قالب وردپرس قالب وردپرس آموزش وردپرس قالب فروشگاهی وردپرس وردپرس
چهارشنبه , ۲ آبان ۱۳۹۷

چیستی: زیرساخت کلید عمومی

با افزایش اتکای دنیا به تجارت الکترونیکی در بستر اینترنت و روند رو به رشد خرید اینترنتی در دنیا، نیاز به امنیت و مکانیزم‌های اعتمادزا به مساله‌ای حیاتی در این حوزه تبدیل شده و اذهان متخصصان و فعالان این عرصه را بیش از پیش به خود مشغول نموده است. اعتماد به عنوان سنگ بنای استراتژیک تعاملات اینترنتی، یکی از حوزه های مهمی است که ایجاد و گسترش آن، تاثیر بسزایی در ترویج تجارت الکترونیکی در میان اقشار مختلف مردم دارد. روسو(۱۹۹۸)، اعتماد را به عنوان یک وضعیت روانی تعریف می کند که فرد مبتنی بر انتظارات مثبت درک شده از نیت یا رفتاردیگران، ریسک آسیب پذیری در معامله با آنها را می پذیرد. اعتماد یک مفهوم چند وجهی است که با در نظرگرفتن ماهیت بین رشته ای و کاربردهای آن در حوزه های مختلف بازاریابی، اقتصاد، روانشناسی، جامعه شناسی و… تعاریف و برداشت های متعددی از آن ارائه شده است و از جنبه های مختلف فرآیندی، فنی و امنیتی و حریم خصوصی بررسی شده است می باشد.

در این پست تلاش می کنیم اعتماد را از دیدگاه فنی- امنیتی و با تشریح مفهوم زیرساخت کلیدی عمومی به عنوان یکی از سازوکارهای فنی اعتمادزا در فضای الکترونیکی بررسی نماییم.

زیرساخت کلید عمومی

یکی از منظرهای کلیدی در مفهوم اعتماد، اعتماد از بعد فنی و امنیتی و یا قابلیت اطمینان نسبت به فناوری و فرآورده‌های آن به عنوان بستر فراهم کننده تعاملات الکترونیکی است. هرچند ابزارهایی نظیر نرم‌افزارهای آنتی ویروس، فایروال‌ها یا سیستم های پیشگیری و تشخصیص نفوذ، راه‌کارهایی برای فراهم آوردن امنیت به کاربران خود ارائه می‌دهند، اما اغلب این نرم‌افزارها در بسیاری از زمینه‌ها ناتوان هستند و برای مثال در شناسایی و تایید هویت طرف‌های مشارکت‌کننده در یک تراکنش نمی‌توانند کمکی ارائه دهند. این ابزارها همچنین قادر نیستند راهکارهای تضمین‌کننده‌ای برای درک سطح اطمینان به هنگام مبادله یک کالا یا تعامل با سایر اشخاص، به کاربران ارائه کنند.

زیرساخت کلید عمومیدر این حوزه، مفهوم زیرساخت کلید عمومی (Public Key Infrastructure)، نقش قابل توجهی در بالا بردن درجه اعتماد به فضای مجازی از بعد فنی و امنیتی ایفاء می نماید. در واقع، زیرساخت کلید عمومی از جمله مکانیزم های اعتمادزای عامل سوم (Third Party Trust) است که افراد برای افزایش ضریب اعتماد در تعاملات الکترونیکی با یکدیگر از آن استفاده می نمایند.

مفهوم زیرساخت کلید عمومی یا به اختصار PKI در حوزه رمزنگاری نامتقارن مطرح بوده و مشتمل بر مجموعه ای از سخت افزارها، نرم افزارها، افراد، سیاست‌ها و رویه ها برای ساخت، تولید، انتشار، کنترل، بازرسی و ابطال انواع گواهی دیجیتال است که با اهداف و کاربردهای گوناگون برای ایمن سازی بستر یک تعامل الکترونیکی بین طرف های مشارکت کننده و توسط یک مرجع مورد اعتماد طرفین تحت عنوان مرکز صدور گواهی (Certificate Authority یا به اختصار CA) صادر می شود. زیرساخت کلید عمومی با بکارگیری و اختصاص یک زوج کلید به هر کاربر کار می کند. این کلیدها با اجرای یک فرآیند ریاضی تولید می شوند و در واقع چیزی به جز، رشته‌ای ترکیبی از کاراکترهای حرفی و عددی نیستند.

زیرساخت کلید عمومیهمانطور که گفته شد زیرساخت کلید عمومی مبتنی بر رمزنگاری نامتقارن است. برخلاف رمزنگاری متقارن که کلید مشابهی برای رمزنگاری و رمزگشایی اطلاعات استفاده می‌شود، در رمزنگاری نامتقارن، دو کلید متفاوت برای این منظور به کار گرفته می‌شوند. این کلیدها در یک زمان تولید شده و از جنبه ریاضی بهم مرتبط هستند به نحویکه اگر هر یک از کلیدها برای رمزنگاری‌(Encryption) استفاده شود، کلید دیگر می‌بایست برای رمزگشایی (Decryption) بکار گرفته شود. الگوریتم‌هایی که برای تولید این زوج کلیدها استفاده می‌شوند، این موضوع را تضمین می‌کنند که در صورتیکه یکی از کلیدها، که کلید عمومی نامیده می‌شود، فاش شود، کلید دیگر، یعنی کلید خصوصی را نمی‌توان به سادگی کشف نمود. کلید عمومی در گواهی‌ها گنجانده و بطور گسترده توزیع می‌شود. در حالیکه کلید خصوصی نزد صاحب گواهی نگهداری می‌شود. کلید‌های خصوصی، که برای شناسایی و امضا استفاده می‌شوند، هرگز خارج از کنترل مستقیم صاحب گواهی، ‌تسهیم نمی‌شوند. کلیدهای خصوصی که برای رمزنگاری بکار می‌روند را می‌توان نزد مرجع ثالثی به امانت گذارد تا در صورت لزوم بتوان اطلاعات رمزنگاری شده را بازیابی نمود.

اجزای زیرساخت کلید عمومی

چارچوب زیرساخت کلید عمومی دربرگیرنده عناصر زیر می باشد:

مرجع صدور گواهی (Certificate Authority)

این مرجع به عنوان صادر کننده و ارائه دهنده خدمات گواهی دیجیتال در بستر شبکه عمل می کند و  موجودیتی است که مورد اعتماد و اطمینان یک یا چند کاربر، به منظور ایجاد و تخصیص گواهی‌ها باشد. مراجع گواهی انواع مختلفی دارند. مرجعی که گواهی اعتماد خودش را خودش امضا می‌کند و به اصطلاح خود امضاء (Self-Signed) می باشد، را مرجع گواهی ریشه (root CA) یا ریشه مورد اعتماد می‌نامند. مراجع گواهی که گواهی‌های آنها توسط سایر مراجع گواهی صادر می‌شود را مراجع گواهی پایین دستی (subordinate CA) می‌نامند. مراجع گواهی، مسئول صدور، انتشار و ابطال گواهی‌ها هستند و کار ابطال گواهی‌ها را با قراردادن آنها در فهرست گواهی‌های ابطالی (Certificate Revocation List یا به اختصار CRL) انجام می‌دهند.

دفتر ثبت نام (Registration Authority)

این دفاتر که به اختصار آنها را RA می نامند، موجودیتی است که به منظور گردآوری و بررسی صحت اطلاعات مربوط به هویت صاحبان گواهی‌های دیجیتال و با مجوز مراجع صدور گواهی (CA) تشکیل می شوند. ثبت و انتقال درخواست متقاضیان در خصوص صدور و ابطال گواهی‌های دیجیتال و سایر امور مربوط به آنها مطابق با ضوابط و دستورالعمل مشخص شده از سوی مراجع صدور گواهی از جمله وظایف اصلی دفتر ثبت نام می‌باشد.

گواهی (Certificate)

گواهی که به نام‌های دیگری نظیر گواهی دیجیتال، گواهیX.509، یا گواهی کلید عمومی نیز نامیده می‌شود، یک فایل داده‌ای است که هویت یک موجودیت را به یک کلید عمومی مرتبط می‌سازد. اجزای گواهی‌ها عبارتند از نام صاحب گواهی (نام دیگر آن صاحب امضاء)، تاریخ آغاز و پایان دوره اعتبار گواهی، کلید عمومی، نام مرجع صادر کننده گواهی (‍CA)، و یک شناسه که گواهی را به سند سیاست‌های گواهی (CP)، که تشریح کننده مکانیزم و سیستم صدور گواهی است، مرتبط می‌سازد. اطلاعات موجود در یک گواهی، توسط مرجع صادر کننده آن و بصورت دیجیتالی امضا می‌شود و از آن پس این امضا به عنوان بخشی از گواهی در نظر گرفته می‌شود.

بانک اطلاعاتی گواهی ها (Certificate Database)

پایگاه اطلاعاتی است که درخواست های افراد برای گواهی دیجیتال، گواهی های صادرشده و فهرست گواهی های باطل شده و درخواست تمدید گواهی های ارائه شده به مراجع صدور گواهی یا دفاتر ثبت نام را در خود نگهداری می کند.

مخزن گواهی (Certificate Store)

گواهی‌های صادر شده و درخواست های مربوط به گواهی های معلق یا باطل شده را بر روی رایانه شخصی ذخیره می کند.

سرور بایگانی کلید (Key Archival Server)

کلیدهای خصوصی رمزنگاری شده در بانک اطلاعاتی گواهی را برای بازیابی در صورت از دست رفتن، نگهداری می کند.

لازم به ذکر است که در چارچوب زیرساخت کلید عمومی ، ارتباط کاربران با زیرساخت از طریق نرم افزاری (Enrollment API) است که به آنها این امکان را می دهد تا درخواست خود را به مراجع صدور گواهی یا دفاتر ثبت نام ارائه دهند و گواهی های صادر شده را بر روی رایانه شخصی خود نصب نمایند. دسترسی مستقیم به بانک اطلاعاتی یا مخزن گواهی از طریق این نرم‌افزارها برای کاربران میسر نیست.

کارکردهای زیرساخت کلید عمومی

زیرساخت کلید عمومی مشتمل بر کارکردهای زیر می باشد:

تصدیق هویت (Authentication)

یکی از معظلات تعامل در فضای مجازی، عدم اطمینان نسبت به هویت طرف مقابل می باشد. بعبارت دیگر شما به هیچ طریقی نمی توانید مطمئن شوید فردی که در حال تعامل با وی در فضای مجازی هستید، قطعا همان کسی است که ادعا می کند. بسیاری از هکرها و نفوذگرها با ورود غیر مجاز به سیستم های سازمانی یا هک کردن حساب کاربری افراد در شبکه های اجتماعی یا وب سایت های اینترنتی، خود را بجای آنها جا زده و از این موقعیت در جهت اهداف شخصی خود بهره‌برداری می کنند. در این راستا یکی از کارکردهای اصلی محصولات زیرساخت کلید عمومی، شناسایی و تایید هویت افراد مطابق با ادعای آنها می باشد. زیرساخت کلید عمومی این کارکرد را از طریق گواهی دیجیتال (digital certificates) ارائه می دهد.

انکارناپذیری (Non-repudiation)

زمانی که شما در فضای فیزیکی با دیگران تعامل می کنید، شواهد و قراین زیادی وجود دارد که می تواند اثبات کننده تعامل شما با دیگران باشد. مثلا وجود افرادی که می توانند در دادگاه شهادت دهند که فلان کس، فلان قرارداد را امضاء نموده است. اما در فضای الکترونیکی دلایل محکمه پسندی که نشان دهد برای مثال یک فاکتور خرید توسط فروشگاه اینترنتی خاصی صادر شده است، وجود ندارد.در این راستا یکی دیگر از کارکردهای اصلی زیرساخت کلید عمومی، فراهم آوردن خاصیت انکارناپذیری از سوی فرستنده اطلاعات یا اسناد در یک تعامل الکترونیکی است. این قابلیت موجب می شود در دعاوی فی مابین آینده، فرستنده سند الکترونیکی نتواند ارسال سند یا اطلاعات توسط خودش را انکار کند. زیرساخت کلید عمومی این کارکرد را از طریق امضای دیجیتال (digital signatures) ارائه می دهد.

محرمانگی (Confidentiality)

فرض کنید قصد خرید از یک فروشگاه اینترنتی را دارید، بعد از انتخاب کالا، برای تکمیل فرآیند خرید معمولا شما می بایست اطلاعات شخصی خود را در وب سایت فروشگاه اینترنتی مورد نظر وارد نمایید و نهایتا برای پرداخت بهای کالا، اطلاعات حساب بانکی خود را ارائه دهید. در این زمان، اگر بستر ارتباطی بین شما و وب سایت یا بانک مورد نظر امن نباشد، هر مهاجم یا نفوذگری می تواند به اطلاعات شخصی شما دسترسی داشته باشد. برای رفع این مشکل، زیرساخت کلید عمومی، قابلیت محرمانگی را ارائه می کند که با ایمن نمودن تبادل اطلاعات در بستر شبکه، از دسترسی افراد غیر مجاز به داده های در حال انتقال جلوگیری می کند. زیرساخت کلید عمومی این کارکرد را از طریق الگوریتم های رمزنگاری (encryption algorithms) نظیر SSL ارائه می دهد.

یکپارچگی یا حفظ تمامیت (Integrity)

یکی دیگر از مشکلاتی که تبادل اطلاعات در فضای مجازی را تهدید می کند و می تواند به عنوان عاملی مانع زا در مسیر توسعه تجارت الکترونیکی عمل نماید، امکان دستکاری اطلاعات و داده ها در جریان تبادل بین طرفین در مسیر انتقال می باشد. برای رفع این مشکل، زیرساخت کلید عمومی خاصیت یکپارچگی داده‌ها را ارائه داده است که به معنی حفظ تمامیت و جامعیت اطلاعات و داده ها و جلوگیری از تغییر یا دستکاری آنها در جریان انتقال در بستر شبکه می باشد. زیرساخت کلید عمومی این کارکرد را از طریق هش کردن پیام (message hashing) ارائه می کند.

کنترل دسترسی (Access Control)

منطق نهفته در پس این قابلیت، حصول اطیمنان از آن است که تنها افراد با سطح دسترسی امنیتی موردنیاز و تعریف شده می توانند به اطلاعات و داده ها دسترسی داشته باشند. این قابلیت بخصوص برای شرکت های بزرگ، که داده ها و اطلاعات زیادی از انبوه مشتریان در بانکهای اطلاعاتی خود ذخیره و نگهداری می کنند، حائز اهمیت فراوان است. زیرساخت کلید عمومی این قابلیت را از طریق مفهوم کلید خصوصی و عمومی (public and private key) ارائه می کند.

سخن پایانی

برای بسیاری،‌ زیرساخت کلید عمومی، مشتمل بر مجموعه‌ای از رویه‌های طولانی و ابزارهای پیچیده می‌باشد که بکارگیری آنها با ترس زیادی همراه است. البته شاید چنین طرز نگرشی، در طی سالیان گذشته که زیرساخت کلید عمومی چندان جدی گرفته نشده و نرم‌افزارهای مبتنی و سازگار با آن نیز هنوز متداول نشده بودند، قابل پذیرش می‌نمود،‌ ولی امروزه، زیرساخت کلید عمومی، نه تنها در بخش تجاری بلکه دربخش دولتی نیز به عنوان یک ابزار حیاتی در جریان ارتباطات نگریسته می‌شود. در نتیجه بسیاری از جنبه‌های لازم برای پیاده‌سازی موفق زیرساخت کلید عمومی، نظیر جنبه‌های حقوقی و بیمه، به شکل فزاینده‌ای رشد داشته‌اند. برای مثال، اغلب کشورها در طی چند سال اخیر، قوانینی را مصوب نموده‌اند که امضای الکترونیکی را به عنوان یکی از محصولات زیرساخت کلید عمومی، از جنبه حقوقی معادل با امضای فیزیکی بر روی کاغذ به رسمیت بشناسد. از جمله در کشور ما نیز  ماده ۴۸ قانون برنامه پنجم توسعه،  بطور صریح به این موضوع اشاره کرده و دولت و بطور مشخص وزارت صنعت، معدن و تجارت را مکلف به پیاده‌سازی زیرساخت کلید عمومی تا پایان سال سوم برنامه نموده است.

منابع

Techrepublic; EntrustMiicrosoft

درباره ی Hamid Golmohammadi

Hamid Golmohammadi
کارشناسی ارشد فناوری اطلاعات و دانشجوی دکتری مدیریت فناوری اطلاعات هستم. بیش از ۱7 سال در حوزه‌های مختلف فناوری اطلاعات به ویژه تجارت الکترونیکی و کاربردهای آن کار پژوهشی و تحقیقاتی انجام داده‌ام. هدف من از حضور در این وب سایت، به اشتراک گذاشتن تجربیات و دانش خود در حوزه های مدیریت و فناوری اطلاعات جهت توسعه آگاهی و ارتقای سطح دانش اقشار مختلف جامعه می باشد.

مطلب پیشنهادی

آمار خريد اينترنتي در ايران

چیستی: آمار خرید اینترنتی در ایران

آیا اعتماد مردم ایران به خرید اینترنتی بیشتر شده است؟ شاید فرآیند خرید اینترنتی از جنبه …

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *