و زير کليدها شامل تمام تنظيمات Shell Extebsion که از آنان بمنظور توسعه اينترفيس ويندوز NT استفاده می گردد.

بمنظور اعمال محدوديت در دستيابی به ريجستری ويندوز از راه دور ، پيشنهاد می گردد يک کليد ريجستری ايجاد و مقدار آن مطابق زير تنظيم گردد :

Hive: HKEY_LOCAL_MACHINE
Key: \System\CurrentControlSet\Control\SecurePipeServers\winreg
Name: RestrictGuestAccess
Type: REG_DWORD
Value: 1

پيشگيری نهم – رويکرد دوم : ايمن سازی اشياء پايه

ايمن سازی اشياء پايه باعث ممانعت کدهای مخرب در ابطه با اخذ مجوزها و امتيازات مديريتی توسط يک ( DLL(Dynamic lonk Library می گردد . بدون پياده سازی سياست امنيتی فوق ، کدها ی مخرب قادر به استقرار در حافظه و لود نمودن فايلی با نام مشابه بعنوان يک DLL سيستم و هدايت برنامه به آن خواهند بود. در اين راستا لازم است ، با استفاده از برنامه ويرايشگر ريجستری ، يک کليد ريجستری ايجاد و مقدار آن مطابق زير تنظيم گردد :

Hive: HKEY_LOCAL_MACHINE
Key: \System\CurrentControlSet\Control\Session Manager
Name: AdditionalBaseNamedObjectsProtectionMode
Type: REG_DWORD
Value: 1

پيشگيری نهم – رويکرد سوم : ايمن سازی دايرکتوری های سيستم

کاربران دارای مجوز لازم در خصوص نوشتن در دايرکتوری های سيستم ( winnt/system32 و winnt/system ) می باشند . کرم ILOVEYOU از وضعيت فوق ، استفاده و اهداف خود را دنبال نموده است . پيشنهاد می گردد ، کاربران تائيد شده صرفا” دارای مجوز Read دررابطه با دايرکتوری های و فايل ها ی مربوطه بوده و امکان ايجاد و يا نوشتن در دايرکتوری های سيستم، از آنها سلب گردد. در اين رابطه ، تنظيمات زير پيشنهاد می گردد :

مجوزهای پيشنهادی	User / Groups	فايل / فولدر
Full Control Read, Execute Full Control Full Control	Administrators Authenticated Users CREATOR OWNER SYSTEM	%WINNT% فايل ها ، فولدرها شامل تعداد زيادی از فايل های اجرائی سيستم عامل
Full Control Read, Execute Full Control Full Control	Administrators Authenticated Users CREATOR OWNER SYSTEM	%WINNT/SYSTEM% فايل ها ، فولدرها شامل تعداد زيادی از فايل های DLL ، درايور و برنامه های اجرائی
Full Control Read, Execute Full Control Full Control	Administrators Authenticated Users CREATOR OWNER SYSTEM	%WINNT/SYSTEM32% فايل ها ، فولدرها شامل تعداد زيادی از فايل های DLL ، درايور و برنامه های اجرائی ( برنامه های سی و دو بيتی )

رمزنگاری

۱– معرفی و اصطلاحات

رمزنگاری علم کدها و رمزهاست. یک هنر قدیمی است و برای قرنها بمنظور محافظت از پیغامهایی که بین فرماندهان، جاسوسان،‌ عشاق و دیگران ردوبدل می‌شده، استفاده شده است تا پیغامهای آنها محرمانه بماند.

هنگامی که با امنیت دیتا سروکار داریم، نیاز به اثبات هویت فرستنده و گیرنده پیغام داریم و در ضمن باید از عدم تغییر محتوای پیغام مطمئن شویم. این سه موضوع یعنی محرمانگی، تصدیق هویت و جامعیت در قلب امنیت ارتباطات دیتای مدرن قرار دارند و می‌توانند از رمزنگاری استفاده کنند.

اغلب این مساله باید تضمین شود که یک پیغام فقط میتواند توسط کسانی خوانده شود که پیغام برای آنها ارسال شده است و دیگران این اجازه را ندارند. روشی که تامین کننده این مساله باشد “رمزنگاری” نام دارد. رمزنگاری هنر نوشتن بصورت رمز است بطوریکه هیچکس بغیر از دریافت کننده موردنظر نتواند محتوای پیغام را بخواند.

رمزنگاری مخفف‌ها و اصطلاحات مخصوص به خود را دارد. برای درک عمیق‌تر به مقداری از دانش ریاضیات نیاز است. برای محافظت از دیتای اصلی ( که بعنوان plaintext شناخته می‌شود)، آنرا با استفاده از یک کلید (رشته‌ای محدود از بیتها) بصورت رمز در می‌آوریم تا کسی که دیتای حاصله را می‌خواند قادر به درک آن نباشد. دیتای رمزشده (که بعنوان ciphertext شناخته می‌شود) بصورت یک سری بی‌معنی از بیتها بدون داشتن رابطه مشخصی با دیتای اصلی بنظر می‌رسد. برای حصول متن اولیه دریافت‌کننده آنرا رمزگشایی می‌کند. یک شخص ثالت (مثلا یک هکر) می‌تواند برای اینکه بدون دانستن کلید به دیتای اصلی دست یابد، کشف رمز‌نوشته (cryptanalysis) کند. بخاطرداشتن وجود این شخص ثالث بسیار مهم است.

رمزنگاری دو جزء اصلی دارد، یک الگوریتم و یک کلید. الگوریتم یک مبدل یا فرمول ریاضی است. تعداد کمی الگوریتم قدرتمند وجود دارد که بیشتر آنها بعنوان استانداردها یا مقالات ریاضی منتشر شده‌اند. کلید، یک رشته از ارقام دودویی (صفر و یک) است که بخودی‌خود بی‌معنی است. رمزنگاری مدرن فرض می‌کند که الگوریتم شناخته شده است یا می‌تواند کشف شود. کلید است که باید مخفی نگاه داشته شود و کلید است که در هر مرحله پیاده‌سازی تغییر می‌کند. رمزگشایی ممکن است از همان جفت الگوریتم و کلید یا جفت متفاوتی استفاده کند.

دیتای اولیه اغلب قبل از رمزشدن بازچینی می‌شود؛ این عمل عموما بعنوان scrambling شناخته می‌شود. بصورت مشخص‌تر، hash functionها بلوکی از دیتا را (که می‌تواند هر اندازه‌ای داشته باشد) به طول از پیش مشخص‌شده کاهش می‌دهد. البته دیتای اولیه نمی‌تواند از hashed value بازسازی شود. Hash functionها اغلب بعنوان بخشی از یک سیستم تایید هویت مورد نیاز هستند؛ خلاصه‌ای از پیام (شامل مهم‌ترین قسمتها مانند شماره پیام، تاریخ و ساعت، و نواحی مهم دیتا) قبل از رمزنگاری خود پیام، ساخته ‌و hash می‌شود.

یک چک تایید پیام (Message Authentication Check) یا MAC یک الگوریتم ثابت با تولید یک امضاء برروی پیام با استفاده از یک کلید متقارن است. هدف آن نشان دادن این مطلب است که پیام بین ارسال و دریافت تغییر نکرده است. هنگامی که رمزنگاری توسط کلید عمومی برای تایید هویت فرستنده پیام استفاده می‌شود، منجر به ایجاد امضای دیجیتال (digital signature) می‌شود.

۲– الگوریتم‌ها

طراحی الگوریتمهای رمزنگاری مقوله‌ای برای متخصصان ریاضی است. طراحان سیستمهایی که در آنها از رمزنگاری استفاده می‌شود، باید از نقاط قوت و ضعف الگوریتمهای موجود مطلع باشند و برای تعیین الگوریتم مناسب قدرت تصمیم‌گیری داشته باشند. اگرچه رمزنگاری از اولین کارهای شانون (Shannon) در اواخر دهه ۴۰ و اوایل دهه ۵۰ بشدت پیشرفت کرده است، اما کشف رمز نیز پابه‌پای رمزنگاری به پیش آمده است و الگوریتمهای کمی هنوز با گذشت زمان ارزش خود را حفظ کرده‌اند. بنابراین تعداد الگوریتمهای استفاده شده در سیستمهای کامپیوتری عملی و در سیستمهای برپایه کارت هوشمند بسیار کم است.

۱-۲ سیستمهای کلید متقارن

یک الگوریتم متقارن از یک کلید برای رمزنگاری و رمزگشایی استفاده می‌کند. بیشترین شکل استفاده از رمزنگاری که در کارتهای هوشمند و البته در بیشتر سیستمهای امنیت اطلاعات وجود دارد data encryption algorithm یا DEA است که بیشتر بعنوان DES‌ شناخته می‌شود. DES یک محصول دولت ایالات متحده است که امروزه بطور وسیعی بعنوان یک استاندارد بین‌المللی شناخته ‌می‌شود. بلوکهای ۶۴بیتی دیتا توسط یک کلید تنها که معمولا ۵۶بیت طول دارد، رمزنگاری و رمزگشایی می‌شوند. DES‌ از نظر محاسباتی ساده است و براحتی می‌تواند توسط پردازنده‌های کند (بخصوص آنهایی که در کارتهای هوشمند وجود دارند) انجام گیرد.

این روش بستگی به مخفی‌بودن کلید دارد. بنابراین برای استفاده در دو موقعیت مناسب است: هنگامی که کلیدها می‌توانند به یک روش قابل اعتماد و امن توزیع و ذخیره شوند یا جایی که کلید بین دو سیستم مبادله می‌شوند که قبلا هویت یکدیگر را تایید کرده‌اند عمر کلیدها بیشتر از مدت تراکنش طول نمی‌کشد. رمزنگاری DES عموما برای حفاظت دیتا از شنود در طول انتقال استفاده می‌شود.

کلیدهای DES ۴۰بیتی امروزه در عرض چندین ساعت توسط کامپیوترهای معمولی شکسته می‌شوند و بنابراین نباید برای محافظت از اطلاعات مهم و با مدت طولانی اعتبار استفاده شود. کلید ۵۶بیتی عموما توسط سخت‌افزار یا شبکه‌های بخصوصی شکسته می‌شوند. رمزنگاری DES سه‌تایی عبارتست از کدکردن دیتای اصلی با استفاده از الگوریتم DES‌ که در سه مرتبه انجام می‌گیرد. (دو مرتبه با استفاده از یک کلید به سمت جلو (رمزنگاری) و یک مرتبه به سمت عقب (رمزگشایی) با یک کلید دیگر) مطابق شکل زیر:

این عمل تاثیر دوبرابر کردن طول مؤثر کلید را دارد؛ بعدا خواهیم دید که این یک عامل مهم در قدرت رمزکنندگی است.

الگوریتمهای استاندارد جدیدتر مختلفی پیشنهاد شده‌اند. الگوریتمهایی مانند Blowfish و IDEA برای زمانی مورد استفاده قرار گرفته‌اند اما هیچکدام پیاده‌سازی سخت‌افزاری نشدند بنابراین بعنوان رقیبی برای DES برای استفاده در کاربردهای میکروکنترلی مطرح نبوده‌اند. پروژه استاندارد رمزنگاری پیشرفته دولتی ایالات متحده (AES) الگوریتم Rijndael را برای جایگزیتی DES بعنوان الگوریتم رمزنگاری اولیه انتخاب کرده است. الگوریتم Twofish مشخصا برای پیاده‌سازی در پردازنده‌های توان‌ـ‌پایین مثلا در کارتهای هوشمند طراحی شد.

در ۱۹۹۸ وزارت دفاع ایالات متحده تصمیم گرفت که الگوریتمها Skipjack و مبادله کلید را که در کارتهای Fortezza استفاده شده بود، از محرمانگی خارج سازد. یکی از دلایل این امر تشویق برای پیاده‌سازی بیشتر کارتهای هوشمند برپایه این الگوریتمها بود.

برای رمزنگاری جریانی (streaming encryption) (که رمزنگاری دیتا در حین ارسال صورت می‌گیرد بجای اینکه دیتای کدشده در یک فایل مجزا قرار گیرد) الگوریتم RC4‌ سرعت بالا و دامنه‌ای از طول کلیدها از ۴۰ تا ۲۵۶ بیت فراهم می‌کند. RC4 که متعلق به امنیت دیتای RSA‌ است، بصورت عادی برای رمزنگاری ارتباطات دوطرفه امن در اینترنت استفاده می‌شود.

۲-۲ سیستمهای کلید نامتقارن

سیستمهای کلید نامتقارن از کلید مختلفی برای رمزنگاری و رمزگشایی استفاده می‌کنند. بسیاری از سیستمها اجازه می‌دهند که یک جزء (کلید عمومی یا public key) منتشر شود در حالیکه دیگری (کلید اختصاصی یا private key) توسط صاحبش حفظ شود. فرستنده پیام، متن را با کلید عمومی گیرنده کد می‌کند و گیرنده آن را با کلید اختصاصی خودش رمزنگاری میکند. بعبارتی تنها با کلید اختصاصی گیرنده می‌توان متن کد شده را به متن اولیه صحیح تبدیل کرد. یعنی حتی فرستنده نیز اگرچه از محتوای اصلی پیام مطلع است اما نمی‌تواند از متن کدشده به متن اصلی دست یابد، بنابراین پیام کدشده برای هرگیرنده‌ای بجز گیرنده مورد نظر فرستنده بی‌معنی خواهد بود. معمولترین سیستم نامتقارن بعنوان RSA‌ شناخته می‌شود (حروف اول پدیدآورندگان آن یعنی Rivest ، Shamir و Adlemen است). اگرچه چندین طرح دیگر وجود دارند. می‌توان از یک سیستم نامتقارن برای نشاندادن اینکه فرستنده پیام همان شخصی است که ادعا می‌کند استفاده کرد که این عمل اصطلاحا امضاء نام دارد. RSA شامل دو تبدیل است که هرکدام احتیاج به بتوان‌رسانی ماجولار با توانهای خیلی طولانی دارد:

امضاء، متن اصلی را با استفاده از کلید اختصاصی رمز می‌کند؛

رمزگشایی عملیات مشابه‌ای روی متن رمزشده اما با استفاده از کلید عمومی است. برای تایید امضاء بررسی می‌کنیم که آیا این نتیجه با دیتای اولیه یکسان است؛ اگر اینگونه است، امضاء توسط کلید اختصاصی متناظر رمزشده است.

به بیان ساده‌تر چنانچه متنی از شخصی برای دیگران منتشر شود، این متن شامل متن اصلی و همان متن اما رمز شده توسط کلید اختصاصی همان شخص است. حال اگر متن رمزشده توسط کلید عمومی آن شخص که شما از آن مطلعید رمزگشایی شود، مطابقت متن حاصل و متن اصلی نشاندهنده صحت فرد فرستنده آن است، به این ترتیب امضای فرد تصدیق می‌شود. افرادی که از کلید اختصاصی این فرد اطلاع ندارند قادر به ایجاد متن رمز‌شده‌ نیستند بطوریکه با رمزگشایی توسط کلید عمومی این فرد به متن اولیه تبدیل شود.

اساس سیستم RSA این فرمول است: X = Yk (mod r)

که X متن کد شده، Y متن اصلی، k کلید اختصاصی و r حاصلضرب دو عدد اولیه بزرگ است که با دقت انتخاب شده‌اند. برای اطلاع از جزئیات بیشتر می‌توان به مراجعی که در این زمینه وجود دارد رجوع کرد. این شکل محاسبات روی پردازنده‌های بایتی بخصوص روی ۸ بیتی‌ها که در کارتهای هوشمند استفاده می‌شود بسیار کند است. بنابراین، اگرچه RSA هم تصدیق هویت و هم رمزنگاری را ممکن می‌سازد، در اصل برای تایید هویت منبع پیام از این الگوریتم در کارتهای هوشمند استفاده می‌شود و برای نشاندادن عدم تغییر پیام در طول ارسال و رمزنگاری کلیدهای آتی استفاده می‌شود.

سایر سیستمهای کلید نامتقارن شامل سیستمهای لگاریتم گسسته می‌شوند مانند Diffie-Hellman، ElGamal و سایر طرحهای چندجمله‌ای و منحنی‌های بیضوی. بسیاری از این طرحها عملکردهای یک‌ـ‌طرفه‌ای دارند که اجازه تاییدهویت را می‌دهند اما رمزنگاری ندارند. یک رقیب جدیدتر الگوریتم RPK‌ است که از یک تولیدکننده مرکب برای تنظیم ترکیبی از کلیدها با مشخصات مورد نیاز استفاده می‌کند. RPK یک پروسه دو مرحله‌ای است: بعد از فاز آماده‌سازی در رمزنگاری و رمزگشایی (برای یک طرح کلید عمومی) رشته‌هایی از دیتا بطور استثنایی کاراست و می‌تواند براحتی در سخت‌افزارهای رایج پیاده‌سازی شود. بنابراین بخوبی با رمزنگاری و تصدیق‌هویت در ارتباطات سازگار است.

طولهای کلیدها برای این طرحهای جایگزین بسیار کوتاهتر از کلیدهای مورد استفاده در RSA‌ است که آنها برای استفاده در چیپ‌کارتها مناسب‌تر است. اما ‌RSA‌ محکی برای ارزیابی سایر الگوریتمها باقی مانده است؛ حضور و بقای نزدیک به سه‌دهه از این الگوریتم، تضمینی در برابر ضعفهای عمده بشمار می‌رود.

ادامه مطلب

«←2 3 4 5 6 → »

گروه فنی و مهندسی وس سنتر

گروه فنی و مهندسی وس سنتر با هدف ارائه خدمات انفورماتیکی شامل طراحی ، پیاده سازی و پشتیبانی طرحهای شبکه و دیتاسنتر فعالیت خود را آغاز کرد.
گروه فنی و مهندسی وی سنتر از ابتدای راه مبنای فعالیت خود را بر روی راهکارهای جامع دیتاسنتر بنا نهاد و اکنون از یک تیم با تجربه در کلیه حوزه های دیتاسنتر بهره می برد.

آرشیو

روشهای عیب یابی شبکه

1 – استفاده از مدل هفت لا‌يه‌ ای OSI

2 – عيب‌يابی جعبه سياه

3 – روش تشخيص تغيير در شبكه

4- مستندسازی

5 – روش تقسيم‌بندی

6- مقايسه با مواردی كه درست عمل می‌كنند

7- فرمان‌های عيب‌يابی ipconfig و winipcfg در ويندوز

8 – برخی از فرمان‌های اصلی خطايابی در TCP/IP و شبكه

9 – تحليلگرهای پروتكل

●‌ ‌حالت Capture/monitor (مانيتور / تسخير)

●‌ ‌حالت Decode (رمزگشايی)

10 – ابزارهای مديريت شبكه

ریکاوری کردن پسورد ادمین دامین کنترلر

طراحی شبکه

استراتژی طراحی شبکه (بخش اول )

طراحی شبکه:

در زمان طراحی يک شبکه ، سوالات متعددی مطرح می گردد :

مقدمه

برنامه ريزی برای طراحی منطقی شبکه

برای طراحی منطقی شبکه ، می توان از يک و يا دو نقطه کار خود را شروع کرد: طراحی و نصب يک شبکه جديد و يا ارتقاء شبکه موجود.

استفاده کنندگان شبکه چه افرادی هستند ؟

شبکه مورد نظر می بايست چه نوع سرويس ها و خدماتی را ارائه نمايد ؟

برای هر يک از لينک های شبکه به چه درجه ای از اطمينان نياز است ؟

مفاهیم Load Balancing

نقش پروتکل SSL یا Secure Socket Layer در امنیت ارتباطات شبکه

ملزومات یک ارتباط مبتنی بر پروتکل امنیتی SSL

مکانیسم‌های تشکیل‌دهنده SSL

۱– تأیید هویت سرویس‌دهنده

۲- تأیید هویت سرویس‌گیرنده

۳- ارتباطات رمز شده

اجزای پروتکل SSL

بخش‌بندی پروتکل SSL به دو زیرپروتکل دارای مزایایی است ازجمله:

الگوریتم‌های رمزنگاری پشتیبانی شده در SSL

نحوه عملکرد داخلی پروتکل SSL

مفاهيم ارسال سيگنال و پهناي باند

تکنولوژی نوین کدهای مخرب

کوکی (Cookie) چیست؟

Adware و Spyware چیست؟

امنيت نامه های الکترونيکی

ابر برچسب ها

نوشته های جدید

جستجو در سایت

اطلاعات تماس

کانال تلگرام گروه فنی و مهندسی وی سنتر

مشاوره و خرید