loading...

سیستم عامل

آکاایران: راهنمای عملی قوی سازی رمزنگاری در سیستم عامل و مرورگرهای وب

آکاایران: راهنمای عملی قوی سازی رمزنگاری در سیستم عامل و مرورگرهای وب

سیستم عامل
در مقاله "چگونه سازمان های جاسوسی روزانه به میلیاردها صفحه وب رمزنگاری دسترسی دارند؟" به نقص امنیتی موجود در الگوریتم رمزنگاری دیفن-هلمن اشاره کردیم و دیدیم آژانس های جاسوسی فاقد اطلاع کاربران از آسیب پذیری موجود در این الگوریتم بهره برداری کردند. همچنین دیدیم سایت هایی که به الگوریتم کلید 1024 بیتی رمزنگاری دیفن هلمن اعتماد کرده بودند به آسانی قربانی یک آسیب پذیری امنیتی شدند. بر همین اساس کارشناسان امنیتی توصیه کردند از رمزنگاری 2048 بیتی دیفن هلمن استفاده شود. اکنون در این مقاله قصد داریم راه کارهای ویژه ای را به شما معرفی کنیم تا سطح رمزنگاری ارتباطات خود را افزایش داده تا از گزند سرقت اطلاعات دور باشید.

دو کارشناس دنیای امنیت آلکس هالدرمان و نادیا هانینگر در مقاله خود نشان دادند آژانس امنیتی NSA چگونه توانایی رمزگشایی حجم وسیعی از ارتباطات مبتنی بر HTTPS، VPN، SSH را با پیاده سازی یک مکانیزم حمله روی الگوریتم تعویض کلید 1024 بیتی دیفن هلمن دارند. مقاله منتشر شده از سوی این دو کارشناس بازتاب گسترده ای در محافل علمی یافت کرد. البته این دو کارشناس سابقه بررسی الگوریتم رمزنگاری دیفن هلمن را پیش از این نیز داشتند. در اوایل سال جاری میلادی، این گروه تحقیقاتی، حمله Logjam را کالبد شکافی کردند. تجزیه و تحلیل الگوریتم 1024 بیتی دیفن هلمن و مقایسه تکنیک مورد استفاده NSA و در ادامه بررسی مستندات افشا شده، نشان داد این سازمان از مدت ها و در اختفای کامل توانایی شکستن کلیدهای 1024 دیفن هلمن را داشته است. اما خبرها همیشه منفی نیست، و خبرهای خوبی نیز وجود دارد. تحقیقات اخیر نشان داده است، تولیدکنندگان بزرگ مرورگرهای اینترنتی (موزیلا، مایکروسافت و گوگل) پشتیبانی از الگوریتم 512 بیتی دیفن هلمن را کنار گذاشته اند، در نتیجه نگرانی از بابت یکی از بزرگ ترین آسیب پذیری های موجود برای همیشه از میان رفت. با این حال، پشتیبانی از کلید 1024 بیت دیفن هلمن همچنان تحت نظارت آژانس NSA قرار داشته و برای کاربردهایی که ممکن است در آینده به آن احتیاج شود، در مرورگرها قرار خواهد گرفت.

مطلب پیشنهادی: چگونه سازمان های جاسوسی روزانه به میلیاردها صفحه وب رمزنگاری دسترسی دارند؟

در کنار نکات امنیتی که توسط سازندگان مرورگرها لحاظ می شود، ما کاربران مرورگرها می توانیم یکسری تنظیمات را شخصا مورد بررسی قرار دهیم تا خطر احتمالی را کمی از خود دور کنیم. بر همین اساس در این پست، در نظر داریم، راه کارهایی را به شما معرفی کنیم تا ضریب امنیت مرورگر شما افزایش پیدا کرده و بتوانید از دستگاه، مرورگر کلاینت SSH یا نرم افزار VPN که از آن استفاده می کنید محافظت کنید.

مرورگرهای وب

چگونه می توانیم اطمینان حاصل کنیم مرورگر ما از الگوریتم رمزنگاری قدرتمندی استفاده می کند؟ جواب ساده است. باید به الگوریتم های رمزنگاری ( یا بسته های سایفری) که مرورگرهای ما از آن ها پشتیبانی می کنند نگاهی داشته باشیم. اما روش ساده تری برای این بررسی وجود دارد. How’s My SSL نمونه ای از این راهکارها به شمار می رود. این ابزار بسته سایفر مرورگر شما را در ارتباط با پروتکل امنیتی SSL مورد بررسی قرار می دهد. زمانی که آدرس این سایت را در مرورگر خود وارد کنید، در پایین صفحه توضیحاتی در ارتباط با بسته های سایفر مورد استفاده توسط مرورگر خود را مشاهده می کنید. اگر عبارت _DHE_ را در فهرست رمزها مشاهده نکنید به این معنا است که مرورگر شما در امنیت قرار دارد. هر چند شکل های مختلفی از رمزنگاری مبتنی بر منحنی بیضوی (Elliptic Curve  ) وجود دارند، اما اگر عبارت _ECDHE_ را همراه با آن ها مشاهده کردید، هیچ جای نگرانی موجود نیست، به این معنا که در امنیت قرار دارید.

وضعیت مرورگرهای ما چگونه است؟

زمانی که  آدرس How’s My SSL را در مرورگر اینترنت اکسپلورر 11 وارد کردیم، اطلاعات زیر را مشاهده کردیم.

سیستم عامل

در ادامه وضعیت گزارشی از وضعیت پروتکل های امنیتی، نسخه مورد استفاده و اطلاعات دیگر را مشاهده کردیم. همان گونه که در تصویر زیر مشاهده می کنید، وضعیت بسته سایفر ما غیرایمن گزارش شده است.

سیستم عامل

در پایین صفحه گزارشی از بسته های سایفری که توسط اینترنت اکسپلورر پشتیبانی می شود را مشاهده می کنید.

سیستم عامل

فایرفاکس ( نسخه 41.0.2 آزمایش شده)

اگر آدرس How’s My SSL را در مرورگر فایرفاکس اجرا کنیم، گزارش زیر را دریافت خواهیم کرد.

سیستم عامل

ابتدا زبانه جدیدی باز کرده، عبارت about:config را در نوار آدرس تایپ کرده و کلید Enter را فشار دهید. در صفحه هشدار روی گزینه I’ll be careful, I promise! کلیک کنید. در نوار آدرس عبارت .dhe_ را تایپ کرده و کلید Enter را فشار دهید. اجرای این دستور دو تنظیم security.ssl3.dhe_rsa_aes_256_sha و security.ssl3.dhe_rsa_aes_256_sha را در اختیارتان قرار می دهد. مقدار هر دو گزینه را از true  به false تغییر دهید. برای این منظور روی هر یک از این گزینه ها به طور جداگانه دوبار کلیک کرده تا وضعیت آن ها به false تغییر پیدا کند.

سیستم عامل

اکنون صفحه How’s My SSL را یک بار نوسازی (Refresh) کنید. اکنون باید بسته _DHE_ از میان رفته باشد.

سیستم عامل

مرورگر کروم

برای اطلاع از وضعیت امنیتی مرورگر کروم، در زبانه مرورگر خود صفحه How’s My SSL را باز کنید. نکته ای که در ارتباط با کروم باید به آن اشاره کرد به نحوه تغییر مقادیر باز می گردد. در مرورگر کروم مقادیر باید در فرمت هگزا (Hex) شانزدهی برای کروم ارسال شوند. برای مشاهده فهرست مربوطه به آدرس TLS Cipher Suit Registry مراجعه کنید.

 اما نحوه تغییر وضعیت این مرورگر در سیستم عامل های مختلف به شرح زیر است:

سیستم عامل OSX ( نسخه های 46.0.2490.71 و 10.10.5 آزمایش شده اند)

Automator را باز کرده، روی Run Shell Script دوبار کلیک کنید. فرمان cat را مطابق دستور زیر جایگزین کنید:

/Applications/Google Chrome.app/Contents/MacOS/Google Chrome --cipher-suite-blacklist=0x0033,0x0039,0x009E,0xcc15

سیستم عامل

برنامه را در پوشه برنامه کاربردی همراه با نام فایل دلخواهی ذخیره کنید. البته، می توانید برنامه کاربردی را به سمت داک کشیده و از آن جا اقدام به اجرای کروم فاقد استفاده از سایفر آسیب پذیر کنید.

سیستم عامل ویندوز (ویندوز 7 آزمایش شده)

روی میان بر مرورگر کروم در دسکتاپ کلیک راست کرده، گزینه Properties را انتخاب کنید. در ادامه برای سایفرهای فوق مقدار شانزدهی را همان گونه که پیش تر گفتیم وارد کنید.

"C:Program Files (x86)GoogleChromeApplicationchrome.exe" --cipher-suite-blacklist=0x0033,0x0039,0x009E,0xcc15

اکنون کروم را از طریق میان بر صفحه دسکتاپ اجرا کنید. سایفرهای مربوطه برداشته شده اند.

سیستم عامل لینوکس (اوبونتو 14.04 LTS آزمایش شده)

کروم را از طریق خط فرمان اجرا کرده و بسته سایفر را همانند عبارت زیر از آن حذف کنید.

google-chrome --cipher-suite-blacklist=0x0033,0x0039,0x009E,0xcc15

پروتکل SSH

بعد از آن که ثابت شد NSA توانایی رمزگشایی ارتباطات SSH را دارد، یک دستورالعمل عالی برای پیکربندی محکم SSH از سوی کارشناسان امنیتی منتشر شد. نحوه اجرای این دستورالعمل را از آدرس Secure Secure Shell می توانید دریافت کنید.

.

منبع : shabakeh-mag.com

تبلیغات