امضای دیجیتال – شرکت صفارایانه – طراح و مجری سیستم های یکپارچه

اطلاعات چیست؟ ( تعریف ISO27002)
اطلاعات یک دارایـی است که هماننـد سایر دارایی های مهم برای فعالیت هـای کاری یک سازمان بسیار اساسی است.

امنیت اطلاعات چیست ؟
امنیت اطلاعات در واقع محافظت از اطلاعات در برابر طیف وسیعی از تهدیدات است که با هدف تضمین استمرار فعالیت های کاری ، به حداقل رساندن ریسک های کاری و به حداکثر رساندن میزان بازده سرمایـه گـذاری ها و فرصت ها صورت می پذیرد.
امنیت اطلاعات، حفظ محرمانگی (confidentiality) ، تمامیت(integrity) و در دسترس بودن (availability) اطلاعـات و همچنـین سایر مـواردی مانند تصدیق هویت (authenticity)،مسئولیت پذیری(accountability) ، عدم انکـار (non-repudiation) و قابلیـت اطمیـنان (reliability) را شامل می گردد.

علت نیاز به امنیت اطلاعات در چیست؟

اطلاعات و فرآیندهای پشتیبانی ، سیستم ها و شبکه ها از جمله دارایی های مهم و حائز اهمیت به شمار می روند. سازمان ها ، سیستم های اطلاعاتی و شبکه های آنها با طیف وسیعی از تهدیـدات امنیتـی از جملـه کلاهبرداری های کامپیوتری ، جاسوسی ، خرابکاری ، آتش سوزی ، سیلاب ، زلزله ، عملیات تروریستی و … مواجه هستند.

تعریف امضای دیجیتال

امضای دیجیتال وسیله‌ی است که اصل بودن یک پیام یا فایل اطلاعاتی را در تبادلات الکترونیکی نشان می‌دهد؛ به طوری که:

گیرنده می‌تواند هویت فرستنده را کنترل کند.
فرستنده بعداً نمی‌تواند پیام ارسالی خود را تکذیب کند.
امکان جعل امضا وجود نداشته و هر کس امضای منحصر به فرد خود را دارد.

امنیت اطلاعات

در هنگام بررسی امنیت اطلاعات همواره با سه موضوع اصلی مواجه هستیم:

حمله امنیتی: به هر نوع عملی جهت مخدوش ساختن اطلاعات اطلاق می‌شود.
سرویس امنیتی: هر گونه سرویس جهت تأمین امنیت اطلاعات را گویند.
مکانیزم امنیتی: فرآیندی جهت تشخیص دادن و جلوگیری کردن از حملات امنیتی یا بازیابی کردن اطلاعات پس از وقوع حمله می‌باشد.

حملات امنیتی

سرویس‌های امنیتی

تصدیق هویت:

اطمینان یافتن از اینکه طرف مقابل در ارتباط ایجاد شده، همان فردی است که انتظار داریم.

محرمانگی داده:

ایمن نگاه داشتن داده‌های مورد نظر در طول ارتباط

جامعیت داده:

اطمینان یافتن از اینکه اطلاعات دریافت شده، دقیقاً همان اطلاعات ارسالی از سوی فرستنده می‌باشد.

انکار ناپذیری:

هیچ یک از طرفین ارتباط قادر به تکذیب کل یا بخشی از ارتباط نیستند.

کنترل دسترسی:

از دسترسی غیر مجاز به منابع مورد نظر جلوگیری نماییم.

روشهای کلی تشخیص هویت

چی هستی ؟

– اثر انگشت nDNA nRetinal (شناخت از طریق شبکیه چشم)

چی داری ؟

– کارت شناسایی
– نشان امنیتی یا نرم افزاری
– موبایل

چی می دانی؟

– کلمه(Word) یا عبارت (Phrase) عبور
– شماره شناسیی شخصی (PIN)

ترکیب

دستگاههای زیست سنجی تشخیص هویت

اثر انگشت

فرد انگشت خود را درداخل یا روی دستگاهی که از انگشت اسکن میگیرد قرار میدهد و دستگاه اثر انگشت را به صورت رقمی درآورده و با تصویری که قبلا بر روی فایل موجود در دستگاه ذخیره شده مقایسه میکند. این روش برای بررسی هویت اشخاص یا مقایسه اطلاعات با یک پایگاه اطلاعاتی شامل تعداد زیادی از افراد استفاده میشود.

کارآیی:

پایداری دربرابر تقلب ، دقت عملکرد ، سرعت وتجهیزات مورد نیاز ، هزینه ، سادگی استفاده وپذیرش از سوی کاربر ازجمله عوامل تعیین کننده در کارآیی میباشد:

میزان عدم پذیرش نادرست= ۹/۴%

میزان پذیرش نادرست= ۰

میانگین زمان پردازش= ۷ ثانیه

شبکیه

چشم ملزومات این روش این است که کاربر به یک عدسی که به صورت لیزری یک نمونه از رگهای خونی را اسکن میکند نگاه میکند ونمونه با هویت واقعی فرد قابل مقایسه میباشد. هزینه این روش درحدود ۲۶۵۰ دلار میباشد.

کارآیی:

میزان عدم پذیرش نادرست= ۱/۵%

میزان پذیرش نادرست= ۱/۵%

میانگین زمان پردازش= ۷ ثانیه

کف دست

سیستم اطلاعات ۱۰۰۰ نقطه از یک بخش ۲ اینچ مربع از کف دست را اسکن میکند وبا این اطلاعات فرد خطاکار یا معتبر در سیستم مشخص میشود. هزینه این روش درحدود ۲۶۵۰ دلار میباشد.

کارآیی:

میزان عدم پذیرش نادرست=۰

میزان پذیرش نادرست= ۰/۰۰۰۲۵ %

میانگین زمان پردازش= ۲-۳ ثانیه

هندسه دست (شکل دست)

در این روش از اندازه گیری سه بعدی شکل هندسی دست برای تامین هویت افراد استفاده میکند قیمت یک نمونه از این دستگاه ۲۱۵۰ دلار است.

کارآیی:

میزان عدم پذیرش نادرست=۰/۱%

میزان پذیرش نادرست= ۰/۰۱%

میانگین زمان پردازش= ۲-۳ ثانیه

تشخیص از چهره

ر این روش از یک دوربین که در محل تشخیص هویت نصب میشود استفاده میشود و دستگاه تصویر شخصی را که وارد میشود ثبت کرده وبا تصویر ذخیره شده در بانک مقایسه مینماید قیمت یک نمونه از دستگاه ۲۵۰۰ دلار

کارآیی:

میانگین زمان پردازش= ۲ ثانیه

بررسی صدا

در این روش وقتی شخصی عبارتی را در میکروفون صحبت میکند این دستگاه نمونه صدا را تحلیل کرده و آن را با اطلاعات ذخیره شده در پایگاه داده مقایسه مینماید. قیمت متغیر است از ۱۲۰۰ دلار برای ۳۰۰۰ کاربر

کارآیی:

میانگین زمان پردازش= ۲ ثانیه

روشهای تشخیص هویت

رمزنگاری

رمزنگاری نوعی تبدیل است که کاراکترها یا بیت‌های داده‌های ورودی را به کاراکترها یا بیت‌های دیگر تبدیل می‌کند؛ به طوری که تشخیص متن اصلی از روی متن رمزنگاری شده بسیار دشوار می‌باشد.
عکس این عملیات، یعنی به دست آوردن متن ساده از روی متن رمزی را رمزگشیی گویند.
پارامتر امنیتی ورودی رمزنگاری و رمزگشایی، کلید نام دارد..
در یک رمزنگاری موفق الگوریتم‌ رمزنگاری بری عموم مشخص است اما کلیدی که جهت رمزگشایی استفاده می‌شود سری است.

رمز سزار

ماشین رمز انیگما

ماشین رمز کننده لورنتز

ماشین رمزکننده لورنتز که در جنگ جهانی دوم توسط آلمان بری رمز کردن پیام‌هی نظامی مورد استفاده قرار گرفته است .

رمز استوانه ای

رمزنگاری تصویری

اصول ششگانه رمزنگاری پیشرفته

۱- سیستم رمزنگاری اگر نه به لحاظ تئوری که در عمل غیر قابل شکست باشد.

۲- سیستم رمز نگاری باید هیچ نکته پنهان و محرمانه ی نداشته باشد. بلکه تنها چیزی که سری است کلید رمز است.

۳- کلید رمز باید به گونه ی قابل انتخاب باشد که اولا بتوان براحتی آن را عوض کرد و ثانیا بتوان آنرا به خاطر سپرد و نیازی به یادداشت کردن کلید رمز نباشد.

۴- متون رمز نگاری باید از طریق خطوط تلگراف قابل مخابره باشند.

۵- دستگاه رمز نگاری یا اسناد رمز شده بید توسط یکنفر قابل حمل و نقل باشد.

۶- سیستم رمزنگاری باید به سهولت قابل راه اندازی باشد.

اهمیت اصالت پیام

در بسیاری از کاربرد ها مانند:

تراکنشهای مالی

سیستم های یکپارچه شهرسازی

ثبت احوال و اسناد

ممکن است ارائه سرویس محرمانگی اهمیت زیادی نداشته باشد ولی اینکه محتوای اطلاعات قابل اعتماد باشند از اهمیت بسیار بالاتری برخوردار است.

مفهوم احراز اصالت پیام

•اطمینان از:

–تمامیت پیام؛ یعنی پیام دریافتی دستکاری نشده است:

•بدون تغییر،

•بدون درج،

•بدون حذف

•بدون تکرار و تغییر توالی

–این که پیام از جانب فرستنده ادعا شده ارسال شده است

سرویس امنیتی

مجازشناسی: شما همان‏ میزان حق دسترسی دارید که به شما اعطا شده است

l:: Access Controlو دیگر مکانیزمهای سیستم عامل

بازرسی و کنترل: آیا تردد داده با مقررات امنیتی سازمان سازگار است؟

l:: Firewallو ابزارهای کنترل اتصال

مکانیزم امنیتی

اصلی‌ترین مکانیزم‌هی امنیتی، رمزنگاری و امضای دیجیتال می‌باشند.

توسط رمزنگاری می‌توان محرمانگی پیغام‌های ارسالی را تضمین کرد.

سرویس‌هی تصدیق هویت، جامعیت داده‌ها و انکارناپذیری توسط امضای دیجیتال به دست می‌آیند.

نتیجه: تمامی سرویس‌هی مورد نیاز جهت برقراری امنیت توسط ترکیب مکانیزم‌هی رمزنگاری و امضای دیجیتال حاصل خواهند شد.

انواع امضای دیجیتال

امضای کلید متقارن :

دو طرفی که در حال مبادله اطلاعات هستند، به یک طرف سومی که big brother نامیده می‌شود، اطمینان کرده و از طریق رمزنگاری کلید متقارن و با واسط BB امضا را انجام می‌دهد.

امضای کلید عمومی:

از کلیدهای عمومی و خصوصی و الگوریتم‌های رمزنگاری کلید عمومی استفاده می‌کند.

امضای کلید متقارن