چرا مرورگرها به برخی سایت های ایرانی هشدار امنیتی می دهند؟
نکسترو: با ورود تحریم های تکنولوژیک به لایه «زیرساخت کلید عمومی» (PKI)، امنیت ارتباطات وب در ایران وارد مرحله تازه ای از چالش شده است.
تینا مزدکی_طی روزهای اخیر، بروز اختلال در تمدید و صدور گواهی های امنیتی SSL برای وب سایت ها و سامانه های حساس کشور، همچون شبکه پرداخت کارت بانکی (شاپرک) موجی از نگرانی ها را در رابطه با امنیت، پایداری و حریم خصوصی ارتباطات وب به وجود آورده است. محدودیت های جدید و رفتارهای تحریمی مراجع بین المللی صدور گواهی (CA) مانند Let"s Encrypt، ابعاد تازه ای از فشارهای تکنولوژیک ضد زیرساخت های دیجیتال ایران را آشکار کرده است.
زمانیکه یک وب سایت نتواند گواهی امنیتی خویش را تمدید کند، مرورگرها آنرا غیرقابل اعتماد تشخیص داده و با نمایش هشدارهای امنیتی، مانع دسترسی عادی کاربران می شوند. جهت بررسی چرایی اهمیت این گواهی ها و نحوه کارکرد آنها با آرین اقبال، کارشناس امنیت شبکه در خبرآنلاین به گفت و گو پرداختیم.
مشروح این گفت و گو را در ادامه می خوانید:
SSL و اهمیت زنجیره اعتماد (Chain of Trust) آرین اقبال در جواب این پرسش که پروتکل SSL چیست و چه کاربردی در امنیت ارتباطات وب دارد، توضیح می دهد: «اس اس ال (SSL) اصولاً یک لایه امنیتی برای رمزنگاری پروتکل HTTP است. در حالت عادی، پروتکل HTTP که ما برای مشاهده وب سایت ها از آن استفاده می نماییم، هیچ گونه رمزنگاری ندارد. بنابراین، اگر فردی در راه ارتباطی شما قرار بگیرد، هم می تواند داده های ردوبدل شده میان شما و سرور را ببیند و هم با جا زدن خود به جای سرور، اطلاعات جعلی ارسال کند؛ اتفاقی که به آن «حمله مرد میان راهی» (Man-in-the-Middle) می گویند.»
او می گوید: « برای حفظ امنیت ارتباط، انجام دو کار ضروری است؛ نخست، رمزنگاری کل ارتباط تا فرد ثالث نتواند ترافیک، محتوا و اطلاعات محرمانه (مانند رمزهای عبور) را مشاهده کند؛ و دوم، ممانعت از تغییر محتوای ردوبدل شده. باآنکه رمزنگاری اولیه با توافق سرور و کلاینت بر سر یک کلید ممکن است، اما مشکل اینجاست که یک هکر یا موجودیت ثالث می تواند در بین راه قرار گرفته و کلید اختصاصی خویش را جایگزین کلید اصلی سرور کند؛ در این حالت، او همچنان نقش یک پروکسی وسط راه را ایفا کرده و ترافیک را شنود یا دستکاری می کند.»
به گفته اقبال برای حل این چالش، مفهوم زنجیره اعتماد (Chain of Trust) در وب شکل گرفته است. او در اینباره می گوید: «در این فرایند، سرور بعد از ساخت کلید رمزنگاری، آنرا برای تایید و امضا به نهادهایی می دهد که مورد اعتماد همگان هستند. این امضاها بصورت زنجیره وار به شرکتها و صادرکنندگان اصلی گواهی (Root CAs) که برای مرورگرها و سیستم ها کاملا شناخته شده هستند، متصل می شود. گواهی SSL تنها زمانی معتبر و قابل اعتماد است که توسط این مرجع های شناخته شده (Certificate Authorities) امضا شده باشد.»
آرین اقبال، کارشناس امنیت شبکه آرین اقبال درمورد انواع گواهی های SSL توضیح می دهد: «به طور کلی یک کلید رمزنگاری دو حالت دارد؛ یا بصورت خودامضا یا همان Self-Signed است یا این که زنجیره اعتمادی (Chain of Trust) متصل به یک مرجع صدور گواهی (CA) دارد. در حالت Self-Signed، خود فرد یا مجموعه کلید را ساخته و آنرا امضا نموده است. در این شرایط، مسئولیت ارزیابی صحت کلید تماماً بر عهده خود کاربر است؛ یعنی یا باید کلید را از پیش از یک کانال امن دیگر به دست آورده باشد یا خودش به هر شیوه دیگری احراز کند که آیا این کلید اصلی است یا نه.»
او ادامه می دهد: «اما در حالت دوم، وقتی گواهی ازطریق یک CA امضا شده باشد، مبنا بر این قرار می گیرد که کاربر به آن مرجع اعتماد دارد و هر آن چه را که توسط آن امضا شده باشد می پذیرد. امضا و کلیدهای اصلی مرجع های شناخته شده صدور گواهی در جهان، بصورت پیش فرض در فهرست داخلی سیستم عامل ها نظیر ویندوز، لینوکس و مک و همینطور مرورگرهایی مانند کروم و فایرفاکس قرار گرفته است.»
اقبال می گوید: « وقتی شما وب سایتی را باز می کنید، اگر زنجیره اعتماد گواهی SSL آن به یکی از این شرکتهای معتبر در فهرست مرورگر برسد، سایت بدون هیچ مشکلی باز می شود. اما اگر این زنجیره وجود نداشته باشد، مرورگر با نمایش یک اخطار اعلام می کند که صادرکننده را نمی شناسد و مسئولیت ادامه مسیر را به خود کاربر واگذار می کند. بالاخره، اگر زنجیره اعتماد غلط باشد یا در تنظیمات سرور اجبار شده باشد که سایت فقط با زنجیره اعتماد کامل و صحیح روی پروتکل SSL نمایش داده شود، مرورگر اصلاً اجازه باز شدن سایت را نخواهد داد؛ اتفاقی که در اغلب وب سایت های مدرن امروزی رخ می دهد.»
تحریم چه بلایی بر سر وب سایت های ایرانی آورد؟ آرین اقبال در جواب این پرسش که فرآیند دریافت امضای گواهی SSL چطور است، توضیح می دهد: «وقتی ما کلید رمزنگاری را می سازیم، برای تشکیل زنجیره اعتماد باید آنرا برای یکی از شرکتهای صادرکننده گواهی یا همان CA بفرستیم تا آنرا امضا کنند و به ما تحویل دهند. در دنیا حدود بیست و چند شرکت CA شناخته شده وجود دارد؛ تعدادی از آنها مانند Let"s Encrypt یا قسمتهایی از مایکروسافت و گوگل مجانی هستند و خدمات عمومی می دهند و برخی دیگر مانند سرتوم (Certum) پولی هستند.»
او می گوید: « از نظر ساختاری، ما سه مدل گواهی SSL داریم. دسته اول گواهی های DV یا Domain Validation هستند که فقط آدرس دامنه سایت شما را تایید می کنند تا مشخص شود مالک حقیقی آن هستید؛ سرویس مجانی Let"s Encrypt از همین جنس است و هدف اصلی آن صرفا رمزنگاری ارتباطات است. دسته دوم گواهی های OV یا Organization Validation هستند که مجانی نبوده و پولی هستند. در این حالت شما علاوه بر درخواست گواهی، مدارک شرکت را هم آپلود می کنید تا صحت آنها بسنجند و گواهی داده شود که سبب می شود نماد اعتماد بیشتری (مانند سبز شدن آیکون کنار آدرس) در مرورگر شکل بگیرد. دسته سوم هم گواهی های EV یا Extended Validation هستند که سخت گیرانه ترین فرآیند احراز هویت را دارند و بررسی های بسیار بیشتری روی سازمان انجام می دهند تا نشان دهند وب سایت کاملا ارزیابی شده است.»
او همینطور در جواب این پرسش که تحریمها چه تاثیری بر وب سایت های ایرانی و مجموعه هایی مانند شاپرک می گذارند، می گوید: «برای دریافت این امضاها و تاییدانه ها، شما باید در این شرکتها حساب بسازید و درخواست بدهید، اما به سبب تحریمها حدودا اغلب شرکتهای CA دنیا با ایران کار نمی کنند. به این علت اغلب سایت های ایرانی یا از Let"s Encrypt استفاده می کردند یا از شرکت سرتوم لهستان که تا قبل از این همکاری می کرد. روال از دست رفتن یک گواهی به این صورت است که شرکت صادرکننده دیگر حاضر به تایید مجدد آن نمی گردد. اگر خبرهایی بر اساس تحریم های جدید Let"s Encrypt مطرح شود، وضعیت تمدید گواهی ها به خطر می افتد. برای وب سایت هایی مثل شاپرک هم اتفاقی که رخ می دهد این است که هنگام فرارسیدن زمان تمدید گواهی، چون هیچ مرجعی آنرا تمدید نمی کند، گواهی منقضی شده و مرورگرها خطای امنیتی داده و سایت را باز نمی کنند. طبیعتاً این کارها را نباید به روز آخر موکول کرد و در عمل هم راهکار متفاوتی جز همان مسیرها و فرایندهای دور زدن تحریمها برای دریافت امضا از یک CA وجود ندارد.»
تحریم SSL با آزادی اینترنت تناقض دارد آرین اقبال در جواب این پرسش که سیاسی شدن گواهی های SSL و اعمال تحریمها چه تناقضی با اینترنت آزاد دارد و چه مخاطرات امنیتی ایجاد می کند، توضیح می دهد: «طبیعتاً این مساله بسیار پراهمیتی است، چون که SSL ابزاری حیاتی برای تأمین امنیت وب، ممانعت از شنود اطلاعات و پیشگیری از دستکاری داده هاست و باید اصول بی طرفی کاملا در آن رعایت شود. خصوصاً در مورد مجموعه Let"s Encrypt که بنیان گذاران آن بنیاد EFF (جبهه الکترونیک) بوده اند؛ نهادی که همواره یکی از بزرگ ترین فعالین آزادی، برابری و بی طرفی شبکه در جهان به شمار می رفته است. اینکه چنین مجموعه ای دست به اقدامات تحریمی بزند واقعا تأسف بار است، چونکه تبدیل یک پروتکل کاملا فنی شبکه به ابزاری برای فشار تحریمی رفتاری غیرمنطقی است.»
بگفته این کارشناس امنیت شبکه اگر هیچ شرکتی حاضر به همکاری با ما نباشد و امکان امضای گواهی ها از بین برود، تمامی وب سایت ها عملا از دید مرورگرها غیرقابل اعتماد می شوند. در چنین شرایطی تنها دو راه باقی می ماند؛ نخست این که وب سایت ها بسمت استفاده از گواهی های خودامضا (Self-Signed) بروند که در این حالت کاربر ناچار است بدون امکان سنجش حقیقی، هر خطایی را قبول کند. راه دوم راه اندازی یک مرجع صدور گواهی (CA) بومی و داخلی است.
اقبال در آخر می گوید: «از آنجا که این CA داخلی در فهرست پیش فرض مرورگرهای جهان قرار ندارد، گواهی آن باید بصورت دستی روی دستگاهها نصب و اضافه شود. این اقدام تبعات امنیتی بسیار سنگینی دارد؛ چون که حفظ محرمانگی کلیدهای اصلی (Root Keys) یک CA اهمیت حیاتی دارد و اگر این کلیدها بهر دلیلی لو بروند، کل ترافیک شبکه قابل شنود شده و انواع ناامنی های گسترده در سطح وب ممکن خواهد شد.»
منبع: نكسترو
مطلب را می پسندید؟
(1)
(0)
تازه ترین مطالب مرتبط
نظرات بینندگان در مورد این مطلب