SSL και PKI
Posted: Thu Sep 01, 2005 4:44 pm
Eίναι εύκολο κάποιος να περιγράψει σύντομα τι είναι το Secure Socket Layer και που χρησιμεύει και το ίδιο για το Public Key Infrastucture??
Eυxaριστώ!
Eυxaριστώ!
Το SSL είναι σήμερα το παγκόσμιο standard στο Διαδίκτυο για την πιστοποίηση δικτυακών τόπων (web sites) στους δικτυακούς χρήστες και για την κρυπτογράφηση στοιχείων μεταξύ των δικτυακών χρηστών και των δικτυακών εξυπηρετητών (web servers). Μία κρυπτογραφημένη SSL επικοινωνία απαιτεί όλες τις πληροφορίες που αποστέλλονται μεταξύ ενός πελάτη και ενός server να κρυπτογραφούνται από το λογισμικό αποστολής και να αποκρυπτογραφούνται από το λογισμικό αποδοχής, προστατεύοντας έτσι προσωπικές πληροφορίες κατά τη μεταφορά τους. Επιπλέον, όλες οι πληροφορίες που αποστέλλονται με το πρωτόκολλο SSL, προστατεύονται από ένα μηχανισμό που αυτόματα εξακριβώνει, εάν τα δεδομένα έχουν αλλαχτεί κατά τη μεταφορά.
Πιο συγκεκριμένα, τα προβλήματα που λύνει το SSL είναι τα εξής:
1. Αν ένας χρήστης θελήσει να κάνει login στο σύστημα τότε το username και το password του θα αποσταλούν μέσα από το HTTP μη κρυπτογραφημένα, “clear-text”, δηλαδή όπως ακριβώς τα πληκτρολογεί ο χρήστης. Αυτά θα ακολουθήσουν μια διαδρομή μέσα στο δίκτυο, από τον υπολογιστή του χρήστη ως τον server της εφαρμογής. Αν κάπου μέσα σε αυτή τη διαδρομή υπάρχει κάποιος “sniffer” μπορεί εύκολα να “ακούσει” το username και το password. Το SSL κρυπτογραφώντας τις πληροφορίες που στέλνει ο χρήστης στον server, δηλαδή παρέχοντας κρυπτογράφηση στο κανάλι επικοινωνίας, αποφεύγει το “sniffing” από ενδιάμεσους κόμβους.
2. Αν κάποιος αποκτήσει πρόσβαση στο δίκτυο που ανήκει ο server μπορεί να αλλάξει τον πίνακα δρομολόγησης ή τον DNS server και αντί η διέυθυνση να αντιστοιχίζεται στον κανονικό server να ανακατευθύνεται σε έναν υπολογιστή που επιθυμεί ο ίδιος. Εκεί μπορεί να υπάρχει μια εφαρμογή ακριβώς ίδια με την αρχική και προσπαθώντας ο εξουσιοδοτημένος χρήστης να κάνει login, ο τρίτος μπορεί να δει το username και το password. Με το SSL πρωτόκολλο αποφεύγεται αυτή η επίθεση που είναι γνωστή ως “Man in the middle attack”, δηλαδή η έλλειψη αυθεντικοποίησης του server στους clients.
3. Δεν υπάρχει τρόπος ο server να γνωρίζει αν o client που προσπαθεί να αυθεντικοποιηθεί είναι εξουσιοδοτημένος ή όχι. Αν δηλαδή κάποιος “attacker” βάλει σωστό username και password o server δεν θα το καταλάβει ώστε να του απαγορελυσει την πρόσβαση στην εφαρμογή. Το SSL αντιμετωπίζει αυτό το πρόβλημα, δηλαδή την έλλειψη αυθεντικοποίησης των clients στον server.
