آموزش های تخصصی شبکه و امنیت و ضد امنیت

متداولترين نقاط آسيب پذير مرورگرها 
در صورتی که حتی يک مرتبه از اينترنت استفاده کرده باشيد با مرورگرها و جايگاه آنان به منظور دستيابی به منابع موجود بر روی وب بخوبی آشنا می باشيد . شرکت ها و موسسات متعددی تاکنون اقدام به طراحی و پياده سازی اين نوع از نرم افزارها نموده اند. Internet Explorer (IE ) ، Mozilla ، Firefox و Opera متداولترين مرورگرهای استفاده شده توسط کاربران اينترنت می باشند. 
تمامی مرورگرها دارای نقاط آسيب پذير و باگ های مختص به خود بوده و در اين رهگذر استثنائی وجود ندارد . تعداد و تنوع نقاط آسيب پذير در هر مرورگر به شيوه طراحی و پياده سازی ، پشتيبانی و درصد استفاده از آنان بستگی دارد . مثلا" مرورگر IE شرکت مايکروسافت همواره از اهداف مورد علاقه اکثر مهاجمان در اينترنت بوده و اشکالات و نقاط آسيب پذير آن به دقت دنبال و بنوعی زير ذربين گذاشته می شود. چراکه مهاجمان با بهره گيری از نقاط آسيب پذير آن می توانند شعاع ميدان تخريب خود را بدون پرداخت هزينه ای اضافه ، افزايش دهند .

عوامل تاثير گذار در نحوه عملکرد ايمن مرورگر IE 

• <LI dir=rtl>بروز اشکالات امنيتی متعدد در ساليان اخير در مقايسه با ساير مرورگرها ( کشف بيش از 153 اشکال امنيتی از آوريل سال 2001 ، منبع ) 
  <LI dir=rtl>فاصله زمانی زياد بين تشخيص يک اشکال و ارائه Patch آن توسط شرکت مايکروسافت ( در برخی موارد بيش از شش ماه ! ) 
  <LI dir=rtl>عليرغم ارائه پتانسيل های مثبت توسط تکنولوژی هائی نظير اکتيو ايکس و يا اسکريپت های فعال ، مهاجمان با استفاده از آنان قادر به ناديده گرفتن و يا دور زدن تنظيمات امنيتی سيستم می باشند . 
  <LI dir=rtl>تاکنون 34 نقطه آسيب پذير Patch نشده باقی مانده است ! ( منبع ) <LI dir=rtl>نقاط آسيب پذير Spyware/Adware که تمامی مرورگر ها و سيستم هائی را که از منابع موجود بر روی وب استفاده می نمايند ، تحت تاثير قرار می دهد .
• تلفيق مرورگر IE با سيستم عامل باعث شده است که مشکلات IE به سيستم عامل ويندوز نيز سرايت نموده و بر نحوه عملکرد آن تاثير منفی داشته باشد .

• <LI dir=rtl>افشای کوکی ها <LI dir=rtl>افشای فايل ها و داده های محلی <LI dir=rtl>اجرای برنامه های محلی <LI dir=rtl>دريافت و اجرای هرگونه کد دلخواه
• در اختيار گرفتن کنترل کامل سيستم آسيب پذير و انجام هر گونه عمليات دلخواه

جدول زير متداولترين اشکالات امنيتی برخی از مرورگرهای متداول را نشان می دهد ( طی چند ماه اخير) : 

متداولترين پورت های آسيب پذير 
امروزه شاهد حضور مقتدرانه سيستم های عامل در تمامی عرصه های پردازش اطلاعات می باشيم .سيستم عامل، يکی از عناصر چهار گانه در يک سيستم کامپيوتری است که دارای نقشی حياتی و تعيين کننده در رابطه با نحوه مديريت منابع سخت افزاری و نرم افزاری است . پرداختن به مقوله امنيت سيستم های عامل ، همواره از بحث های مهم در رابطه با ايمن سازی اطلاعات در يک سيستم کامپيوتری بوده که امروزه با گسترش اينترنت ، اهميت آن مضاعف شده است . بررسی و آناليز امنيت در سيستم های عامل می بايست با ظرافت و در چارچوبی کاملا" علمی و با در نظر گرفتن تمامی واقعيت های موجود ، انجام تا از يک طرف تصميم گيرندگان مسائل استراتژيک در يک سازمان قادر به انتخاب منطقی يک سيستم عامل باشند و از طرف ديگر امکان نگهداری و پشتيبانی آن با در نظر گرفتن مجموعه تهديدات موجود و آتی ، بسرعت و بسادگی ميسر گردد .
اکثر کرم ها و ساير حملات موفقيت آميز در اينترنت ، بدليل وجود نقاط آسيب پذير در تعدادی اندک از سرويس های سيستم های عامل متداول است . مهاجمان ، با فرصت طلبی خاص خود از روش های متعددی بمنظور سوء استفاده از نقاط ضعف امنيتی شناخته شده ، استفاده نموده و در اين راستا ابزارهای متنوع ، موثر و گسترده ای را به منظور نيل به اهداف خود ، بخدمت می گيرند . مهاجمان ، در اين رهگذر متمرکز بر سازمان ها و موسساتی می گردند که هنوز مسائل موجود امنيتی ( حفره ها و نقاط آسيب پذير ) خود را برطرف نکرده و بدون هيچگونه تبعيضی آنان را بعنوان هدف ، انتخاب می نمايند . مهاجمان بسادگی و بصورت مخرب ، کرم هائی نظير : بلستر ، اسلامر و Code Red را در شبکه منتشر می نمايند. آگاهی از مهمترين نقاط آسيب پذير در سيستم های عامل ، امری ضروری است . با شناسائی و آناليز اينگونه نقاط آسيب پذير توسط کارشناسان امنيت اطلاعات ، سازمان ها و موسسات قادر به استفاده از مستندات علمی تدوين شده بمنظور برخورد منطقی با مشکلات موجود و ايجاد يک لايه حفاظتی مناسب می باشند. 
شناسائی متداولترين پورت هائی که تاکنون مهاجمان با استفاده از آنان حملات خود را سازماندهی نموده اند ، امری لازم و ضروری است . برخی از پورت ها بدفعات و بطور متناوب توسط مهاجمان و به منظور انجام يک تهاجم مورد استفاده قرار گرفته است . با بلاک نمودن اينگونه پورت ها ، حداقل امکانات لازم به منظور ايجاد يک محيط ايمن ايجاد خواهد شد . بهترين روشی که در اين رابطه توصيه شده است ، بلاک نمودن تمامی پورت ها ( غيرفعال نمودن تمامی ترافيک ) و صدور مجوز جداگانه برای هر يک از پروتکل های مورد نياز در يک سازمان و با توجه به شرايط موجود می باشد . حتی در صورتی که تمامی پورت ها بلاک شده باشند ، می بايست بطور مستمر آنان را به منظور تشخيص مزاحمت ها و سوء استفاده های احتمالی مانيتور نموده تا در صورت بروز مشکلات احتمالی سريعا" نسبت به رفع آنان اقدام گردد . 
بخاطر داشته باشيد که پورت های زير را می بايست بر روی تمامی کامپيوترهای ميزبان با لحاظ نمودن مسائل امنيتی پيکربندی نمود . غير فعال نمودن پورت های زير خلاء طراحی يک سياست امنيتی را پر نخواهد کرد و می بايست در اين رابطه تابع يک سيستم و سياست امنيتی مناسب باشيم . 
جدول زير متداولترين پورت های آسيب پذير را تاکنون توسط مهاجمان بکار گرفته شده است ، نشان می دهد : 

فايروال ها : يک ضرورت اجتناب ناپذير در دنيای امنيت اطلاعات 
امنيت اطلاعات و ايمن سازی کامپيوترها به يک ضرورت غيرقابل انکار در عصر اطلاعات تبديل شده است. پرداختن به مقوله امنيت اطلاعات با زبانی ساده بيش از هر زمان ديگر احساس می شود، چراکه هر يک از عوامل انسانی و غيرانسانی دارای جايگاه تعريف شده ای در نطام مهندسی امنيت اطلاعات می باشند. آشنائی اصولی و منطقی با اين نطام مهندسی و آگاهی از عناصر موجود در اين ساختار به همراه شناخت علمی نسبت به مسئوليت هر يک از عناصر فوق، امری لازم و حياتی است. 
فايروال ها ، يکی از عناصر اساسی در نطام مهندسی امنيت اطلاعات می باشند که استفاده از آنان به يک ضرورت اجتناب ناپذير در دنيای امنيت اطلاعات و کامپيوتر تبديل شده است . بسياری از افرادی که جديدا" قدم در عرصه گسترده امنيت اطلاعات می گذارند ، دارای نگرانی و يا سوالات مفهومی خاصی در ارتباط با فايروال ها و جايگاه استفاده از آنان در جهت ايمن سازی شبکه های کامپيوتری می باشند . 
در اين مطلب قصد داريم به برخی از مفاهيم و نکات مهم و اساسی در خصوص فايروال ها اشاره ای داشته باشيم تا از اين رهگذر بتوانيم دانش لازم به منظور بکارگيری و مديريت بهينه فايروال ها را بدست آوريم . 
NAT ( برگرفته از Network Address Translation ) 
اولين و در عين حال مهم ترين وظيفه يک فايروال ، جداسازی شبکه داخلی يک سازمان از اينترنت است . يکی از فنآوری های موجود که ما را در جهت نيل به خواسته فوق کمک می نمايد ، جداول NAT می باشند ( NAT ، همچنين کمک لازم در جهت حل معضل کمبود آدرس های IP را ارائه می نمايد ) . مهمترين ايده مطرح شده توسط NAT ، عدم دستيابی به اکثر کامپيوترهای موجود در يک شبکه خصوصی از طريق اينترنت است . يکی از روش های نيل به خواسته فوق ، استفاده از آدرس های IP غيرمعتبر ( Invalid ) می باشد . 
در اکثر موارد بکارگيری NAT ، صرفا" آدرس IP معتبر (Valid ) به فايروال نسبت داده می شود و تمامی کامپيوترهائی که مسئوليت حفاظت از آنان به فايروال واگذار شده است ، از آدرس های IP که صرفا" بر روی شبکه داخلی معتبر می باشد ، استفاده می نمايند . با تبعيت از چنين رويکردی ، زمانی که يک کامپيوتر موجود در شبکه داخلی نيازمند برقراری ارتباط با دنيای خارج است ، اقدام به ارسال درخواست خود برای فايروال می نمايد . در ادامه فايروال به نمايندگی از کامپيوتر متقاضی ، درخواست مورد نظر را ارسال می نمايد . در زمان مراجعت درخواست ارسالی ، پاسخ مربوطه به فايروال رسيده و در نهايت ، فايروال آن را برای کامپيوتر موجود در شبکه داخلی ارسال می نمايد . 
فرض کنيد ، کاربری قصد داشته باشد که يک وب سايت خاص را از طريق کامپيوتر موجود بر روی يک شبکه داخلی ملاقات نمايد .پس از درج آدرس وب سايت مورد نظر در بخش آدرس برنامه مرورگر ، درخواست وی به يک درخواست HTTP ترجمه شده و برای فايروال ارسال می گردد . در ادامه ، فايروال از آدرس IP مختص به خود در ارتباط با درخواست HTTP و به نمايندگی از کاربر ارسال کننده درخواست ، استفاده می نمايد . پس از پاسخ به درخواست ، پاسخ مربوطه برای فايروال ارسال شده و در نهايت فايروال آن را برای کاربر مربوطه ارسال می نمايد . 
فيلترينگ پورت ها 
فيلترينگ پورت ها از جمله مهمترين عملياتی است که توسط فايروال ها انجام می شود و شايد به همين دليل باشد که اکثر مردم بر اين اعتقاد هستند که فايروال ها صرفا" به همين دليل خاص طراحی و پياده سازی شده اند و اغلب ، آنان را به عنوان ابزاری در جهت فيلترينگ پورت ها تصور می نمايند . همانگونه که می دانيد ، مبادلات اطلاعات مبتنی بر پروتکل TCP/IP با استفاده و محوريت پورت ها انجام می گردد . در اين رابطه 65،535 پورت TCP و به همين اندازه پورت UDP جداگانه وجود دارد که می توان از آنان به منظور مبادله اطلاعات استفاده نمود . 
به منظور آشنائی با جايگاه پورت ها و نقش آنان در مبادله اطلاعات در پروتکل TCP/IP ، می توان آنان را نظير ايستگاه های راديوئی تصور نمود . فرض کنيد TCP به عنوان موج FM و UDP به عنوان موج AM باشد . در چنين وضعيتی ، می توان يک پورت در پروتکل TCP/IP را همانند يک ايستگاه راديوئی تصور نمود . همانگونه که يک ايستگاه راديوئی با اهداف خاصی طراحی شده است ، پورت های TCP و UDP نيز چنين وضعيتـی را داشته و با اهداف خاصی طراحی شده اند . يکی از مهمترين دلايل ضرورت استفاده از فايروال ها و فيلترينگ پورت ها ، استفاده غيرمتعارف از پورت ها به منظور نيل به اهدافی ديگر است . مثلا" پورت 21 مربوط به پروتکل TCP بطور سنتی به منظور FTP استفاده می گردد و مهاجمان می توانند از پورت فوق و با استفاده از برنامه هائی نظير Telnet سوء استفاده نمايند ( با اين که پورت فوق به منظور استفاده توسط برنامه Telnet طراحی نشده است ) . 
پويش پورت ها و آگاهی از پورت های باز ، از جمله روش های متداولی است که توسط مهاجمان و به منظور يافتن يک نقطه ورود مناسب به يک سيستم و يا شبکه کامپيوتری ، مورد استفاده قرار می گيرد . مهاجمان پس از آگاهی از پورت های باز ، با بکارگيری برنامه هائی نظير Telnet زمينه ورود غير مجاز به يک سيستم را برای خود فراهم می نمايند . 
وضعيت فوق و تهديدات امنيتی مرتبط با آن ، ضرورت فيلترينگ پورت ها را به خوبی نشان می دهد . با فيلترينگ پورت ها ، اين اطمينان ايجاد خواهد شد که هيچ چيزی نمی تواند از طريق يک پورت باز ارسال گردد مگر پروتکل هائی که توسط مديريت شبکه به آنان اجازه داده شده است . مثلا" در صورتی که فيلترينگ پورت بر روی پورت 21 مربوط به پروتکل TCP اعمال گردد ، صرفا" به مبادلات اطلاعات مبتنی بر FTP اجازه داده خواهد شد که از اين پورت استفاده نمايند و مبادله اطلاعات به کمک ساير پروتکل ها و بکارگيری پورت فوق ، امکان پذير نخواهد بود . 
محدوده عملياتی فيلترينگ پورت ها می تواند از موارد اشاره شده نيز ***** نموده و در سطح هدر يک بسته اطلاعاتی و حتی محتويات آن نيز تعميم يابد . در چنين مواردی ، هدر بسته اطلاعاتی بررسی و با مشاهده اطلاعاتی نظير آدرس مبداء ، مقصد ، شماره پورت و ساير موارد ديگر در رابطه با آن اتخاذ تصميم می گردد . مشکل موجود در اين رابطه به وجود اطلاعات جعلی و يا نادرست در هدر بسته های اطلاعاتی برمی گردد . مثلا" فرستنده می تواند آدرس های IP و ساير اطلاعات ذخيره شده در هدر بسته های اطلاعاتی را جعل نمايد . به منظور غلبه بر مشکل فوق ، نوع ديگری از فيلترينگ که برخی فايروال ها به آن stateful packet inspections و يا فيلترينگ پويای بسته های اطلاعاتی می گويند ، ايجاد شده است . در مدل فوق ، در مقابل بررسی هدر بسته های اطلاعاتی ، محتويات آنان مورد بازبينی قرار می گيرد . بديهی است با آگاهی از اين موضوع که چه چيزی در بسته اطلاعاتی موجود است ، فايروال ها بهتر می توانند در رابطه با ارسال و يا عدم ارسال آن برای يک شبکه داخلی تصميم گيری نمايند . 
ناحيه غيرنطامی ( Demilitarized Zone ) 
نواحی غيرنظامی ( DMZ ) ، يکی ديگر از ويژگی های ارائه شده توسط اکثر فايروال ها می باشد . DMZ ، ناحيه ای است که تحت قلمرو حفاظتی فايروال قرار نمی گيرد . فايروال های مختلف ، نواحی DMZ را با روش های متفاوتی پياده سازی می نمايند . مثلا" برخی از فايروال ها ، صرفا" شما را ملزم به معرفی آدرس IP ماشينی می نمايند که قصد استقرار آن در ناحيه DMZ وجود دارد .برخی از فايروال ها دارای يک پورت شبکه ای اختصاصی می باشند که می توان از آن برای هر نوع دستگاه شبکه ای که قصد استقرار آن در ناحيه DMZ وجود دارد ، استفاده گردد . 
پيشنهاد می گردد ، حتی المقدور از نواحی DMZ استفاده نگردد ، چراکه ماشين های موجود در اين نواحی از امکانات حفاظتی و امنيتی فايروال استفاده نخواهند کرد و تنها گزينه موجود در اين رابطه امکانات ارائه شده توسط سيستم عامل نصب شده بر روی ماشين و ساير توصيه هائی است که با رعايت و بکارگيری آنان ، وضعيت امنيتی سيستم بهتر می گردد .
در صورتی که برای ايجاد يک ناحيه DMZ دلايل موجه و قانع کننده ای وجود دارد ، می بايست با دقت و برنامه ريزی صحيح توام با رعايت مسائل امنيتی اقدام به انجام چنين کاری گردد. در صورتی که ماشين مستقر در ناحيه DMZ دارای يک اتصال به شبکه داخلی نيز باشد ، مهاجمان با تمرکز بر روی ماشين فوق می توانند نقطه مناسبی برای ورود به شبکه را پيدا نمايند . پيشنهاد می گردد به عنوان يک قانون و اصل مهم ، ماشين های موجود در ناحيه DMZ دارای اتصالاتی به غير از پورت DMZ فايروال نباشند . 
فورواردينگ پورت ها 
در بخش قبل به نحوه عملکرد فيلترينگ پورت ها به منظور بلاک نمودن استفاده از يک پروتکل بجزء يک آدرس IP خاص، اشاره گرديد . فورواردينگ پورت نيز بر اساس همين مفاهيم مطرح و در سازمان هائی که در ارتباط با NAT می باشند ، کارساز خواهد بود . 
برای آشنائی با مفهوم فورواردينگ پورت ها ، يک مثال نمونه را بررسی می نمائيم .
فرض کنيد ، سازمانی دارای يک سرويس دهنده وب است که از آدرس IP: 192.168.0.12 ( يک آدرس معتبر نمی باشد ولی فرض کنيد که چنين واقعيتی وجود ندارد ) استفاده می نمايد و می بايست امکان دستيابی عمومی به آن فراهم گردد . در صورتی که سرويس دهنده وب فوق تنها سرويس دهنده موجود در سازمان است که می بايست امکان دستيابی عمومی به آن فراهم گردد ، می بايست يک قانون فيلترينگ بسته های اطلاعاتی در سطح فايروال تعريف گردد که تمامی درخواست های HTTP بر روی پورت 80 و به مقصد هر آدرس موجود در شبکه بجزء آدرس IP:192.168.0.12 ، بلاک گردد . پس از تعريف قانون فوق ، در صورتی که کاربری يک درخواست HTTP را برای آدرس های ديگری ارسال نمايد ، با پيامی مبنی بر اين که وب سايت درخواستی وجود ندارد ، مواجه خواهد شد . 
در مثال فوق ، اين فرض نادرست را کرديم که امکان دستيابی عمومی به آدرس IP:192.168.0.12 وجود دارد . آدرس فوق صرفا" بر روی يک شبکه خصوصی معتبر بوده و امکان دستيابی آن از طريق اينترنت وجود نخواهد داشت . بديهی است در چنين وضعيتی می بايست آدرس سرويس دهنده وب خصوصی خود را با يک آدرس عمومی جايگزين نمائيد . ( با اين که يک گزينه مطلوب در اين رابطه نمی باشد ) . برخی از مراکز ارائه دهنده خدمات اينترنت ( ISP ) ، صرفا" امکان استفاده از يک آدرس IP عمومی را در اختيار شما قرار داده و بديهی است که در چنين مواردی ما دارای گزينه های متعددی برای اختصاص اين آدرس نخواهيم بود و می بايست آن را به فايروال اختصاص داد . 
يکی از موارد استفاده سنتی از NAT به مواردی نظير آنچه اشاره گرديد ، بر می گردد . سازمان فرضی دارای صرفا" يک آدرس IP معتبر است و آن را به فايروال نسبت داده و از NAT به منظور تسهيل در مبادله اطلاعات بين ماشين های موجود در شبکه داخلی و اينترنت استفاده می نمايد . در چنين مواردی يک مشکل همچنان باقی می ماند . NAT به منظور بلاک نمودن ترافيک تمامی ارتباطات ورودی بجزء آنانی که درخواست آنان از طرف يکی از ماشين های موجود در شبکه داخلی ارسال شده است ، طراحی شده است و ما همچنان دارای يک سرويس دهنده وب می باشيم که می خواهيم امکان دستيابی عمومی به آن را نيز فراهم نمائيم . 
به منظور حل مشکل فوق می توان از فورواردينگ پورت استفاده نمود . در واقع فورواردينگ پورت ، قانونی است که به فايروال می گويد در صورتی که درخواست های خاصی بر روی يک پورت خاص برای وی ارسال شده باشد ، می بايست درخواست مربوطه را برای يک ماشين طراحی شده بدين منظور بر روی شبکه داخلی، ارجاع نمايد . در مثال اشاره شده ، ما قصد داريم امکان دستيابی عمومی به سرويس دهنده وب را فراهم نمائيم . بدين منظور می بايست يک قانون فورواردينگ پورت بدين منظور تعريف که به فايروال اعلام نمايد هر درخواست HTTP بر روی پروتکل TCP و پورت 80 را به آدرس IP:192.168.0.12 تغيير مسير داده و برای آن ارسال نمايد. پس از تعريف قانون فوق ، شخصی که قصد دستيابی به وب سايت سازمان شما را داشته باشد ، پس از فعال نمودن برنامه مرورگر ، اقدام به درج آدرس سايت سازمان شما دربخش مربوطه می نمايد. مرورگر کاربر مورد نظر به منظور آگاهی از آدرس domain سايت سازمان شما ، اقدام به ارسال يک درخواست DNS می نمايد تا از اين طريق نسبت به آدرس IP نسبت داده شده به domain آگاهی لازم را پيدا نمايد . بديهی است آدرسی که پيدا خواهد شد و به عنوان مرجع در اختيار مرورگر قرار خواهد گرفت، همان آدرس IPعمومی است که شما آن را به فايروال نسبت داده ايد . مرورگر در ادامه ، درخواست HTTP را برای آدرس IP عمومی شما ارسال می نمايد که در حقيقت اين درخواست برای فايروال ارسال می گردد . فايروال درخواست را دريافت و آن را برای سرويس دهنده وب ارسال می نمايد ( فورواردينگ ) . 
خلاصه 
در اين مطلب به جايگاه بسيار مهم فايروال ها در نظام مهندسی امنيت اطلاعات اشاره و پس از بررسی نحوه عملکرد آنان با چندين ويژگی مهم ارائه شده توسط فايروال ها آشنا شديم .

توپولوژی های فايروال 
برای پياده سازی و پيکربندی فايروال ها در يک شبکه از توپولوژی های متفاوتی استفاده می گردد . توپولوژی انتخابی به ويژگی های شبکه و خواسته های موجود بستگی خواهد داشت . در اين رابطه گزينه های متفاوتی وجود دارد که در ادامه به بررسی برخی از نمونه های متداول در اين زمينه خواهيم پرداخت.
(برای آشنائی با فايروال ها و برخی از ويژگی های ارائه شده توسط آنان مطالعه مطلب فايروال ها : يک ضرورت اجتناب ناپذير در دنيای امنيت اطلاعات ، پيشنهاد می گردد ) . 
سناريوی اول : يک فايروال Dual-Homed 
در اين توپولوژی که يکی از ساده ترين و در عين حال متداولترين روش استفاده از يک فايروال است ، يک فايروال مستقيما" و از طريق يک خط Dial-up ، خطوط ISDN و يا مودم های کابلی به اينترنت متصل می گردد. در توپولوژی فوق امکان استفاده از DMZ وجود نخواهد داشت . 

برخی از ويژگی های اين توپولوژی عبارت از : 

• <LI dir=rtl>فايروال مسئوليت بررسی بسته های اطلاعاتی ارسالی با توجه به قوانين فيلترينگ تعريف شده بين شبکه داحلی و اينترنت و برعکس را برعهده دارد.
  <LI dir=rtl>فايروال از آدرس IP خود برای ارسال بسته های اطلاعاتی بر روی اينترنت استفاده می نمايد . 
  <LI dir=rtl>دارای يک پيکربندی ساده بوده و در مواردی که صرفا" دارای يک آدرس IP معتبر ( Valid ) می باشيم ، کارساز خواهند بود .
• برای اتصال فايروال به اينترنت می توان از يک خط Dial-up معمولی ، يک اتصال ISDN و مودم های کابلی استفاده نمود .

سناريوی دوم : يک شبکه Two-Legged به همراه قابليت استفاده از يک ناحيه DMZ 
در اين توپولوژی که نسبت به مدل قبلی دارای ويژگی های پيشرفته تری است ، روتر متصل شده به اينترنت به هاب و يا سوئيچ موجود در شبکه داخلی متصل می گردد .

برخی از ويژگی های اين توپولوژی عبارت از : 

• <LI dir=rtl>ماشين هائی که می بايست امکان دستيابی مستقيم به اينترنت را داشته باشند ( توسط فايروال ***** نخواهند شد ) ، به هاب و يا سوئيچ خارجی متصل می گردند . 
  <LI dir=rtl>فايروال دارای دو کارت شبکه است که يکی به هاب و يا سوئيچ خارجی و ديگری به هاب و يا سوئيچ داخلی متصل می گردد. ( تسهيل در امر پيکربندی فايروال )
  <LI dir=rtl>ماشين هائی که می بايست توسط فايروال حفاظت گردند به هاب و يا سوئيچ داخلی متصل می گردند . 
  <LI dir=rtl>به منظور افزايش کارآئی و امنيت شبکه ، می توان از سوئيچ در مقابل هاب استفاده نمود . 
  <LI dir=rtl>در توپولوژی فوق امکان استفاده از سرويس دهندگانی نظير وب و يا پست الکترونيکی که می بايست قابليت دستيابی همگانی و عمومی به آنان وجود داشته باشد از طريق ناحيه DMZ فراهم می گردد . 
  <LI dir=rtl>در صورتی که امکان کنترل و مديريت روتر وجود داشته باشد ، می توان مجموعه ای ديگر از قابليت های فيلترينگ بسته های اطلاعاتی را نيز به خدمت گرفت . با استفاده از پتانسيل های فوق می توان يک سطح حفاظتی محدود ديگر متمايز از امکانات ارائه شده توسط فايروال ها را نيز پياده سازی نمود . 
  <LI dir=rtl>در صورتی که امکان کنترل و مديريت روتر وجود نداشته باشد ، ناحيه DMZ بطور کامل در معرض استفاده عموم کاربران اينترنت قرار خواهد داشت . در چنين مواردی لازم است با استفاده از ويژگی ها و پتانسيل های ارائه شده توسط سيستم عامل نصب شده بر روی هر يک از کامپيوترهای موجود در ناحيه DMZ ، يک سطح مناسب امنيتی را برای هر يک از آنان تعريف نمود . 
  <LI dir=rtl>پيکربندی مناسب ناحيه DMZ به دو عامل متفاوت بستگی خواهد داشت : وجود يک روتر خارجی و داشتن چندين آدرس IP
• در صورتی که امکان ارتباط با اينترنت از طريق يک اتصال PPP ( مودم Dial-up ) فراهم شده است و يا امکان کنترل روتر وجود ندارد و يا صرفا" دارای يک آدرس IP می باشيم ، می بايست از يک راهکار ديگر در اين رابطه استفاده نمود . در اين رابطه می توان از دو راه حل متفاوت با توجه به شرايط موجود استفاده نمود :

راه حل اول ، ايجاد و پيکربندی يک فايروال ديگر در شبکه است . راه حل فوق در مواردی که از طريق PPP به شبکه متصل می باشيم ، مفيد خواهد بود . در توپولوژی فوق ، يکی از ماشين ها به عنوان يک فايروال خارجی ايفای وظيفه می نمايد ( فايروال شماره يک ) . ماشين فوق مسئوليت ايجاد اتصال PPP و کنترل دستيابی به ناحيه DMZ را بر عهده خواهد داشت و فايروال شماره دو ، مسئوليت حفاظت از شبکه داخلی را برعهده دارد . فايروال شماره يک از فايروال شماره دو نيز حفاظت می نمايد.

راه حل دوم، ايجاد يک فايروال Three Legged است که در ادامه به آن اشاره خواهيم کرد . 
سناريوی سوم : فايروال Three-Legged 
در اين توپولوژی که نسبت به مدل های قبلی دارای ويژگی های پيشرفته تری است ، از يک کارت شبکه ديگر بر روی فايروال و برای ناحيه DMZ استفاده می گردد . پيکربندی فايروال بگونه ای خواهد بود که روتينگ بسته های اطلاعاتی بين اينترنت و ناحيه DMZ با روشی متمايز و متفاوت از اينترنت و شبکه داخلی ، انجام خواهد شد . 

برخی از ويژگی های اين توپولوژی عبارت از :

• <LI dir=rtl>امکان داشتن يک ناحيه DMZ وجود خواهد داشت . 
  <LI dir=rtl>برای سرويس دهندگان موجود در ناحيه DMZ می توان از آدرس های IP غيرمعتبر استفاده نمود . 
  <LI dir=rtl>کاربرانی که از اتصالات ايستای PPP استفاده می نمايند نيز می توانند به ناحيه DMZ دستيابی داشته و از خدمات سرويس دهندگان متفاوت موجود در اين ناحيه استفاده نمايند . 
  <LI dir=rtl>يک راه حل مقرون به صرفه برای سازمان ها و ادارات کوچک است .
  <LI dir=rtl>برای دستيابی به ناحيه DMZ و شبکه داخلی می بايست مجموعه قوانين خاصی تعريف گردد و همين موضوع ، پياده سازی و پيکربندی مناسب اين توپولوژی را اندازه ای پيجيده تر می نمايد . 
  <LI dir=rtl>در صورتی که امکان کنترل روتر متصل به اينترنت وجود نداشته باشد ، می توان کنترل ترافيک ناحيه DMZ را با استفاده از امکانات ارائه شده توسط فايروال شماره يک انجام داد .
• در صورت امکان سعی گردد که دستيابی به ناحيه DMZ محدود شود .
•  

تشخيص Packet Sniffing در يک شبکه همه روزه شاهد ابداع فن آوری های جديدی در عرصه دنيای گسترده امنيت اطلاعات می باشيم. ابداع هر فن آوری جديد از يک طرف کارشناسان امنيت اطلاعات را اميدوار به برپاسازی و نگهداری يک شبکه ايمن می نمايد و از طرف ديگر مهاجمان را اميدوار به تدارک حملاتی که شانس موفقيت بيشتری را داشته باشند. چراکه آنان نيز از آخرين فن آوری های موجود در اين عرصه به خوبی استفاده خواهند کرد . شايد به همين دليل باشد که بسياری از کارشناسان فن آوری اطلاعات و ارتباطات بر اين عقيده هستند ، ماداميکه دانش مهاجمان بيش از کارشناسان امنيت اطلاعات است امکان مقابله منطقی ، ساختيافته و به موقع با بسياری از حملات وجود نخواهد داشت .( چگونه می توان با چيزی مقابله نمود که نسبت به آن شناخت مناسبی وجود ندارد؟ ) . اين يک واقعيت تلخ در دنيای امنيت اطلاعات است که بسياری از پتانسيل هائی که به منظور تسهيل در امر استفاده کامپيوتر و يا افزايش کارآئی سيستم ايجاد و يا به عنوان محصولات و ابزارهائی در جهت حفاظت و ايمن سازی شبکه های کامپيوتری عرضه می گردند ، توسط مهاجمان و به منظور برنامه ريزی حملات در شبکه های کامپيوتری نيز مورد استفاده قرار خواهند گرفت . اين موضوع در رابطه با packet sniffing نيز صدق می کند . 
packet sniffing چيست ؟ 
يکی از قديمی ترين روش های سرقت اطلاعات در يک شبکه ، استفاده از فرآيندی موسوم به packet sniffing است . در اين روش مهاجمان از تکنيک هائی به منظور تکثير بسته های اطلاعاتی که در طول شبکه حرکت می کنند ، استفاده نموده و در ادامه با آناليز آنان از وجود اطلاعات حساس در يک شبکه آگاهی می يابند . امروزه پروتکل هائی نظير IPSec به منظور پيشگيری از packet sniffing طراحی شده است که با استفاده از آن بسته های اطلاعاتی رمزنگاری می گردند . در حال حاضر تعداد بسيار زيادی از شبکه ها از تکنولوژی IPSec استفاده نمی نمايند و يا صرفا" بخش اندکی از داده های مربوطه را رمزنگاری می نمايند و همين امر باعث شده است که packet sniffing همچنان يکی از روش های متداول به منظور سرقت اطلاعات باشد . 
يک packet sniffer که در برخی موارد از آن به عنوان network monitor و يا network analyzer نيز ياد می شود ، می تواند توسط مديران شبکه به منظور مشاهده و اشکال زدائی ترافيک موجود بر روی شبکه استفاده گردد تا به کمک آن بسته های اطلاعاتی خطاگونه و گلوگاه های حساس شبکه شناسائی و زمينه لازم به منظور انتقال موثر داده ها فراهم گردد . به عبارت ساده تر ، يک packet sniffer تمامی بسته های اطلاعاتی که از طريق يک اينترفيش مشخص شده در شبکه ارسال می گردند را حمع آْوری تا امکان بررسی و آناليز آنان فراهم گردد . عموما" از برنامه های packet sniffer به منظور جمع آوری بسته های اطلاعاتی به مقصد يک دستگاه خاص استفاده می گردد. برنامه های فوق قادر به جمع آوری تمامی بسته های اطلاعاتی قابل حرکت در شبکه صرفنظر از مقصد مربوطه نيز می باشند . 
يک مهاجم با استقرار يک packet sniffer در شبکه ، قادر به جمع آوری و آناليز تمامی ترافيک شبکه خواهد بود . اطلاعات مربوط به نام و رمز عبور عموما" به صورت متن معمولی و رمز نشده ارسال می گردد و اين بدان معنی است که با آناليز بسته های اطلاعاتی ، امکان مشاهده اينگونه اطلاعات حساس وجود خواهد داشت . يک packet sniffer صرفا" قادر به جمع آوری اطلاعات مربوط به بسته های اطلاعاتی درون يک subnet مشخص شده است . بنابراين يک مهاجم نمی تواند يک packet sniffer را در شبکه خود نصب نمايد و از آن طريق به شبکه شما دستيابی و اقدام به جمع آوری نام و رمز عبور به منظور سوء استفاده از ساير ماشين های موجود در شبکه نمايد . مهاجمان به منظور نيل به اهداف مخرب خود می بايست يک packet sniffer را بر روی يک کامپيوتر موجود در شبکه اجراء نمايند . 
نحوه کار packet sniffing 
نحوه کار packet sniffing به روشی برمی گردد که شبکه های اترنت بر اساس آن کار می کنند . در يک شبکه اترنت ، هر زمان که کامپيوتری يک بسته اطلاعاتی را ارسال می نمايد ، بسته اطلاعاتی به عنوان يک broadcast ارسال می گردد . اين بدان معنی است که هر کامپيوتر موجود در شبکه بسته های اطلاعاتی ارسالی را مشاهده نموده و بجزء کامپيوتر مقصد ساير دستگاه های موجود از بسته اطلاعاتی صرفنظر خواهند کرد . packet sniffing با کپی يک نسخه از بسته های اطلاعاتی ارسالی در شبکه، فعاليت خود را سازماندهی می نمايد . 
آيا روش هائی به منظور تشخيص وجود يک packet sniffer در شبکه وجود دارد ؟ 
تشخيص وجود يک packet sniffer بر روی شبکه کار آسانی نخواهد بود . برنامه های فوق به صورت passive در شبکه عمل نموده و به سادگی اقدام به جمع آوری بسته های اطلاعاتی می نمايند .خوشبختانه ، امروزه با استفاده از روش هائی می توان وجود احتمالی يک packet sniffer را در شبکه تشخيص داد . 
روش های تشخيص packet sniffing در شبکه 
همانگونه که اشاره گرديد تشخيص اين موضوع که يک فرد در يک بازه زمانی محدود و همزمان با حرکت بسته های اطلاعاتی در شبکه از يک packet sniffer استفاده می نمايد ، کار مشکلی خواهد بود . با بررسی و آناليز برخی داده ها می توان تا اندازه ای اين موضوع را تشخيص داد : 

• <LI dir=rtl>استفاده از امکانات ارائه شده توسط برخی نرم افزارها : در صورتی که مهاجمان دارای منابع محدودی باشند ممکن است از برنامه کاربردی Network Monitor برای packet sniffing استفاده نمايند . يک نسخه محدود از Network Monitor به همراه ويندوز NT و 2000 و يک نسخه کامل از آن به همراه SMS Server ارائه شده است . برنامه فوق ، گزينه ای مناسب برای مهاجمانی است که می خواهند در کوتاه ترين زمان به اهداف خود دست يابند چراکه استفاده از آن در مقايسه با ساير نرم افزارهای مشابه راحت تر است . خوشبختانه می توان بسادگی از اجرای اين برنامه توسط ساير کاربران در يک شبکه ، آگاهی يافت . بدين منظور کافی است از طريق منوی Tools گزينه Identify Network Monitor Users را انتخاب نمود . 
  <LI dir=rtl>بررسی سرويس دهنده DNS : در صورتی که مهاجمان از يکی از صدها نرم افزار ارائه شده برای packet sniffing استفاده نمايند ، امکان تشخيص سريع آن همانند برنامه Network Monitor وجود نخواهد داشت . توجه داشته باشيد که يک روش صدرصد تضمينی به منظور تشخيص وجود يک برنامه packet sniffing در شبکه وجود ندارد ولی با مشاهده نشانه هائی خاص می توان احتمال وجود packet sniffing در شبکه را تشخيص داد . شايد بهترين نشانه وجود يک packet sniffing در شبکه به بانک اطلاعاتی سرويس دهنده DNS برگردد . سرويس دهنده DNS وظيفه جستجو در بانک اطلاعاتی به منظور يافتن نام host و برگرداندن آدرس IP مربوطه را بر عهده دارد . در صورتی که مهاجمی يک packet sniffing را اجراء نمايد که اسامی host را نمايش می دهد ( اکثر آنان چنين کاری را انجام می دهند ) ، ماشينی که فرآيند packet sniffing را انجام می دهد يک حجم بالا از درخواست های DNS را اجراء می نمايد . در مرحله اول سعی نمائيد ماشينی را که تعداد زيادی درخواست های DNS lookups را انجام می دهد ، بررسی نمائيد . با اين که وجود حجم بالائی از درخواست های DNS lookup به تنهائی نشاندهنده packet sniffing نمی باشد ولی می تواند به عنوان نشانه ای مناسب در اين زمينه مطرح گردد . در صورتی که به يک ماشين خاص در شبکه مشکوک شده ايد ، سعی نمائيد يک ماشين طعمه را پيکربندی و آماده نمائيد . ماشين فوق يک کامپيوتر شخصی است که کاربران از وجود آن آگاهی ندارد . پس از اتصال اين نوع کامپيوترها به شبکه ، يک حجم بالا ی ترافيک بر روی شبکه را ايجاد نموده و به موازات انجام اين کار درخواست های DNS را بررسی نمائيد تا مشخص گردد که آيا ماشين مشکوک يک درخواست DNS را بر روی ماشين طعمه انجام می دهد . در صورتی که اينچنين است می توان با اطمينان گفت که ماشين مشکوک همان ماشين packet sniffing است . 
  <LI dir=rtl>اندازه گيری زمان پاسخ ماشين های مشکوک : يکی ديگر از روش های متداول برای شناسائی افرادی که از packet sniffing استفاده می نمايند ، اندازه گيری زمان پاسخ ماشين مشکوک است . روش فوق مستلزم دقت زياد و تا اندازه ای غيرمطمئن است . بدين منظور از دستور Ping ماشين مشکوک به منظور اندازه گيری مدت زمان پاسخ استفاده می شود . بخاطر داشته باشيد فردی که عمليات packet sniffing را انجام می دهد تمامی بسته های اطلاعاتی را کپی نخواهد کرد ، چراکه حجم اطلاعات افزايش خواهد يافت . آنان با تعريف يک ***** مناسب، صرفا" بسته های اطلاعاتی مورد علاقه خود را تکثير می نمايند (نظير آنانی که برای تائيد کاربران استفاده می گردد ) . بنابراين از تعدادی از همکاران خود بخواهيد که چندين مرتبه عمليات log in و log out را انجام داده و در اين همين وضعيت مدت زمان پاسخ کامپيوتر مشکوک را محاسبه نمائيد . در صورتی که مدت زمان پاسخ زياد تغيير نکند ، آن ماشين احتمالا" عمليات packet sniffing را انجام نمی دهد ولی در صورتی که زمان پاسخ کند گردد ، اين احتمال وجود خواهد داشت که ماشين مشکوک شناسائی شده باشد.
• استفاده از ابزارهای مختص AntiSniff : شرکت های متعددی اقدام به طراحی و پياده سازی نرم افزارهائی به منظور رديابی و شناسائی packet sniffing نموده اند . برنامه های فوق از روش های اشاره شده و ساير روش های موجود به منظور شناسائی packet sniffing در يک شبکه استفاده می نمايند .

ارزيابی امنيتی سيستم عامل ويندوز 
سيستم عامل ويندوز، يکی از ده ها سيستم عامل موجود در جهان است که مديريت منابع سخت افزاری و نرم افزاری در يک کامپيوتر را برعهده دارد . استفاده از ويندوز بعنوان سيستم عاملی شبکه ای ، همزمان با عرضه NT ، وارد مرحله جديدی گرديد . در ادامه و بدنبال ارائه نسخه های ديگری از ويندوز ، فصل جديدی از بکارگيری سيستم عامل فوق در شبکه های کامپيوتری گشوده گرديد . استفاده از سيستم عامل ويندوز ( نسخه های متفاوت ) در ايران بطرز محسوسی افزايش و هم اينک، در اکثر شبکه های کامپيوتری از سيستم عامل فوق، استفاده می گردد . دامنه استفاده از ويندوز، از شبکه های کوچک سازمانی تا شبکه های بزرگ را شامل و حتی اکثر مراکز ASP ،برای ميزبانی وب سايت ها از گزينه فوق ، بهمراه مجموعه نرم افزارهای مربوطه استفاده می نمايند . با توجه به جايگاه سيستم عامل در کامپيوتر و نقش آنان در برپاسازی يک شبکه مقتدر و ايمن ، لازم است با نگاهی دقيق به ارزيابی امکانات امنيتی آنان پرداخته و پس از شناسائی نقاط آسيب پذير، در اسرع وقت نسبت به برطرف نمودن حفره های امنيتی اقدام لازم صورت گيرد . ما عادت کرده ايم اکثر نرم افزارها را با تنظيمات پيش فرض نصب و در اين راستا از دکمه طلائی Next ،بدفعات استفاده نمائيم! بديهی نصب و پيکربندی مناسب يک سيستم عامل شبکه ای با رويکرد فوق، می تواند اثرات مخربی را در رابطه با حفاظت از اطلاعات در يک سازمان بدنبال داشته باشد . طراحی و پياده سازی يک سيستم ايمنی مناسب در شبکه های کامپيوتری ، يکی از مهمترين چالش های موجود در دنيای گسترده تکنولوژی اطلاعات است . در اين راستا لازم است، سازمان ها و موسسات در اين رابطه با يک هدفمندی خاص بسمت برپاسازی يک محيط ايمن در شبکه های کامپيوتری حرکت نموده و قبل از وقوع هرگونه پيشامد ناگوار اطلاعاتی ، پيشگيری های لازم صورت پذيرد . 
با توجه به استفاده گسترده از سيستم عامل ويندوز در ايران ، لازم است به بررسی و ارزيابی امنيتی سيستم عامل فوق پرداخته گردد . شرکت ماکروسافت خود در اين زمينه تلاش های گسترده ای را آغاز و اخيرا" توجه خاصی را به اين مقوله اختصاص و پروژه های بزرگی را بمنظور نيل به يک سيستم عامل شبکه ای ايمن با توجه واقعيت های موجود تعريف و دنبال می نمايد .
شرکت ماکروسافت پس از عرضه نسخه های خاصی از ويندوز و با مشاهده اشکالات و نواقص خصوصا" نواقص امنيتی اقدام به ارائه نرم افزارهای تکميلی بمنظور بهنگام ساری ويندوز می نمايد . Hotfix,Patch و Service pack نمونه های متفاوتی در اين زمينه می باشند . با توجه به نقش نرم افزارهای فوق در صحت عملکرد امنيتی ويندوز ، لازم است در ابتدا به نرم افزارهای فوق اشاره گردد .
Service Pack و HotFix 
Service Pack ، يک بهنگام سازی ادواری در رابطه با سيستم عامل بمنظور رفع اشکالات و نواقص موجود است . ماکروسافت برای ويندوز NT 4.0 ( نسخه قبل از ويندوز 2000 با نگرش امکانات شبکه ای ) شش و برای ويندوز 2000 تاکنون ، سه Service Pack متفاوت را ارائه کرده است . بمنظور برطرف نمودن مشکلات احتمالی در فاصله زمانی بين دو service pack ، اقدا م به عرضه Hotfix می گردد. هر service Pack ، شامل تمام hotfix های قبلی نسبت به نسخه service pack قبلی است .
علاوه بر نصب آخرين نسخه های service Pack ، می بايست اقدام به نصب نسخه های hotfix نيز گردد . معمولا" hotfix ، با توجه به شيوع و گسترش يک مسئله خاص (مثلا" يک حمله اينترنتی ) در شبکه ، از طرف شرکت ماکروسافت، ارائه می گردد . با اينکه شرکت ماکروسافت توصيه کرده است در صورت بروز مشکل، اقدام به نصب نسخه های Hotfix گردد، ولی پيشنهاد می گردد که بلافاصله پس از نصب آخرين نسخه Service Pack ، اقدام به نصب تمام نسخه های امنيتی Hotfix مربوطه نيز گردد .
يکی از مهمترين چالش های مديران شبکه ، بهنگام سازی سيستم و نصب آخرين نسخه های Patch است . ماکروسافت در اين راستا ، يک برنامه خاص را بمنظور بررسی وضعيت امنيتی Hotfix ها ، ارائه که مديران شبکه را قادر به پيمايش سرويس دهنده های موجود در شبکه می نمايد ( برنامه Hfnetchk.exe) . برنامه فوق قادر به تشخيص صحت نصب تمام نسخه های Patch در رابطه با ويندوز 2000 و ساير نرم افزارهای سرويس دهنده نظير IIS ، IE و SQL است ( وضعيت موجود را تشخيص و کمبودها را اعلام می نمايد ) . برنامه HFNetChk يک ابزار خط دستوری بوده که مديران شبکه را قادر به بررسی آخرين وضعيت Patch ها در رابطه با تمام کامپيوترهای موجود در شبکه از يک محل مرکزی می نمايد . . شرکت ماکروسافت در اين زمينه ، برنامه جامعی را بمنظور بررسی وضعيت سيستم امنيتی ارائه نموده که برنامه Hfnetchk.exe نيز بخشی از آن است 
پس از معرفی امکانات موجود برای بهنگام سازی ويندوز و برطرف نمودن مشکلات و مسائل موجود در هر يک از نسخه های ويند وز، در ادامه به بررسی و ارزيابی سيستم امنيتی ويندوز پرداخته و در اين راستا پيشنهاداتی مطرح می گردد.
سنجش امنيت در ويندوز 2000 
تاکنون بيش از 400 نقطه آسيب پذير در نسخه های ويندوز 2000 ، NT و برنامه های مرتبط با آنان شناخته شده و نحوه برطرف نمودن آنان مستند شده است . در اين بخش به بررسی برخی از نقاط آسيب پذير اشاره و نحوه برخورد با آنان بيان می گردد. لازم است به اين نکته مهم دقت شود که کاهش برخی از نقاط آسيب پذير در يک شبکه به معنی عرضه يک شبکه ايمن نمی باشد ( تلاشی است در جهت ايمن شدن ) .

• <LI dir=rtl>از سيستم فايل NTFS در مقابل FAT استفاده شود . سيستم فايل فوق ، امکان کنترل دستيابی به فايل ها را برخلاف FAT فراهم می نمايد . 
  <LI dir=rtl>
  اطلاعات و ميدان عمل اتصالات بی هويت (Anonymous users) ، می بايست به حداقل مقدار خود برسد . يک اتصال بی هويت ( کاربران ناشناس و گمنام ) عضوی از گروه Everyone ( گروه از قبل ايجاد شده ) خواهد بود . بدين ترتيب آنان قادر به دستيابی تمام منابعی خواهند بود ، که برای گروه Everyone مجاز شناخته شده است . ويندوز NT پس از نصب آخرين نسخه ( Servic Pack ( 6a ، اکثر عملياتی را که يک کاربر گمنام قادر به انجام آنها می باشد ، محدود می نمايد . بمنظورر پيشگيری از شمارش اسامی account ها ، توسط کاربران گمنام ، از کليد ريجستری زير بهمراه تتنظيمات مربوطه استفاده می شود .
  Hive: HKEY_LOCAL_MACHINE
  Key: System\CurrentControlSet\Control\Lsa
  Name: RestrictAnonymous
  Type: REG_DWORD
  Value: 1
• امتياز Access this computer from the network را در رابطه با کاربران عضوء گروه Everyone حذف و آن را با گروه معتبر Users ، جايگزين نمائيد . در ويندوز NT 4.0 ، برای انجام عمليات فوق از مسير زير و در ويندوز 2000 از Group Policy و يا Security Configuration Toolset استفاده می شود.

• امکان دستيابی از راه دور به ريجستری را سلب نمائيد . کليدهای ريجستری متعددی وجود دارد، که اين امکان را به گروه Everyone و بالطبع کاربران ناشناس خواهد داد که از راه دور قادر به ويرايش ريجستری باشند( خواندن و تنظيم مقادير مربوط به مجوزها ). در صورتيکه کاربر تاييد نشده ای ، قادر به ويرايش مقادير موجود در ريجستری گردد، امکان تغيير مقادير موجود و بدست آوردن امتيازات با درجه بالا نيز در اختيار وی قرار خواهد گرفت. توصيه می گردد که صرفا" مديران شبکه و سيستم ، دارای امکان دستيابی از راه دور به ريجستری باشند . بمنظور اعمال محدوديت در رابطه با دستيابی از راه دور به ريجستری ، از کليد زير برای تنظيم مجوزهای امنيتی استفاده می شود .

• <LI dir=rtl> Account مربوط به Guest غير فعال گردد.در اين راستا پيشنهاد می گردد، که تمام Account ها ( سرويس ها و کاربران ) دارای رمز عبورگردند .( صرفنظر از اينکه account فعال و يا غير فعال باشد ) .
• تاييد اعتبار LanMan را غير فعال نمائيد . رمز عبورهای LanMan بمنظور سازگاری با نسخه های قبلی ويندوز ( 9X ) مطرح و عملا" رمزهای عبوری مشابه ويندوز 2000 بوده که تماما" به حروف بزرگ تبديل و با استفاده از يک روش خاص رمز شده اند .رمزهای عبور LanMan ، نسبت به ساير رمزهای عبور بمراتب ساده تر کشف و مورد استفاده م*****ان اطلاعاتی قرار می گيرند . پيشنهاد می گردد، رمزهای عبور LanMan غير فعال گردند . بمنظور غير فعال نمودن رمزهای عبور فوق ، کليد ريجستری مربوطه ، می بايست مطابق زير تغيير تنظيم گردد .

• <LI dir=rtl>پورت های 135,137,138 و 139 در محدوده روتر و يا فايروال را غير فعال نمائيد (Colse) . برای شبکه های مبتنی بر ويندوز 2000 ، می بايست پورت 445 نيز بلاک گردد . پورت های فوق، برای شبکه های داخلی لازم بوده ولی برای شبکه های خارجی مورد نياز نخواهند بود . با بلاک نمودن پورت های فوق ، از تعداد حملات م*****ان اطلاعاتی در شبکه های مبتنی بر ويندوز NT 4.0 و 2000 بنحو چشمگيری کاسته خواهد شد . در اين راستا لازم است ، پروتکل های غير ضروری ( نظير NetBeui و IPX) نيز غير فعال گردند . 
  <LI dir=rtl>بر روی فولدرها و فايل های سيستمی ويندوز نيز می بايست لايه های امنيتی مناسبی ايجاد گردد. در اين راستا لازم است بر روی فولدرهای حياتی سيستم نظير WINNT و System32 و کليدهای ريجستری HKLM\Software\Microsoft\Windows\Run و HKLM\Software\Microsoft\WindowsNT\CurrentVersion\A EDebug امکان استفاده از گروه Everyone سلب و به گروه معتبر Users ( شامل ليست کاربران مجاز ) اختصاص يابد . 
  <LI dir=rtl>در رابطه با منابع اشتراکی در شبکه ، می بايست محدوديت های لازم اعمال گردد. زمانيکه منبعی در شبکه به اشتراک گذاشته می شود، کنترل دستيابی بصورت پيش فرض گروه Everyone با امتيازFull control خواهد بود . در اين راستا پيشنهاد می گردد ، امکان استفاده از منابع اشتراکی ، صرفا" در اختيار کاربرانی قرار گيرد که نيازمند دستيابی به منابع فوق، می باشند . 
  <LI dir=rtl>تمام سرويس های غير ضروری نظير Telnet,FTP,WEB را غير فعال نمائيد. از صحت محل استقرار سرويس ها بر روی شبکه اطمينان حاصل نمائيد . مثلا" سرويس دهنده RAS و WEB نبايد بر روی يک کنترل کننده Domain ، نصب گردند . 
  <LI dir=rtl>امکان مميزی (auditing) در شبکه را فعال نمائيد . در ساده ترين حالت مميزی مربوط به ورود و خروج از شبکه ، دستيابی به امتيازات کاربران و رويدادهای سيستمی نظير غير فعال نمودن سيستم (Shutdown) است .
• اعتماد (Trust) موجود بين حوزه ها (Domian) را بررسی و در صورت امکان، موارد غير ضروری را حذف نمائيد .

برنامه های ماکروسافت 
وجود نقاط آسيب پذير در برنامه هائی نظير outlook,Microsoft Exchange,SQL Server و IIS ، بستر مناسب برای متجاوران اطلاعاتی بمنظور نفوذ در شبکه را ايجاد می نمايد . بنابراين لازم است که از آخرين Service Pack و Patch مربوط به هر يک از برنامه ها استفاده گردد . شرکت ماکروسافت، بمنظور بهبود امنيت برنامه ها ، ابزارهای متعددی را ارائه نموده است .

ايجاد يک ارتباط ايمن در برنامه های وب( بخش اول ) 
پرداختن به مقوله امنيت در برنامه های وب با توجه به ماهيت اين نوع از برنامه ها و جايگاه آنان در ارائه سرويس ها و خدمات پيشرفته ای همچون تجارت الکترونيکی بسيار حايز اهميت است . زمانيکه در رابطه با امنيت برنامه های وب بحث می شود، می بايست بر روی دو محور اساسی متمرکز گرديد:

• <LI dir=rtl>با استفاده از چه مکانيزمهائی می توان دستيابی کاربران به يک برنامه را کنترل و پس از شناسائی آنان ، امکان استفاده از برنامه را برای کاربران تائيد شده و متناسب با سطح دستيابی فراهم نمود؟
• برخی از برنامه های وب ، اطلاعات حساس متعددی را از طريق محيط انتقال و زير ساخت ايجاد شده ، ارسال و يا دريافت می دارند . در اين رابطه از چه نوع مکانيزمهائی می بايست استفاده گردد تا اين اطمينان حاصل شود که اطلاعات حساس ارسالی (نظير اطلاعات مربوط به کارت های اعتباری ) ، توسط افراد غير مجاز قابل خواندن نبوده و امکان دستکاری آنان نيز وجود نداشته باشد.دريافت کننده اطلاعات، می بايست از صحت اطلاعات ارسالی،اطمينان حاصل نمايد . اين نوع از برنامه های وب ، نيازمند استفاده از يک ارتباط ايمن بين سرويس گيرنده و سرويس دهنده می باشند . وجود يک ارتباط ايمن بين سرويس گيرنده و سرويس دهنده در برنامه ها ی وب تجاری و يا سايت هائی که بر روی آنان کالا و يا خدماتی عرضه می گردد ، بسيار حائز اهميت بوده و از موارد حياتی در موفقيت آنان محسوب می گردد .

در مجموعه مقالاتی که با عنوان "امنيت برنامه های وب " ارائه گرديد، اولين محور امنيتی در رابطه با برنامه های وب ، بررسی و در اين راستا با تمرکز بر روی پلت فرم دات نت مايکروسافت ، با روش های پياده سازی آن در برنامه های وب دات نت ، آشنا شديم . در مجموعه مقالاتی که ارائه خواهد شد ، به بررسی محور دوم امنيت در برنامه های وب خواهيم پرداخت . در اين رابطه لازم است در ابتدا با ملزومات لازم به منظور ايجاد يک ارتباط ايمن بين سرويس گيرنده و سرويس دهنده آشنا شده و در ادامه به بررسی نحوه پياده سازی يک ارتباط ايمن در برنامه های وب دانت نت ، خواهيم پرداخت .
ضرورت ايجاد يک ارتباط ايمن بين سرويس گيرنده و سرويس دهنده 
همانگونه که اشاره گرديد ، برخی از برنامه های وب ، اطلاعات حساسی را از سرويس گيرنده اخذ و در ادامه ، اطلاعات دريافتی بر اساس زيرساخت موجود برای سرويس دهنده ارسال می گردد. سرويس گيرنده نيز ممکن است اطلاعات حساسی را ( اغلب به منظور تائيد دريافت ) برای سرويس گيرنده ارسال نمايد . بنابراين اين نوع از برنامه ها نيازمند وجود يک کانال ارتباطی ايمن به منظور مبادله اطلاعات می باشند . به منظور آشنائی بيشتر با اهميت و جايگاه يک ارتباط ايمن بين سرويس گيرنده و سرويس دهنده ، به بررسی تجارت الکترونيکی و از زاويه برنامه های وب و ارتباطات ايمن ، اشاره می گردد . 
اينترنت فرصتی استثنائی و طلائی را برای سازمان ها و موسسات ارائه دهنده کالا و يا خدمات فراهم نموده است که بتوانند با استفاده از زيرساخت موجود ، خدمات و يا کالای خود را در اخيتار متقاضيان و در عرصه جهانی قرار دهند .حجم فروش online در سال 2002 ، نشاندهنده رشد چشمگير تجارت الکترونيکی است : امريکا 47 / 43 ميليارد دلار ، اروپا 29 / 28 ميليارد دلار ، آسيای جنوب شرقی 15 ميليارد دلار ، امريکای لاتين 3 / 2 ميليارد دلار و افريقا ، 4 ميليون دلار . بر اساس گزارش DoC)Department of Commerce) امريکا ، فروش Online در سه ماهه چهارم سال 2002 بالغ بر 33 / 14 ميليارد دلار بوده که نسبت به مدت مشابه در سال 2001 ، بيش از 2 / 28 درصد رشد و نسبت به سه ماهه سوم سال 2002 ، بيش از 3 / 29 درصد را داشته است .
عليرغم وجود مزايا و فرصت های تجاری online ، در اين رابطه چالش ها و مسائل خاصی وجود داشته که می بايست به دقت بررسی و راهکار مناسب برای آنان انتخاب گردد. بر اساس مطالعه ای که توسط موسسه Yankelovich Partners ، انجام شده است ، هشتاد و پنج درصد افراد شرکت کننده درنظر سنجی ، به اين موضوع اشاره داشته اند که آنان اطمينان لازم در خصوص ارسال شماره کارت اعتباری خود را در اينترنت ندارند. خريداران صرفا" پس از حصول اطمينان از وجود امنيت لازم ، اقدام به ارسال اطلاعات و خريد کالا و يا خدمات از طريق وب سايت ها ی مربوطه می نمايند. بديهی است شرط اوليه موفقيت سايت های تجاری Online ، افزايش ضريب اعتماد کاربران می باشد .در اين راستا، ايجاد يک زيرساخت ارتباطی ايمن ، جايگاه و اهميت خاص خود را پيدا می کند . به منظور ايمن سازی تجارت الکترونيکی ، می بايست از يک زيرساخت قابل اعتماد و ايمن ، استفاده گردد.
با استفاده از رمزنگاری PKI) Public Key Infrastructure ) و تکنولوژی امضای ديجيتالی از طريق گواهينامه های ديجتالی SSL) Secure Sockets Layer) ، امکان تائيد کاربران ، پيوستگی و انسجام داده ها ، حصول اطمينان از عدم خواندن و يا دستکاری اطلاعات ارسالی و ساير ملزومات امنيتی لازم در خصوص تجارت الکترونيکی، فراهم می گردد .به منظور ايجاد يک زيرساخت ايمن برای فعاليت های تجاری ، به دو عنصر مهم زير نياز می باشد : 

• <LI dir=rtl>گواهينامه های ديجيتالی برای سرويس دهندگان وب تا امکان تائيد ، پيوستگی و محرمانگی اطلاعات در زمان رمزنگاری ، فراهم گردد .
• يک سيستم مديريت پرداخت online ايمن که امکان فعاليت های تجاری online را برای وب سايت های مربوطه فراهم و بصورت اتوماتيک درخواست ها را مديريت نمايد (دريافت ، پردازش ، پرداخت ) .

در ادامه با عناصر لازم به منظور ايجاد يک ارتباط ايمن بين سرويس گيرنده و سرويس دهنده ، آشنا خواهيم شد . 
رمزنگاری کليد عمومی و گواهينامه ديچفيتالی 
رمزنگاری کليد عمومی و سيستم زيربنائی SSL از جمله ملزومات مورد نياز برای هر زيرساخت مطمئن در تجارت الکترونيکی می باشند. رمزنگاری ، فرآيندی است که در آن اطلاعات بگونه ای تبديل می گردند که برای تمامی افراد ( به غير از گيرندگان تائيد شده )، نامفهوم و عملا" غيرقابل استفاده باشند . در فرآيند فوق ، از فرمول های رياضی (الگوريتم های رمزنگاری ) و اعداد ( کليد ) ، به منظور رمزنگاری و رمزگشائی اطلاعات استفاده می گردد . 
رمزنگاری کليد خصوصی ( private key ) 
منداولترين نوع رمزنگاری مبتنی بر کليد ، رمزنگاری "کليد خصوصی" است . به اين نوع رمزنگاری ، متقارن ، سنتی ، رمز مشترک ، کليد رمز ، نيز گفته می شود . در اين نوع رمزنگاری ، فرستنده و گيرنده از کليد استفاده شده به منظور رمزنگاری اطلاعات ، آگاهی دارند. رمزنگاری کليدخصوصی ، گزينه ای مناسب به منظور مبادله اطلاعات بر روی اينترنت و يا ذخيره سازی اطلاعات حساس در يک بانک اطلاعاتی ، ريجستری و يا يک فايل می باشد . از روش فوق ، به منظورايمن سازی ارسال اطلاعات در شبکه های عمومی استفاده می گردد ( از گذشته تا کنون ) . ايده اوليه و اساسی در چنين سيستم هائی ، "اشتراک يک رمز" بوده و دو گروه شرکت کننده در مبادله اطلاعات ، بر روی يک "کليد رمزمشترک " ، با يکديگر توافق می نمايند. بدين ترتيب امکان رمزنگاری و رمزگشائی پيام ها برای هر يک از آنان با توجه به آگاهی از "کليد رمز " ، فراهم می گردد . شکل زير نحوه عملکرد رمزنگاری کليد خصوصی را نشان می دهد . 

رمزنگاری متقارن و يا کليد خصوصی دارای چندين نقطه ضعف می باشد. مبادله کليدهای رمز در شبکه های بزرگ امری دشوار و مشکل است .علاوه بر اين ، اشتراک کليدهای رمز ، مستلزم اين واقعيت است که فرستندگان و گيرندگان می بايست معتبر بوده و قبل از برقراری ارتباط ، آشنائی لازم را نسبت به يکديگر داشته باشند( با تمام افراديکه قصد ارتباط ايمن با آنان وجود داشته باشد ) . همچنين ، اين نوع سيستم های رمزنگاری ، نيازمند استفاده از يک کانال ايمن به منظور توزيع کليدهای " رمز" می باشند . در صورتيکه چنين کانال ايمنی وجود داشته باشد ، چرا از آن به منظور ارسال تمامی پيام رمز استفاده نشود ؟ درسيستم های مبتنی بر وب که دارای تعاملات گذرا و کاربران متعددی می باشند، به امکانات قدرتمندتری در ارتباط با رمزنگاری نياز خواهد بود.بنابراين ، رمزنگاری مبتنی بر کليد، عملا" به منظورايجاد يک ارتباط ايمن به تنهائی کافی نخواهد بود. توزيع و عرضه کليد ( يکی از مسائل مهم در ارتباط با مديريت کليد ) ، از جمله مسائل مهم و درعين حال موثر به منظور شناخت سيستم های رمزنگاری جديد می باشد. رمزنگاری کليد خصوصی دارای نقشی مهم در پروتکل SSL است( به همراه رمزنگاری کليد عمومی نامتقارن ) .
رمزنگاری کليد عمومی ( Public Key ) 
رمزنگاری کليد عمومی که از آن با نام رمزنگاری نامتقارن نيز ياد می گردد ، دارای يک تفاوت مهم با رمزنگاری کليد خصوصی است . رمزنگاری کليد عمومی از دو کليد متفاوت استفاده می نمايد : يک کليد برای رمزنگاری و کليدی ديگر برای رمزگشائی . در رمزنگاری کليد خصوصی ، فرض بر اين است که فرستنده و گيرنده دارای آگاهی لازم دررابطه با کليد استفاده شده در فرآيند رمزنگاری می باشند . در رمزنگاری کليد عمومی ، با استفاده از يک روش کاملا" ايمن يک کليد برای ارسال کننده اطلاعات ايجاد و وی با استفاده از کليد فوق ، اقدام به رمزنگاری و ارسال پيام رمز شده برای گيرنده می نمايد . امکان رمزگشائی پيام رمز شده صرفا" توسط دريافت کننده ، امکان پذير خواهد بود. در رمزنگاری کليد عمومی ، سيستم يک زوج کليد خصوصی و عمومی ايجاد می نمايد . کليد عمومی برای شخصی که از آن به منظور رمزنگاری يک پيام استفاده می نمايد ، ارسال می گردد. وی پس از رمزنگاری پيام با استفاده از کليد عمومی که دراختيار دارد ، پيام رمز شده را ارسال می نمايد . دريافت کننده با استفاده از کليد خصوصی ، اقدام به رمزگشائی پيام می نمايد .( ماهيت کليد خصوصی استفاده شده در رمزنگاری کليد عمومی ، مشابه کليد خصوصی استفاده شده در رمزنگاری کليد خصوصی نمی باشد ) .حتی اگر يک فرد مزاحم ، به کليد عمومی دستيابی پيدا نمايد وی نمی تواند با استفاده از آن اقدام به رمزگشائی پيام رمز شده نمايد ، چراکه رمزگشائی پيام ، صرفا" با استفاده از کليد خصوصی امکان پذير می باشد . برخلاف رمزنگاری کليد خصوصی ، کليد های استفاده شده در رمزنگاری کليد عمومی چيزی بمراتب بيشتر از رشته های ساده می باشند . کليد در اين نوع رمزنگاری دارای يک ساختار خاص با هشت فيلد اطلاعاتی است : از دو فيلد آن به منظور رمزنگاری با استفاده از کليد عمومی استفاده می گردد و شش فيلد ديگر به منظور رمزگشائی پيام با استفاده از کليد خصوصی مورد استفاده قرار می گيرد. در سيستم رمزنگاری کليد عمومی با توجه به عدم ضرورت مبادله رمز مشترک ، اولين مسئله در مديريت کليد برطرف می گردد. رمزنگاری کليد عمومی ، شامل مراحل زير است : 

• مرحله اول : وب سايت مورد نظر ، يک زوج کليد عمومی و خصوصی را ايجاد می نمايد .

• مرحله دوم : وب سايت موردنظر ، کليد عمومی را برای کاربر ارسال می نمايد .

• مرحله سوم : کاربر از کليد عمومی به منظور رمزنگاری داده مورد نظر خود استفاده می نمايد ( مثلا" شماره کارت اعتباری)

• مرحله چهارم : کاربر پيام رمز شده ( در اين مثال عدد رمز شده ) را برای سرويس دهنده ارسال می نمايد .

• مرحله پنجم : سرويس دهنده با استفاده از کليد خصوصی ، پيام رمز شده دريافتی را رمزگشائی می نمايد .

سيستم های مدرن رمزنگاری : يک رويکرد ترکيبی 
در سيستم های جديد رمزنگاری از ترکيب رمرنگاری مبتنی بر کليد عمومی و کليد خصوصی ، استفاده می گردد. هر يک از روش های فوق دارای مزايای خاص خود بوده که با استفاده و ترکيب مزايای موجود در هر يک می توان يک مدل جديد رمزنگاری را ايجاد نمود. حجم عمليات محاسباتی در مدل رمزنگاری کليد عمومی بالا می باشد ( در مقايسه با مدل رمزنگاری کليد خصوصی ) . با توجه به سرعت مناسب مدل رمزنگاری کليد خصوصی ( متقارن ) در رابطه با حجم گسترده ای از اطلاعات ، در سيستم های رمزنگاری پيشرفته ، عموما" از مدل رمزنگاری کليد عمومی به منظور عرضه کليد استفاده شده و در ادامه از مدل رمزنگاری خصوصی به منظور رمزنگاری حجم بالائی از اطلاعات استفاده می گردد . از سيستم های پيشرفته رمزنگاری در پروتکل SSL و به منظور ايمن سازی تراکنش های وب و يا ايمن سازی مدل نامه های الکترونيکی نظير S/MIME که در محصولاتی نظير مرورگر نت اسکيپ و IE پيش بينی شده است ، استفاده می گردد . 
مسئله مديريت کليد 
در هر سيستم رمزنگاری ،مجموعه ای از مسائل عملی و سوالات مختلف در رابطه با وجود امنيت لازم ، ميزان اعتماد پذيری سيستم و رعايت حريم اطلاعات خصوصی ، مطرح می گردد. روش های رمزنگاری کليد عمومی و خصوصی که به آنان اشاره گرديد، دارای امکانات لازم به منظور پاسخگوئی وارائه اطمينان لازم در خصوص امنيت اطلاعات می باشند . مثلا" مرورگرهای وب از کليد عمومی يک وب سايت به منظور ارسال شماره کارت اعتباری برروی وب استفاده می نمايند . با روشی مشابه ، شخصی که به فايل ها و يا اطلاعات حفاظت شده و رمز شده دستيابی پيدا می نمايد ، می تواند با استفاده از يک کليد خصوصی ، اقدام به رمزگشائی آنان نمايد . در عمل ، هر يک از مسائل فوق ، نيازمند استفاده از يک کليد عمومی تضمين شده بوده که با استفاده از آن صحت عمليات رمزنگاری بين دو طرف درگير در فرآيند رمزنگاری تضمين و امکان دخالت افراد غير مجاز نيز سلب گردد . رويکرد فوق ، سوالات متنوع ديگری را ذهن ايجاد می نمايد : 

• <LI dir=rtl>چگونه می توان اطمينان حاصل نمود که کليد عمومی استفاده شده توسط مرورگر به منظور ارسال اطلاعات کارت اعتباری ، همان کليد عمومی مورد نظر وب سايت دريافت کننده اطلاعات کارت اعتباری می باشد؟ ( کليد عمومی تقلبی نباشد ) .
• چگونه می توان با اطمينان اقدام به مبادله کليدهای عمومی خود برای متقاضيان نمود تا آنان با استفاده از آن اقدام به رمزنگاری و ارسال اطلاعات نمايند ؟

به منظور پاسخگوئی به اين نوع از سوالات و رفع نگرانی های موجود ، می بايست فرآيند نسبت دهی يک کليد عمومی ( يک ارتباط ايمن با يک کليد عمومی ، آغاز می گردد) به يک entity ( يک شی دلخواه که در يک تراکنش فعاليت دارد ) بصورت ايمن و مطمئن انجام شود ( Secure Binding ) .
در بخش دوم اين مقاله با امضای ديجيتالی ، گواهينامه های ديجيتالی X.509 ، گواهينامه ديجيتالی سرويس دهنده SSL و پروتکل SSL ، آشنا خواهيم شد

ايجاد يک ارتباط ايمن در برنامه های وب ( بخش دوم ) 
در بخش اول اين مقاله به ضرورت های وجود يک ارتباط ايمن بين سرويس گيرنده و سرويس دهنده اشاره و به بررسی برخی از ملزومات مورد نياز پرداخته گرديد. در بخش دوم اين مقاله به بررسی امضای ديجيتال و گواهينامه های ديجيتالی ، خواهيم پرداخت .برای ايجاد امنيت به چهار مولفه نياز می باشد : رمزنگاری ، الگوريتم های Hash ، امضای ديجيتال و گواهينامه های ديجيتال 
رمزنگاری ، فرآيندی است که هدف اصلی آن تبديل اطلاعات بگونه ای است که برای تمامی افراد بجزء افراد تائيد شده ، اطلاعات نامفهوم و عملا" غيرقابل استفاده باشد . در فرآيند فوق ، از فرمول های رياضی (الگوريتم های رمزنگاری ) و اعداد ( کليد ) ، به منظور رمزنگاری و رمزگشائی اطلاعات استفاده می شود . الگوريتم های رمزنگاری به دو گروه عمده تقسيم می گردند : 

• <LI dir=rtl>الگوريتم های محدود : در اين نوع الگوريتم ها ، محور امنيت اطلاعات بر محرمانه نگه داشتن الگوريتم استفاده شده در فرآيند رمزنگاری استوار است .
• الگوريتم های مبتنی بر کليد : در اين نوع الگوريتم ها ، کليد محرمانه تلقی شده و الگوريتم می تواند در دسترس عموم باشد . در اين رابطه از دو مدل رمزنگاری عمده استفاده می گردد : 
  کليد خصوصی ( متقارن ) : فرستنده و گيرنده از يک کليد يکسان به منظور رمزنگاری و رمزگشائی استفاده می نمايند . 
  کليد عمومی ( نامتقارن ) : به ازای هر کاربر از دو کليد استفاده می شود. يکی از کليدها عمومی بوده و در دسترس همگان قرار داشته و کليد دوم بصورت محرمانه می باشد.

ويژگی مدل رمزنگاری کليد خصوصی 

• <LI dir=rtl>رمزنگاری و رمزگشائی داده با استفاده از کليد يکسانی انجام می شود . <LI dir=rtl>تمامی کاربرانی که در يک گروه عضويت داشته و قصد اشتراک داده را بين خود دارند ، می بايست دارای کليد يکسانی باشند . <LI dir=rtl>در صورتيکه يک کليد د چار مشکل گردد ( لورفتن ) ، تمامی کليد ها می بايست تعويض و با کليدی جديد جايگزين گردند .
• مهمترين مسئله در ارتباط با اين مدل رمزنگاری ، عدم وجود امنيت لازم به منظور توزيع کليد است .

ويژگی مدل رمزنگاری کليد عمومی 

• <LI dir=rtl>عدم استفاده از کليدهای مشابه <LI dir=rtl>هر کاربر دارای يک زوج کليد ( عمومی ، خصوصی ) می باشد . از کليد عمومی به منظور رمزنگاری داده و از کليد خصوصی به منظور رمزگشائی داده استفاده می گردد. <LI dir=rtl>اين مدل رمزنگاری تقريبا" 500 مرتبه کندتر از رمزنگاری کليد خصوصی ( متقارن ) است . <LI dir=rtl>از مدل رمزنگاری عمومی به منظور مبادله کليد خصوصی و امضای ديجيتال استفاده می شود .
• شکل زير ، فرآيند رمزنگاری مبتنی بر کليد عمومی بين دو کاربر را نشان می دهد :

Hash 
يک Hash که به آن Checksum ، پيام Digest و يا اثرانگشت ، نيز گفته می شود ، فرآيندی است که بصورت رياضی حجم يک جريان از داده را به يک طول ثابت کاهش می دهد ( معمولا" 128 و يا 160 بيت ) . عملکرد hash ، مشابه اثرانگشت يک شخص می باشد. اثرانگشت ، پارامتری منحصربفرد به منظور تشخيص هويت افراد بوده و در ادامه با استفاده از آن امکان دستيابی به ساير مشخصات افراد نظير : رنگ چشم ، قد ، جنسيت و ساير موارد دلخواه ، فراهم می گردد . اکثر توابع Hash از لحاظ رمزنگاری دارای عملکردی مشابه توابع رمزنگاری می باشند . در حقيقت ، برخی توابع hash صرفا" تغييرات اندکی را در توابع رمزنگاری ايجاد نموده اند . اکثر عمليات با دريافت يک بلاک از داده شروع و در ادامه با استفاده از يک فرآيند تکرارشونده و بکارگيری يک الگوريتم رمزنگاری ، تغييرات لازم در ارتباط با بيت ها ، اعمال می شود. hash ، دارای ويژگی های مهم زير می باشد :

• <LI dir=rtl>امکان استنتاج ورودی از طريق خروجی وجود ندارد .
• نمی توان دو ورودی را پيدا کرد که به ازای آنان خروجی يکسانی توليد گردد : احتمال توليد مقادير Hash يکسان برای دو مجموعه متفاوت از داده ها کمتر از 001 . / درصد است .

الگوريتم های hashing ، از يک تابع ايمن رمزنگاری نظير Message Digest 5)MD5) و يا Secure Hash Algoritm)SHA) به منظور توليد يک مقدار Hash مرتبط با داده ورودی استفاده می نمايند . Hash ، يک نوع خاص از رمزنگاری يک طرفه است . برخی افراد ، hashing را به عنوان يک مدل رمزنگاری تلقی می نمايند . Hashing عملا" يک مدل رمزنگاری نمی باشد چراکه Hash نمی تواند رمزگشائی گردد ( بدست آوردن مقدار ورودی با اسنتاد و آناليز مقدار خروجی ) . شکل زير ، نحوه عملکرد الگوريتم SHA-1 ( نسخه شماره يک ، پياده سازی شده در سال 1994 ) را نشان می دهد : 

امضای ديجيتال 
امضای ديجيتال ، ماحصل رمزنگاری مقدار Hash داده مبادله شده بوده و روشی ايمن به منظور امضای الکترونيکی اطلاعات با استفاده از کدها ويا علائمی است که از لحاظ الکترونيکی معادل يک امضای دستی می باشند. امضای ديجيتالی، مبتنی بر ترکيب ايده سنتی Hashing داده و رمزنگاری کليد عمومی است .يک مرکز معتبر صدور گواهينامه های ديجيتال ، گواهينامه های ديجيتالی صادرشده را به کليدهای عمومی مربوط به هر يک نسبت می دهد . فرآيند امضاء ، مخالف فرآيند رمزنگاری است : از کليد خصوصی به منظور رمزنگاری Hash و از کليد عمومی برای بررسی صحت امضاء ( رمزگشائی ) استفاده می شود . 

فرآيند امضای داده توسط فرستنده پيام : 

• <LI dir=rtl>دريافت پيام اوليه و محاسبه يک مقدار Hash با استفاده از يک الگوريتم hashing <LI dir=rtl>رمزنگاری Hash توسط يک تابع رمزنگاری و اعمال کليد خصوصی توسط فرستنده پيام ( پيام اوليه به همراه مقدار Hash رمز شده ، يک پيام ديجيتالی امضاء شده را تشکيل می دهند ) .
• ارسال پيام ديجيتالی امضاء شده برای گيرنده

فرآيند بررسی صحت امضاء ارسالی همراه داده : 

• <LI dir=rtl>پس از دريافت پيام توسط گيرنده ، در ابتدا ، Hash رمز شده با استفاده از کليد عمومی فرستنده رمزگشائی می گردد ( Hash رمزگشائی شده ) .
• محاسبه محلی مقدار Hash پيام ارسالی با استفاده از يک الگوريتم Hashing
• مقايسه نتايج بدست آمده در مراحل قبل : Hash رمزگشائی شده با مقدارمحلی Hash مقايسه و در صورتيکه نتيجه يکسان باشد ، صحت و اعتبار پيام ارسال شده توسط فرستنده تائيد می گردد .

لازم است به اين موضوع دقت شود که ضرورتی به رمزنگاری محتوی پيام وجود نداشته و صرفا" امضای ديجيتالی رمز می گردد( مگر اينکه شرايط خاصی در ارتباط با محرمانگی محتوی وجود داشته باشد که در چنين مواردی می بايست محتوی نيز رمزنگاری گردد ) . در صورتيکه به هر دليلی محتوی پيام توسط افراد غيرمجاز تغيير داده شود ، Hash رمز شده اوليه با مقداری که بصورت محلی مجددا" محاسبه می گردد ، مطابقت نداشته و صحت امضای فرستنده تائيد نمی گردد . همچنين ، ايجاد يک امضای تقلبی عملا" غيرممکن است ، چراکه افراد غير مجاز آگاهی لازم در ارتباط با کليد خصوصی را دارا نمی باشند ( رمزنگاری مقدار محاسبه شده Hash با در نظر گرفتن کليد خصوصی فرستنده انجام خواهد شد ) . 
گواهينامه ديجيتال 
قبل از اينکه کاربر B پيامی شامل امضای ديجيتال مربوط به کاربر A را قبول نمايد ( پذيرش ) ، می بايست اطمينان لازم در خصوص تعلق کليد عمومی به کاربر A را کسب نموده و مطمئن گردد که شخص ديگری خود را به عنوان کاربر A ، وانموده نکرده باشد. يکی از روش های موجود به منظور حصول اطمينان از ارسال پيام توسط کاربر A ، استفاده از يک مرکز معتبر به منظور تائيد تعلق کليد عمومی به کاربر A ، می باشد. چنين مراکزی CA) Certification Authority) ناميده می شوند. پس از تائيد هويت کاربر A ، مرکز صدور گواهينامه های ديجيتال ، پيامی شامل نام و کليد عمومی A صادر می نمايد . اين پيام ، گواهينامه ديجيتال ناميده می شود. گواهينامه ديجيتال ، يک فايل الکترونيکی است که بصورت منحصربفرد افراد و يا وب سايت ها را بر روی اينترنت شناسائی و امکان ارتباطات ايمن و محرمانه را فراهم می نمايد.عملکرد گواهينامه ديجيتال ، مشابه کارت شناسائی و يا گواهينامه رانندگی است . کارت های شناسائی با توجه به مجوزهای يک سازمان مسئول ، صادر می گردند . زمانيکه يک فرد درخواست يک کارت ملی را می نمايد ، يک موسسه مسئول ، بررسی لازم در ارتباط با هويت فرد متقاضی را انجام و پس از طی مراحل قانونی ( و ملزم نمودن متقاضی به تبعيت از قوانين موجود ) ، کارت شناسائی وی صادرمی گردد . زمانيکه يک کارت شناسائی نظير يک گواهينامه رانندگی صادر و به ديگران ارائه می گردد ، آنان قادر به شناسائی مالک آن می باشند. اين نوع کارت ها دارای مزايای امنيتی زير می باشند :

• <LI dir=rtl>شامل اطلاعات شخصی به منظور تسهيل در شناسائی و رديابی صاحب کارت <LI dir=rtl>شامل عکس و در صورت لزوم امضای مالک آن بوده تا امکان شناسائی موثرتر صاحب آن فراهم گردد . <LI dir=rtl>شامل اطلاعات لازم و مورد نياز در ارتباط با شناسائی و تماس با مرکز صادرکننده مجوز <LI dir=rtl>مقاوم در مقابل دستکاری و جعل
• صادر شده توسط يک مرکز مجاز تا در صورت بروز شرايطی خاص نظير گم شدن و يا سرقت ، امکان باطل نمودن آن وجود داشته باشد.

گواهينامه های ديجيتال توسط مراکز مجاز و معتبر ( CA) صادر و از آنان به منظور حصول اطمينان از شناسائی online موجوديت های متفاوت نظير افراد ، سايت ها و يا کامپيوترها ، استفاده می گردد . يک گواهينامه ديجيتال شامل اطلاعات متفاوتی در ارتباط با تشخيص هويت مالک آن بوده تا بتواند وی را به عنوان يک موجوديت بر روی شبکه ، شناسائی نمايد . گواهينامه ديجيتال يک ساختمان داده تعريف شده بر اساس استاندارد X.509 می باشد . در اين ساختمان داده اطلاعات متنوعی ذخيره می گردد. يک CA ، از کليد خصوصی خود به منظور شناسائی و تائيد گواهينامه های صادر شده توسط خود ، استفاده می نمايد . يکی از اطلاعات مهمی که در ساختمان داده فوق ، قرار می گيرد ، امضای ديجيتال مربوط به CA می باشد . CA ، يک مقدار Hash را در ارتباط با گواهينامه صادر شده ، ايجاد و آن را با استفاده از کليد خصوصی خود رمز و در نهايت آن را در گواهينامه صادر شده قرار می دهد . هر يک از کاربران می توانند به منظور اطمينان از معتبر بودن گواهينامه ديجيتالی صادر شده ، از تابع hash به همراه کليد عمومی CA استفاده نمايند. PKI ( زيرساخت کليد عمومی ) ، از فرمت X.509 نسخه شماره سه گواهينامه ديجيتال استفاده می نمايد . شکل زير ساختار اطلاعات موجود در گواهنيامه ديجيتال را با استفاده از فرمت X.509 نشان می دهد . 

• <LI dir=rtl>شماره نسخه : شماره نسخه فرمت گواهينامه را نشان می دهد ( مثلا" نسخه شمار ه سه ) <LI dir=rtl>شماره سريال گواهنيامه : يک شماره سريال منحصربفرد که توسط CA ، در نظر گرفته شده تا در ادامه امکان رديابی آن و باطل نمودن آن وجود داشته باشد. <LI dir=rtl>شناسه الگوريتم گواهينامه : الگوريتم های رمزنگاری کليد عمومی و hashing که مراکز CA از آنان به منظور تائيد ديجيتالی گواهينامه ها استفاده می نمايند . <LI dir=rtl>مرکز صادر کننده : نام مرکز صادرکننده CA را مشخص می نمايد. <LI dir=rtl>مدت اعتبار : تاريخ شروع و سررسيد گواهينامه را مشخص می نمايد . <LI dir=rtl>Subject : نام مالک گواهينامه را مشخص می نمايد. <LI dir=rtl>اطلاعات کليد عمومی subject : کليد عمومی و ليستی از الگوريتم های رمزنگاری کليد عمومی را مشخص می نمايد . <LI dir=rtl>شناسه منحصربفرد صادرکننده : اطلاعات اختياری که در صورت ضرورت بصورت منحصربفرد اطلاعات صادرکننده را مشخص می نمايد . <LI dir=rtl>شناسه منحصربفرد مالک گواهينامه: اطلاعات اختياری که در صورت ضرورت بصورت منحصربفرد اطلاعات صاحب گواهينامه را مشخص می نمايد . <LI dir=rtl>ضمائم : اطلاعات اضافه ای که زير ساخت PKI درصورت ضرورت استفاده می نمايد.
• امضای ديجيتال مجاز گواهينامه : امضای ديجيتالی CA که در آخرين مرحله ايجاد گواهينامه ، توليد می گردد .

استفاده از گواهينامه های ديجيتال ، اعتبار يک کليد عمومی و انتساب آن به يک فرد معتبر را امکان پذير می نمايد. بدين ترتيب وضعيت مديريت کليد بهبود يافته و گيرندگان گواهينامه های ديجيتال قادر به تائيد CA ، با توجه به آگاهی از کليد عمومی آن می باشند. گيرندگان گواهينامه های ديجيتال ، در مقابل اينکه از کليدهای عمومی متعلق به تمامی کاربران آگاهی داشته باشند ، با آگاهی از صرفا" يک کليد عمومی (مربوط به CA ) ، قادر به تائيد هويت ارسال کنندگان اطلاعات ،خواهند بود. 

مراکز CA ، دارای ويژگی های زير می باشند : 

• <LI dir=rtl>در صورت تائيد CA صادرکننده گواهينامه توسط کاربر ، امکان تائيد گواهينامه نيز وجود خواهد داشت . <LI dir=rtl>مسئوليت تائيد و معتبرسازی تمامی مشترکين <LI dir=rtl>مسئوليت صدور و مديريت گواهينامه ها ( درخواست های ارسالی توسط نامه الکترونيکی و يا اينترفيس های وب ) . <LI dir=rtl>مسئوليت ابطال و يا تمديد گواهينامه های صادر شده <LI dir=rtl>مسئوليت ايجاد سياست ها و رويه ها
• چندين CA می تواند در يک ساختار سلسله مراتبی وجود داشته باشد. در صورتيکه CA ريشه معتبر شناخته گردد، هر يک از مراکز CA در سطوح پائين تر نيز معتبر شناخته خواهند ش.د

مشاهده گواهينامه های ديجيتال 
برای مشاهده آخرين وضعيت گواهينامه های ديجيتال بر روی سيستم خود ، برنامه IE را فعال نموده و از طريق منوی Tools گزينه Internet Options را فعال و درادامه با انتخاب Content Tab و فعال نمودن Certificate می توان از وضعيت گواهينامه های ديجيتال ، آگاهی يافت .
در بخش سوم اين مقاله به بررسی پروتکل SSL ، خواهيم پرداخت 

ايجاد يک ارتباط ايمن در برنامه های وب (بخش سوم) 

در بخش سوم اين مقاله به بررسی موارد اشاره شده در دو مقاله قبل و از زاويه ديگر پرداخته و با پارامترهای لازم به منظور انتقال اطلاعات حساس در يک شبکه بيشتر آشنا خواهيم شد. انتقال اطلاعات حساس بر روی يک شبکه مستلزم بکارگيری مکانيزمی است که سه ويژگی زير را تضمين نمايد: 

• <LI dir=rtl>امنيت : داده ارسالی نمی بايست توسط افراد غير مجاز، استفاده ( خواندن ) گردد . <LI dir=rtl>هويت : افراد شرکت کننده در ارتباط همان افرادی می باشند که ادعا می نمايند .
• غيرجعلی بودن اطلاعات : داده دريافت شده در مقصد با داده ارسال شده در مبداء يکسان بوده و اطلاعات دستکاری نشده باشد.

تکنولوژی هائی که يک ارتباط ايمن را ارائه می نمايند ، می بايست مبتنی بر مکانيزمی باشند که سه ويژگی فوق را تضمين نمايند . اينگونه تکنولوژی ها ، عموما" از الگوريتم های رمزنگاری استفاده نموده و با رمز نمودن اطلاعات ، عملا" امکان رمزگشائی و دستيتابی به داده اوليه توسط افراد غير مجاز را سلب می نمايند. يکی از بهترين الگوريتم های رمزنگاری در حال حاضر ، " رمزنگاری کليد نامتقارن ( کليد عمومی ) " است . نحوه عملکرد اين مدل رمزنگاری ساده بوده ولی در آن از الگوريتم های پيچيده رياضی استفاده شده است .مدل رمزنگاری فوق ، قادر به تامين سه ويژگی اشاره شده می باشد . در ادامه با اين مدل رمزنگاری بيشتر آشنا شده و نحوه برخورد آن در جهت تامين هر يک از ويژگی های فوق را بررسی می نمائيم . 
رمزنگاری کليد عمومی ( نامتقارن ) 
فرض کنيد دو کاربر قصد مبادله اطلاعات بر روی يک شبکه را با استفاده از يک روش ايمن داشته باشند . گيرنده دارای دو کليد است که از لحاط رياضی به نوعی با يکديگر مرتبط شده اند. کليد ، نوع خاصی از داده است که امکان رمزنگاری و يا رمزگشائی داده را فراهم می نمايد. دوکليد فوق دارای يک ارتباط و وابستگی خاص با يکديگر می باشند . در صورتيکه داده با استفاده از يکی از آنان رمز گردد ، صرفا" با استفاده از کليد دوم ، امکان رمزگشائی داده رمز شده و بازيابی اطلاعات اوليه ، وجود خواهد داشت ( و بالعکس ) . کليدی که معمولا" بين کاربران مبادله می گردد ، " کليد عمومی" و کليدی که نزد افراد نگهداری می گردد ، " کليد خصوصی" ، ناميده می شود. 
دريافت کننده ،کليد خصوصی خود را هرگز آشکار ( فاش کردن ) نمی نمايد ولی می تواند در صورت تمايل کليد عمومی خود را در اختيار افراد ديگر قرار دهد . در صورتيکه شخصی (فرستنده ) قصد ارسال داده محرمانه برای شخص ديگری (گيرنده) را داشته باشد ، وی در ابتدا اطلاعات را با استفاده از کليدعمومی گيرنده، رمز و در ادامه اطلاعات رمز شده را برای گيرنده ارسال می نمايد. صرفا" فردی ( يک گيرنده ) که دارای کليد خصوصی مرتبط با کليد عمومی استفاده شده در مبداء به منظور رمزنگاری می باشد ، قادر به رمزگشائی اطلاعات خواهد بود . شکل زير مراحل لازم به منظور مبادله داده به صورت ايمن با استفاده از مدل رمزنگاری نامتقارن ( کليد عمومی ) را نشان می دهد : 

رمزنگاری کليد عمومی و امنيت 
روش رمزنگاری کليد عمومی ، مبتنی بر رابطه رياضی بين کليدهای عمومی و خصوصی بوده و دارای قدرت مناسب و تضمين لازم در خصوص ارائه امنيت بالا در مقابل تهاجمات اطلاعاتی است .ارتباط رياضی بين کليد عمومی و خصوصی بسيار پيچيده می باشد . رابطه موجود مبتنی بر مضرب اعداد بزرگ است . مضرب استفاده شده يک عدد دويست رقمی می باشد که با توجه به امکانات سخت افزاری موجود به چهار ميليارد سال زمان به منظور تشخيص ارتباط موجود بين دو کليد ، نياز می باشد( با اين فرض که زمان اجرای هر دستورالعمل يک ميکروثانيه در نظر گرفته شود) . همانگونه که ملاحظه می گردد امنيت روش رمزنگاری فوق ، بسيار بالا می باشد.رمزنگاری کيلد عمومی، زيرساخت اساسی و اوليه در يک ارتباط ايمن بر روی يک شبکه را فراهم نموده و از آن در پروتکل های ارتباطی ايمن نظير SSL)Secure Socket Layer) استفاده می گردد. پروتکل SSL ، يک مدل handshake امنيتی است که از آن به منظور ارائه يک ارتباط ايمن بين سرويس دهنده و سرويس گيرنده ، استفاده می گردد . 
رمزنگاری کليد عمومی و تشخيص هويت 
رمزنگاری کليد عمومی عليرغم دارا بودن پتانسيل لازم در خصوص ايجاد يک ارتباط ايمن ،تضمين لازم در خصوص اينکه فرستنده همان شخصی است که ادعا می نمايد را ارائه نمی نمايد .در چنين وضعيتی ، به مدلی به منظور بررسی و تائيد هويت افراد ، نياز می باشد.فرض کنيد شما نامه ای الکترونيکی را از شخصی دريافت نموده ايد که می دانيد متعلق به يکی از دوستانتان است . به منظور ممانعت از خواندن متن نامه توسط افراد غير مجاز ، از مدل رمزنگاری کليد عمومی که به آن اشاره گرديد ، استفاده می گردد. بدين ترتيب اطمينان لازم در خصوص عدم خواندن اطلاعات محرمانه شما توسط ساير افراد، حاصل می گردد. اما يک سوال باقی می ماند و آن اينکه چگونه مطمئن می گرديد که نامه ارسالی ، توسط دوست شما ارسال شده است ؟ کليد عمومی شما می تواند توسط هر شخص ديگر دريافت گردد و چنين شخصی می تواند خود را به عنوان دوست شما قلمداد نموده و يک نامه جعلی را برای شما ارسال نمايد . در چنين مواردی ، تشخيص هويت و شناسائی فرد ارسال کننده پيام بسيار حائز اهميت می باشد . صرفا" با حصول اطمينان از شناسائی و تائيد فرد ارسال کننده است که می توان به صحت نامه ارسال شده ، اطمينان نمود . 
موضوع فوق ، يکی از مسائل اساسی و مهم در برنامه های وب تجارت الکترونيکی محسوب می گردد . در چنين برنامه های تشخيص و شناسائی افراد درگير در يک ارتباط بسيار حائز اهميت می باشد . کاربران تمايل دارند که از سايت هائی کالائی را خريداری نمايند که نسبت به هويت و معتبر بودن آنان اطمينان لازم وجود داشته باشد و فروشندگان نيز می بايست اطمينان حاصل نمايند که مشتريان و خريداران آنان ، دقيقا" همان افرادی می باشند که ادعا می نمايند . به عبارت ديگر ، هويت خريداران کالا و يا خدمات می بايست قبل از خريد ،شناسائی و تائيد گردد . مسئله تشخيص هويت می تواند به به ساير موارد نيز تعميم يابد که در آن هدف تشخيص هويت فردی است که قفصد مبادله اطلاعات با آن وجود دارد . تشخيص هويت ، مکانيزمی به منظور شناسائی يک فرد ، سازمان ، شرکت و يا موسسه می باشد . در حقيقت از اين طريق يک موجوديت واقعی نظير انسان و يا يک شرکت به يک موجوديت اينترنتی نظير يک وب سايت ، يک مرورگر وب و يا يک برنامه پست الکترونيکی ، مپ می گردد . 
دراين رابطه و به منظور ارائه راهکار مناسب در جهت تشخيص هويت وشناسائی افراد درگير در يک ارتباط ، می توان از همان روش رمزنگاری کليد عمومی (نامتقارن) که در بخش قبل به آن اشاره گرديد، استفاده نمود. چيزی که با استفاده از کليد عمومی رمز می شود را می توان صرفا" با استفاده از کليد خصوصی رمزگشائی نمود. عکس حالت فوق نيز صادق است . يعنی چيزی که با استفاده از کليد خصوصی رمز می شود را می توان صرفا" با استفاده از کليد عمومی رمزگشائی نمود. بنابراين با تعويض نقش زوج کليد ( عمومی ، خصوصی ) می توان مکانيزمی را به منظور بررسی و تشحيص هويت افراد ايجاد نمود. فرستنده ، اقدام به ارسال پيامی می نمايد که با استفاده از کليد خصوصی خود آن را رمز نموده است ، گيرنده با استفاده از کليد عمومی فرستنده ، قادر به رمزگشائی پيام ارسالی می باشد . بدين ترتيب اطمينان لازم در خصوص دريافت پيام از صاحب واقعی مرتبط با کليد خصوصی ، فراهم می گردد. شکل زير نحوه تشخيص هويت افراد را نشان می دهد . 

رمزنگاری کليد عمومی و غيرجعلی بودن اطلاعات 
بررسی هويت افراد مستلزم فرآيند ديگری به منظور تشخيص اصالت داده ارسالی ( غيرجعلی بودن ) نيز می باشد.در اين رابطه هدف ، حصول اطمينان از اين موضوع است که داده دريافتی ، همان داده ارسال شده توسط فرستنده است. با توجه به ماهيت رمزنگاری کليد عمومی ، در صورتيکه يک پيام جعل گردد، دريافت کننده قادر به رمزگشائی آن با استفاده از کليد عمومی فرستنده ، نخواهد بود. عليرغم موضوع فوق ، در برخی حالات ، ممکن است قصد ارسال داده شفاف (Plain ) وجود داشته باشد. در چنين مواردی لازم است ، گيرنده امکان تشخيص هويت ارسال کننده و غير جعلی بودن پيام را دارا باشد. با استفاده از يک امضای ديجيتالی به افراد اجازه داده شود که بررسی لازم در خصوص جعلی نبودن يک داده شفاف (plain ) را انجام دهند. 
يک امضای ديجيتالی ، مشابه يک امضای دستی و معمولی بوده و می توان از آن به منظور تائيد هويت فرستده و اطمينان از عدم تغيير داده ( سند ؛ يک پيام ، يک عنصر نرم افزاری ) در زمان ارسال ، استفاده نمود.
امضای ديجيتال از رشته ای که hash و يا Checksum ناميده می شود ، مشتق شده و پس از محاسبه با استفاده از داده ورودی ، با استفاده از کليد خصوصی فرستنده ، رمز می گردد. hash مشابه يک اثرانگشت بوده و با استفاده از الگوريتم های Hash که حجم بالائی از داده را دريافت و بخش بمراتب کوچکتری را برمی گردانند ( معمولا" يک طول ثابت ) ، ايجاد می شود.الگوريتم های Hash ، تضمين لازم در خصوص عدم محاسبه يک مقدار hash يکسان برای داده های ورودی متفاوت را ارائه می نمايند. 
مکانيزم امضای ديجيتال ، به صورت منخصربفرد رشته hash را به سند و کليد خصوصی مالک سند ، نسبت می دهد . عدم جعلی بودن يک سند می تواند با رمزگشائی امضای ديجيتال با استفاده از کليد عمومی فرستنده ( شناسائی هويت فرستنده پيام ) ، محاسبه محلی hash و مقايسه آن با چيزی که دريافت شده است ، محقق گردد . شکل زير نحوه ايجاد ، بررسی و تائيد امضای ديجيتال را نشان می دهد : 

فرآيند توليد امضای ديجيتالی برای يک سند، signing ناميده می گردد .فرآيند فوق ، محتوی يک سند را تغيير نداده و صرفا" يک امضای ديجيتالی توليد که می توان آن را همراه سند و يا بصورت جداگانه ارسال نمود.

گواهينامه ها و مراکز صدور گواهينامه ها 
همانگونه که ملاحظه گرديد ، رمزنگاری کليد عمومی ، مکانيزم لازم به منظور تامين سه ويژگی اشاره شده ( امنيت ، تشخيص هويت ، عدم جعلی بودن ) را در رابطه با ايجاد يک ارتباط ايمن ، ارائه می نمايد . در سه ويژگی اشاره شده ، توزيع کليد عمومی و تطبيق آن با کليد خصوصی مربوطه از ارکان بسيار مهم در مدل رمزنگاری کليد عمومی محسوب می گردد . به عبارت ديگر ، در صورت تمايل برای ارسال يک پيام رمز شده برای فردی خاص ، می بايست پردازش لازم در خصوص کليد عمومی وی صورت پذيرد.در موارديکه يک سند sign شده دريافت می گردد ، مجددا" نيازمند پردازش کليد عمومی به منظور بررسی صحت و عدم جعلی بودن آن ، می باشد.
در صورت دريافت يک کليد عمومی ، آيا اطمينان لازم در خصوص اين موضوع وجود دارد که فرد ارسال کننده ،همان شخصی است که انتظار داريم ؟ همواره اين امکان وجود خواهد داشت که يک کليد عمومی اشتباها" برای افراد ارسال گردد . فراموش نکنيم که رمزنگاری کليد متقارن ، صرفا" تضمين لازم در خصوص تطبيق کليدها را ارائه نموده و در رابطه با تعلق(مالکيت ) يک کليد عمومی به شخصی خاص ، سکوت می نمايد.
گواهينامه ها ( تائيديه ها) ، امکانات لازم در خصوص برطرف نمودن چنين مسائلی را ارائه می نمايند . تکنولوژی گواهينامه ، امکان شناسائی منحصربفرد افراد را فراهم می نمايد . پس از شناسائی يک فرد و تائيد گواهيينامه ، امکان تائيد آنان توسط يک برنامه معتبر و امين و يا سرويس دهنده ، فراهم خواهد شد . تکنولوژی گواهينامه محدود به تائيد فرد خاصی نمی باشد .از تکنولوژی فوق ، به منظور تائيد اسنادی نظير نامه های الکترونيکی و يا ساير برنامه ها ئی که قادر به حمايت از رمزنگاری گواهينامه می باشند ، استفاده می گردد . 

يک گواهينامه چيست ؟ 
گواهيينامه ديجيتال ،رکوردی منحصربفرد مشتمل بر اطلاعاتی ضروری به منظور بررسی هويت يک فرد و يا يک سازمان می باشد . گواهينامه های ديجيتال از فرمت استاندارد X.509 تبعيت می نمايند . استاندارد فوق ، برخی از ملزومات موردنياز گواهينامه را تشريح می نمايد : فرمت نسخه استفاده شده توسط گواهينامه ، شماره سريال گواهينامه ، شناسه الگوريتم استفاده شده به منظور تائيد گواهينامه ،مرکز صادرکننده گواهينامه ، تاريخ صدور و سررسيد اعتبار گواهينامه ، مشخصات صاحب گواهينامه ، کليد عمومی صاحب گواهينامه ، امضای ديجيتال مرکز صادر کننده گواهينامه . 
هر يک از فيلدهای اطلاعاتی فوق متناظر با فيلدهای خاصی در ساختار تعريف شده برای يک گواهنيامه می باشد. گواهينامه ها ، ممکن است شامل اطلاعات ديگری نظير آدرس پستی ، آدرس پست الکترونيکی ، نام کشور ، سن ، جنسيت نيز باشند . اطلاعات اضافی فوق اختياری بوده و بستگی به نوع خاص گواهينامه دارد . 

مراکز صدور گواهينامه (CA:Certificate Authority )
مراکز صدور گواهينامه که از آنان با عنوان CA نيز نام برده می شود ،مراکزی امين و معتبر بوده که مسئوليت تطبيق کليدها ی عمومی به منظور شناسائی و تائيد هويت را برعهده دارند. به عبارت ديگر ، مراکز فوق تعلق يک کليد عمومی خاص به يک کاربر معتبر را تائيد می نمايند . مراکز CA ، مسئوليت صدور ، ابطال و تمديد يک گواهينامه را برعهده دارند. مراکز CA ،همچنين می بايست رويه های بسيار دقيق و سختگيرانه ای را به منظور تائيد افراد و سازمان ها ئی که درخواست گواهنيامه می نمايند را نيز دنبال نمايند .بدين ترتيب ، پس از تائيد يک فرد و يا سازمان توسط يک مرکز معتبر و امين CA ، امکان تطبيق کليد ( انطباق کليد عمومی با کليد خصوصی مرتبط با آن ) آنان از يک مرکز ايمن ، فراهم می گردد. عملکرد چنين مراکزی نظير دفاتراسناد رسمی در اينترنت است . 
در ساختار گواهينامه ، دو فيلد اطلاعاتی مرتبط با CA نيز وجود دارد : نام صادرکننده گواهينامه و امضای ديجيتالی صادرکننده . وجود فيلدهای فوق در گواهينامه صادر شده ، تضمين لازم در خصوص تعلق کليد عمومی به صاحب آن را ارائه می نمايد.بدين ترتيب مسئله امين بودن از افراد به مراکز CA منتقل می گردد.وجود يک مرکز امين و معتبر ، از جمله مهمترين دلايل حضور CA ، محسوب می گردد . در حال حاضر ، سازمان های متعددی ، اقدام به صدور گواهينامه می نمايند و هر روز نيز تعداد آنان افزايش می يابد . زمانيکه دو کاربر و يا دو سازمان قصد مبادله گواهينامه را داشته باشند ، هر يک از آنان می تواند هويت طرف مقابل خود را با استفاده از تائيديه مراکز CA و گواهينامه های صادرشده توسط مراکز CA ، انجام دهد. هر گواهينامه شامل کليد عمومی مربوط به خود نيز می باشد ، بنابراين می توان از آن به منظور رمزنگاری داده برای ارسال به صاحب گواهينامه استفاده نمود. گواهينامه ها همچنين شامل امضای ديجيتال مرکز CA صادرکننده گواهينامه نيز می باشند. يک امضای ديجيتال با استفاده از کليد خصوصی مولف سند ايجاد می گردد . بنابراين به منظور بررسی يک گواهينامه که توسط يک مرکز CA خاص تائيد شده است ، به کليد عمومی مرکز CA نيز نياز خواهد بود. کليد ها ی عمومی اکثر مراکز CA به همراه مرورگرها ، برنامه های پست الکترونيکی و ساير پکيج های نرم افراری توزيع می گردد .
انواع گواهينامه ها 
در اينترنت از چهار نوع گواهينامه ديجيتال استفاده می گردد که هر يک دارای حوزه عملکردی خاص خود می باشند : 

• <LI dir=rtl>گواهينامه های سرويس دهنده ، که از آنان با نام Server IDs نيز نام برده می شود،به سرويس دهندگان امکان استفاده از يک پروتکل ايمن ارتباطی نظير SSL را خواهند داد . گواهينامه های فوق ، امکان شناسائی سرويس دهنده و يا وب سايت مربوطه را برای کاربران نيز فراهم می نمايد( قبل از ارسال اطلاعات محرمانه توسط کاربران ) .
  <LI dir=rtl>گواهينامه های شخصی ، مسوليت شناسائی افراد را برعهده داشته و ممکن است به منظور تائيد کاربران در يک سرويس دهنده و يا فعال نمودن نامه الکترونيکی ايمن، مورد استفاده قرارگيرند. 
  <LI dir=rtl>گواهينامه های ناشر نرم افزار ، به منظور تائيد نرم افزارهای توزيع شده بر روی اينترنت استفاده می گردند.
• گواهينامه های مراکز CA ، باعث شناسائی يک CA می گردند. مراکز CA را می توان به دو گروه عمده تقسيم نمود : مراکز CA ريشه و مراکز CA ميانی . تفاوت بين اين دو گروه بشرح زير است : 
  يک مرکز CA ريشه ، قادر به صدور هر نوع گواهينامه بوده و شناسائی و تائيد آنان توسط خود مرکز انجام می شود. يک مرکز CA ميانی ، قادر به صدور هر نوع گواهينامه بجزء يک گواهينامه برای خودش ، می باشد.گواهينامه صادر شده توسط يک مرکز CA ريشه ، تنها نوع گواهينامه ای است که صادرکننده و مالک گواهينامه متعلق به يک محل بوده و مشابه يکديگر می باشند. اينچنين مراکز ، می توانند برای يک مرکز CA ميانی ديگر ، گواهينامه صادر نمايند و يک مرکز CA ميانی نيز می تواند يک گواهينامه برای يک مرکز CA ميانی ديگر صادر نمايد . نوع گواهينامه صادر شده توسط يک مرکز CA برای مرکز CA ديگر ، گواهينامه CA ناميده می شود . ماحصل فرآيند فوق ، ايجاد يک ساختار سلسله مراتبی CA است . يکی از مزايای مهم ساختار سلسله مراتبی فوق ، بررسی و تائيد گواهينامه در تعدادی اندک از مراکز ريشه CA ، می باشد. به عبارت ديگر در صورتيکه يک مرکز CA تائيد گردد ، تمامی مراکز زيرمجموعه ( مراکز ميانی CA ) نيز تائيد خواهند شد .

دريافت يک گواهينامه سرويس دهنده 
در صورتيکه تصميم به گرفتن يک گواهينامه وجود داشته باشد ، می بايست با يک مرکز CA تماس گرفته شود. فرآيند دريافت يک گواهينامه که Enrollment ( ثبت نام ) ناميده می شود ، با توجه به نوع گواهينامه متفاوت می باشد . همانگونه که اشاره گرديد ، يک گواهينامه سرويس دهنده ، مسئوليت شناسائی يک سرويس دهنده را با استفاده از پروتکل SSL برای يک ارتباط ايمن بر روی وب ، برعهده دارد. زمانيکه يک مرورگر ارتباط خود را با يک سرويس دهنده وب تائيد شده از طريق پروتکل HTTPS ( نسخه ايمن پروتکل HTTP ) برقرار می نمايد ، کليد عمومی سرويس دهنده را از طريق گواهينامه مربوطه خود دريافت می نمايد . بدين ترتيب مرورگر ، قادر به شناسائی ايمن صاحب سرويس دهنده و استفاده از کليد عمومی وی به منظور رمزنگاری داده می باشد .به منظور فعال نمودن يک سرويس دهنده وب برای استفاده از SSL و گواهينامه ها ، می بايست يک رويه خاص با توجه به نوع سرويس دهنده وب و مرکز صادر کننده CA ، دنبال گردد. مراحل دريافت يک گواهينامه به شرح ذيل می باشد : 

• <LI dir=rtl>يک گواهينامه سرويس دهنده به يک Domain اينترنت نسبت داده می شود ، بنابراين لازم است از ثبت Domain وب سايت مربوطه ، اطمينان حاصل نمود ( قبل از اقدام به دريافت يک گواهينامه می بايست Domain ثبت گردد) . 
  <LI dir=rtl>با استفاده از ابزارهای ارائه شده همراه نرم افزار سرويس دهنده ، می بايست يک زوج کليد و يک Certificate Signing Request )CSR) ، ايجاد گردد. ماحصل عمليات فوق توليد کليد خصوصی و عمومی مرتبط با سرويس دهنده می باشد . فرآيند فوق بسيار مهم می باشد ، چراکه CSR توليد شده شامل يک نسخه از کليد عمومی سرويس دهنده می باشد .در زمان توليد CSR ، می بايست اطلاعات ديگری نظير URL وب سايت ، نام شرکت و يا سازمان متقاضی و آدرس مربوطه ، نيز مشخص گردد. ماحصل عمليات فوق ، يک فايل ASCII بوده که شامل درخواست گواهينامه با استفاده از يک فرمت شناخته شده با نام PKCS#10 می باشد . 
  <LI dir=rtl> در ادامه،می توان CSR را به مرکز CA انتخاب شده ، ارسال نمود.بدين منظور می توان از روش های متفاوتی نظير ارسال توسط نامه الکترونيکی و يا استفاده از فرم های ثبت نام Online موجود بر روی وب سايت مرکز CA ، استفاده نمود.
  <LI dir=rtl> پس از ارسال CSR به مرکز CA ،بررسی لازم در خصوص اطلاعات انجام و در صورت لزوم درخواست اطلاعات تکميلی می گردد. پس از اتمام مراحل بررسی ، CA يک گواهينامه را بهمراه اطلاعات ذيربط نظير : کليد عمومی ، تاريخ سررسيد و ساير موارد ، صادر و آن را با استفاده از کليد خصوصی خود ، Sign و در ادامه آن را برای متقاضی ارسال و يا بر روی يک وب سايت مستقر تا امکان دريافت آن فراهم گردد.گواهينامه دريافت شده يک فايل ASCII شامل داده با فرمت استاندارد PKCS#7 ، می باشد.
• در مرحله آخر، می بايست گواهينامه صادر شده بر روی سرويس دهننده وب ، نصب گردد. بدين منظور می توان از مستندات ارائه شده به همراه سرويس دهنده وب استفاده نمود.به منظور حفاظت از گواهينامه صادرشده ، لازم است يک نسخه Backup از آن تهيه گردد. در صورتيکه گواهينامه سرويس دهنده گم گردد ، می بايست يک CSR جديد ارسال و مراحل فوق مجددا" تکرار گردد.

در بخش چهارم اين مقاله با پروتکل SSL آشنا خواهيم شد .

ايجاد يک ارتباط ايمن در برنامه های وب (بخش چهارم) 

در بخش چهارم اين مقاله به بررسی پروتکل SSL ، خواهيم پرداخت.
مبادله اطلاعات در اينترنت مبتنی بر پروتکل TCP/IP بوده که در آن از پروتکل های متعددی نظير HTTP (Hypertext Transfer Protocol )، Telnet و( FTP(File Transfer Protocol ، استفاده می گردد . پروتکل های فوق ، گزينه مناسبی برای ايجاد يک ارتباط ايمن نمی باشند ، چراکه مبادله اطلاعات به صورت Plaintext انجام می شود . اطلاعات محرمانه و يا حساسی که با استفاده از اينچنين پروتکل هائی منتقل می گردد ، بسادگی قابل ره گيری و خواندن بوده و در اين رابطه لازم است ،اطلاعات ارسالی با استفاده از روش های متفاوت رمزنگاری ، رمز گردند. سرويس گيرندگان وب ، درخواست های خود را با استفاده از پروتکل HTTP برای سرويس دهندگان وب ارسال می نمايد . مبادله اطلاعات با استفاده از پروتکل فوق و با توجه به ماهيت آن ، چالش های امنيتی خاصی را برای سرويس دهندگان و سرويس گيرندگان به دنبال خواهد داشت . سرويس دهندگان وبی که صرفا" از استاندارد HTTP به منظور ارتباط با سرويس گيرندگان استفاده می نمايند ، اهداف مناسبی برای حملاتی از نوع ( DoS (Denial-of-Service و ساير حملاتی از اين نوع می باشند. علاوه براين ، سرويس دهندگانی اينچنين، اهداف مناسبی برای سرويس دهندگان وب تائيد نشده محسوب خواهند شد. . اين نوع سرويس دهندگان ، وب سايت هائی می باشند که خود را به عنوان يک سايت مثبت وانمود کرده و نرم افزارهائی شامل ويروس های کامپيوتری و يا اسکريپت های مخرب را بر روی سايت مستقر تا کاربران با دريافت و نصب آنان ، دچار مشکلات امنيتی گردند.
پروتکل های ارتباطی ايمن وب ، روشی به منظور تائيد سرويس گيرندگان و سرويس دهندگان بر روی وب وحفاظت لازم درخصوص محرمانگی ارتباط بين سرويس گيرندگان و سرويس دهندگان را ارائه می نمايند. تاکنون استانداردهای ارتباطی ايمن متعددی با استفاده از تکنولوژی رمزنگاری کليد عمومی ، پياده سازی شده است. پروتکل های Secure Hypertext Transfer Protocol ) SHTTP ، ( IP Security) IPSec) و PPTP نمونه هائی در اين زمينه می باشند . پروتکل ( SSL ( Secure Socket Layer ، پيشگام تمامی پروتکل های ايمن ارتباطی بوده که در ابعاد گسترده ای به منظور ارائه کانال ايمن ارتباطی و مبادله اطلاعات حساس و محرمانه بر روی وب ، استفاده می گردد . 
در پروتکل SSL از مدل رمزنگاری کليد عمومی به عنوان زيرساخت اوليه و در جهت ارائه يک ارتباط ايمن در شبکه استفاده می شود.گواهينامه های سرويس دهنده ، که از آنان با نام Server IDs نيز نام برده می شود،به سرويس دهندگان امکان استفاده از يک پروتکل ايمن ارتباطی نظير SSL را داده و همچنين ، امکان شناسائی سرويس دهنده و يا وب سايت مربوطه نيز برای کاربران و قبل از ارسال اطلاعات محرمانه ، فراهم می گردد . لازم است به اين موضوع مجددا" اشاره گردد که وجود يک کانال ارتباطی ايمن يکی از مهمترين عوامل در ارتباط با گسترش تجارت الکترونيکی محسوب می گردد. حصول اطمينان از وجود يک ارتباط ايمن بين خريداران ( سرويس گيرندگان ) و ارائه دهندگان کالا و يا خدمات (سرويس دهندگان ) از مهمترين عوامل موفقيت در برپاسازی يک سايت تجارت الکترونيکی است . نقش و جايگاه پروتکل SSL در اين نوع سايت ها بسيار حياتی و تعيين کننده است . در ادامه با اين پروتکل بيشتر آشنا می شويم .
پروتکل SSL 
پروتکل SSL ، توسط نت اسکيپ و با هدف مبادله ايمن اطلاعات بر روی اينترنت پياده سازی گرديده است . پس از گذشت مدت زمانی اندک ، پروتکل SSL به عنوان استانداردی در جهت تائيد وب سايت ها برای کاربران و سرويس دهندگان وب و به منظور مبادله اطلاعات رمز شده بين آنان ، مطرح گرديد . گواهينامه های سرويس دهنده از طريق مراکز صدور گواهينامه ها ( CA ) برای سازمان ها ، افراد و وب سايت ها ، صادر می گردد . مراکزصدور گواهينامه ها ، از روش های متفاوتی به منظور بررسی و حصول اطمينان از معتبر بودن گواهينامه کاربران ، استفاده می نمايند . گواهينامه ديجيتال SSL مربوط به مراکز معتبر صدور گواهينامه ، در تمامی مرورگرها ( نظير مرورگر وب مايکروسافت و مرورگر نت اسکيپ ) و سرويس دهندگان وب اصلی ، پيش بينی شده است. بدين ترتيب ، با نصب يک گواهينامه ديجيتال بر روی يک سرويس دهنده وب ، امکان استفاده از قابليت های SSL در زمان مبادله اطلاعات با مرورگرهای وب ، فراهم می گردد.گواهينامه های سرويس دهنده SSL به منظور برقراری يک ارتباط ايمن دو عمليات اساسی زير را انجام می دهند : 

• <LI dir=rtl> SSL Server Authentication ، گواهينامه های سرويس دهنده امکان شناسائی يک سرويس دهنده وب را برای کاربران فراهم می نمايند. مرورگرهای وب به صورت اتوماتيک ، بررسی لازم در خصوص اعتبار يک گواهينامه سرويس دهنده ، شناسه عمومی و صدور آن توسط يک مرکز صدور گواهينامه (CA ) معتبر را انجام می دهند.تائيد سرويس دهنده SSL ، امری حياتی برای ايمن سازی تراکنش های تجارت الکترونيکی بوده که در آن هر يک از کاربران شماره کارت اعتباری خود را بر روی وب ارسال و تمايل دارند در ابتدا بررسی لازم در خصوص هويت سرويس دهنده دريافت کننده را انجام دهند .
• SSL Encryption ، گواهينامه های سرويس دهنده يک کانال ايمن به منظور مبادله اطلاعات بين مرورگر کاربر و يک سرويس دهنده وب را با استفاده از ارسال نرم افزار و رمزگشائی توسط نرم افزار دريافت کننده و حفاظت اطلاعات خصوصی در مقابل ره گيری اطلاعات برروی اينترنت را ارائه می نمايند. علاوه بر اين ، تمامی داده ارسالی از طريق يک ارتباط رمز شده SSL با استفاده از مکانيزم های لازم به منظور عدم دستکاری اطلاعات ، حفاظت می گردد. بدين ترتيب ، کاربران اطمينان لازم به منظور ارسال اطلاعات خصوصی و محرمانه خود را برای يک وب سايت پيدا می نمايند.

نحوه عملکرد گواهينامه های سرويس دهنده SSL 
شناسه های سرويس دهنده (Server IDs) ، از مزايای SSL به منظور ارائه يک ارتباط ايمن بين وب سايت ها و مرورگرهای وب کاربران استفاده می نمايند. پروتکل SSL از ترکيب مدل رمزنگاری کليد عمومی و رمزنگاری سريع متقارن، استفاده می نمايد .فرآيند ايجاد يک ارتباط ايمن با برقراری يک SSL Handshake ، آغاز می گردد.در اين راستا ، سرويس دهنده خود را برای مرورگر کاربر تائيد نموده و در ادامه به سرويس دهنده و سرويس گيرنده اجازه داده می شود که با همکاری يکديگر کليدهای خصوصی لازم به منظور استفاده در رمزنگاری ، رمزگشائی و تشخيص عدم دستکاری داده را ايجاد نمايند . 

• <LI dir=rtl>سرويس گيرنده با يک سايت و به منظور دستيابی به يک URL ايمن ( يک URL که با https در مقابل http شروع شده است) ، ارتباط برقرار می نمايد . صفحه ايمن درخواستی ، می تواند يک فرم خريد Online باشد که در آن اطلاعات خصوصی کاربران، نظير : آدرس ، شماره تلفن و شماره کارت اعتباری اخذ می گردد.
  <LI dir=rtl>مرورگر سرويس گيرنده بصورت اتوماتيک شماره نسخه SSL مرورگر ، تنظيمات رمز، داده توليد شده بصورت تصادفی و ساير اطلاعات مورد نياز به منظور برقراری يک ارتباط ايمن را برای سرويس دهنده ارسال می نمايد.
  <LI dir=rtl>سرويس دهنده بصورت اتوماتيک پاسخ لازم را در اين رابطه داده و گواهيينامه ديجيتال ، شماره نسخه SSL سرويس دهنده ، تنظيمات رمز و ساير موارد مورد نياز را برای مرورگر سرويس گيرنده ،ارسال می نمايد .
  <LI dir=rtl>مرورگر سرويس گيرنده بررسی لازم در خصوص اطلاعات موجود در گواهينامه سرويس دهنده را انجام می دهد : 
  - آيا گواهينامه سرويس دهنده و تاريخ آن معتبر می باشند ؟ 
  - آيا مرکزی که گواهينامه را صادر نموده است ، يکی از مراکز صدورمعتبری است که گواهينامه آنان به همراه مرورگر ارائه شده است ؟
  - آيا کليد عمومی مرکز صادرکننده گواهينامه ( ايجاد شده درون مرورگر ) ، معتبر بودن امضای ديجيتالی صادر کننده را تائيد می نمايد ؟ 
  - آيا نام Domain مشخص شده توسط گواهينامه ديجيتال با نام واقعی Domain سرويس دهنده ، مطابقت می نمايد ؟ 
  در صورتی که ، سرويس دهنده تائيد نگردد به کاربر اعلام می گردد که امکان برقراری يک ارتباط رمزشده و مطمئن وجود ندارد .
  <LI dir=rtl>در صورتی که سرويس دهنده بصورت موفقيت آميز تائيد گردد ، مرورگر سرويس دهنده يک "session key " منحصربفرد را به منظور رمزنگاری تمامی اطلاعات مبادله شده با سرويس دهنده با استفاده از مدل رمزنگاری کليد عمومی ، ايجاد می نمايد . 
  <LI dir=rtl>مرورگر سرويس گيرنده ، session key را با استفاده از کليد عمومی سرويس دهنده ( وب سايت مورد نظر ) ، رمز و آن را برای سرويس دهنده ارسال می نمايد. بدين ترتيب ، صرفا" سرويس دهنده قادر به خواندن session key ، خواهد بود . 
  <LI dir=rtl>سرويس دهنده با استفاده از کليد خصوصی مربوط به خود ، اقدام به رمزگشائی session key می نمايد .
• مرورگر سرويس گيرنده در ادامه پيامی را برای سرويس دهنده ارسال و به وی اعلام می نمايد که پيام های آتی خود را با استفاده از session key رمز و ارسال می نمايد .
• سرويس دهنده در ادامه ، پيامی را برای سرويس گيرنده ارسال و به وی اعلام می نمايد که پيام های آتی خود را با استفاده از session key رمز و ارسال می نمايد .
• با اتمام مراحل فوق ، يک ارتباط ايمن مبتنی بر SSL بين سرويس گيرنده و سرويس دهنده برقرار می گردد . در ادامه پروتکل SSL به منظور رمزنگاری و رمزگشائی پيام ها از مدل رمزنگاری متقارن که بمراتب سريعتر نسبت به رمزنگاری کليد عمومی می باشد ، استفاده می نمايد .
• پس از اتمام ارتباط بين سرويس دهنده و سرويس گيرنده ، session key حذف می گردد .

مراحل فوق در زمان بسيار کوتاهی ( چندين ثانيه ) انجام و کاربران در اين رابطه ضرورتی به انجام عملياتی خاص نخواهند داشت . مرورگرهای نت اسکيپ و IE ، دارای مکانيزم های امنيتی از قبل تعبيه شده ای به منظوريشگيری در خصوص ارسال ناخواسته اطلاعات شخصی می باشند. در صورتی که کاربری قصد ارسال اطلاعات برای يک سايت غيرايمن ( سايتی که دارای يک گواهينامه سرويس دهنده SSL نمی باشد ) را داشته باشد ، مرورگر يک پيام هشداردهنده را نمايش خواهند داد : 

در صورتی که ، کاربران شماره کارت اعتباری و ساير اطلاعات خود را برای سايتی ارسال نمايند که دارای يک گواهينامه سرويس دهنده معتبر و يک ارتباط SSL می باشد ، پيام فوق نمايش داده نمی گردد . عليرغم اعتبار ارتباط ايمن ايجاد شده ، کاربران می توانند با توجه به نکات زير اطمينان لازم در خصوص ايمن بودن ارتباط برقرار شده با يک وب سايت را پيدا نمايند: 

• <LI dir=rtl>URL مشخص شده در پنجره مرورگر با https در مقابل http آغاز می گردد .
• درمرورگر IE ، يک آيکون Podlock ، در قسمت پائين پنجره نمايش داده می شود .

در صورت کليک بر روی آيکون فوق ، می توان اطلاعات جامعی را در ارتباط با گواهينامه مشاهده نمود .

انواع SSL ( چهل بيتی و يکصدوبيست و هشت بيتی ) 
پروتکل SSL به دو صورت 40 و 128 بيتی که به طول session key توليد شده بستگی دارد ، ارائه شده است . هر اندازه طول کليد بيشتر باشد ، امکان شکستن رمز مشکل تر خواهد بود . رمزنگاری SSL از نوع 128 بيتی ، قويترين نوع رمزنگاری بوده که با استفاده از تکنولوژی های موجود به ميلياردها سال زمان برای شکستن رمز آن نياز خواهد بود. قدرت رمزنگاری 128 بيتی تقريبا" 26 10 * 3 مرتبه قويتر از رمزنگاری 40 بيتی SSL است. مرورگرهای IE و نت اسکيپ ، سطوح متفاوتی از رمزنگاری را بر اساس نوع گواهينامه سرويس دهنده SSL ارائه می نمايند ( گواهينامه های سرويس دهنده SSL از نوع 40 بيتی ، گواهينامه های سرويس دهنده SSL از نوع 128 بيتی ) .
در رمان ايجاد يک مشخصه سرويس دهنده ( Server ID ) و به منظور استفاده از رمزنگاری 128 بيتی می بايست کليد خصوصی به درستی ايجاد گردد. در صورتی که کليد خصوصوصی 1024 بيتی انتخاب گردد ، امکان رمزنگاری 128 بيتی و در صورتيکه کليد خصوصی 512 بيتی در نظر گرفته شود، صرفا" امکان رمزنگاری 40 بيتی وجود خواهد داشت . نوع کليد خصوصی در زمان ايجاد يک CSR) Certificate Signing Request ) به همراه سرويس دهنده وب ، مشخص می گردد .
در بخش پنجم اين مقاله به بررسی مراحل لازم به منظور استفاده از SSL دربرنامه های وب دات نت ، خواهيم پرداخت . 

ايجاد يک ارتباط ايمن در برنامه های وب (بخش پنجم) 

در بخش پنجم اين مقاله به بررسی مراحل لازم به منظور استفاده از SSL دربرنامه های وب دات نت ، خواهيم پرداخت.
به منظور استفاده از SSL در برنامه های وب ، می بايست مراحل زير را دنبال نمود :

• <LI dir=rtl>ايجاد يک درخواست گواهينامه از طريق IIS <LI dir=rtl>درخواست يک گواهينامه از يک مرکز صدور گواهينامه ( CA ) <LI dir=rtl>نصب گواهينامه بر روی سرويس دهنده با استفاده از IIS <LI dir=rtl>نصب گواهينامه بر روی مرورگر در صورتيکه از يک گواهينامه تستی استفاده می گردد.
• استفاده از پروتکل ايمن https ، در زمان دستيابی به صفحات ايمن در برنامه وب

در ادامه به تشريح هر يک از مراحل فوق ، خواهيم پرداخت .
ايجاد يک درخواست گواهينامه ( ( Certificate Signing Request (CSR) 
به منظور درخواست گواهينامه از يک مرکز صدور گواهينامه، می بايست در ابتدا درخواست يک گواهينامه توسط IIS ، ايجاد گردد . درخواست فوق ، شامل اطلاعات رمزشده در رابطه با سرويس دهنده مورد نظر شما بوده که مرکز صدور گواهينامه از آن به منظور تشخيص هويت وشناسائی سرويس دهنده بر روی اينترنت استفاده می نمايد . برای ايجاد يک درخواست گواهينامه مراحل زير را در IIS ، دنبال می نمائيم : 

• <LI dir=rtl>مرحله اول : انتخاب وب سايت پيش فرص در IIS و گزينه Properties از طريق منوی Action . در ادامه IIS ، جعبه محاوره ای سايت پيش فرض را نمايش خواهد داد .
• مرحله دوم : انتخاب ( کليک ) Directory Security Tab و فعال نمودن گزينه Server Certificates . ويزارد مربوطه در ادامه توسط IIS فعال می گردد.

• مرحله سوم : پس از دنبال نمودن ويزارد و اتمام مراحل مربوطه ، IIS يک فايل Text رمزشده با انشعاب cer . را ايجاد می نمايد . فايل فوق ، درخواست مربوط به يک گواهنيامه بوده که می بايست به مرکز صدور گواهينامه ارسال گردد.

در ابتدا می بايست گواهينامه در ريشه سرويس دهنده ايجاد گردد.( قبل از اين که IIS ، قادر به برقراری يک ارتباط ايمن گردد) . پس از نصب يک گواهينامه سرويس دهنده در سطح ريشه ، می توان پردازش فوق را برای سايت های زيرمجموعه تکرار نمود( در صورتی که لازم است برای هر يک از سايت ها از يک گواهينامه جداگانه ، استفاده گردد ) . 
درخواست يک گواهينامه 
فرآيند درخواست يک گواهينامه سرويس دهنده از يک مرکز صدور گواهينامه با توجه به مرکز انتخاب شده ، متفاوت می باشد .برای درخواست يک گواهينامه ، مراحل زير را دنبال می نمائيم : 

• <LI dir=rtl>مرحله اول : ملاقات وب سايت مرکز صدور گواهينامه و درخواست يک گواهينامه سرويس دهنده برای SSL . ( در اين رابطه گزينه ها ی متعددی بر اساس سطح امنيت وجود دارد ) . <LI dir=rtl>مرحله دوم : انتخاب نوع گواهينامه سرويس دهنده مورد نظر و تکميل فرم اطلاعاتی مربوطه .
• مرحله سوم : کپی و يا ارسال درخواست گواهينامه ايجاد شده در مرحله "ايجاد يک درخواست گواهينامه" توسط نامه الکترونيکی

پس از انجام عمليات فوق ، می بايست در انتظار تائيد اطلاعات ارسالی و صدور گواهينامه توسط مرکز صدور گواهينامه ماند . پس از تائيد ، مرکز صدور گواهنيامه اقدام به ارسال گواهينامه سرويس دهنده می نمايد. ( معمولا" از طريق يک نامه الکترونيکی ) . گواهينامه صادر شده را در يک فايل متنی و با انشعاب cer. ، ذخيره می نمائيم ( استفاده از عمليات Copy&Paste در ويرايشگر notpad ) 

نصب گواهينامه 
پس از ذخيره گواهينامه سرويس دهنده ، می توان در ادامه آن را در IIS نصب تا امکان استفاده از پروتکل SSL در برنامه ها ی وب ، فراهم گردد . به منظور نصب يک گواهينامه سرويس دهنده ، مراحل زير را دنبال می نمائيم : 

• <LI dir=rtl>مرحله اول : انتخاب وب سايت پيش فرص در IIS و گزينه Properties از طريق منوی Action . در ادامه IIS ، جعبه محاوره ای سايت پيش فرض را نمايش خواهد داد . <LI dir=rtl>مرحله دوم : انتخاب ( کليک ) Directory Security Tab و فعال نمودن گزينه Server Certificates . ويزارد مربوطه در ادامه توسط IIS فعال می گردد.
• مرحله سوم : دکمه Next را فعال و گزينه ... Prosecc The Pending Request And را مطابق شکل زير انتخاب می نمائيم . 

• مرحله چهارم : دکمه Next را فعال نموده و در ادامه نام فايل حاوی گواهينامه را وارد می نمائيم ( فايل فوق ، فايلی است که در مرحله "درخواست يک گواهينامه " ايجاد شده است )

• مرحله پنجم : با فعال نمودن دکمه Next و در ادامه Finish ، عمليات نصب گواهينامه به اتمام می رسد .

استفاده از ارتباط ايمن 
پس از نصب گواهينامه سرويس دهنده ، ارتباط ايمن فعال ومی توان با استفاده از پروتکل https ، درخواست يک صفحه ايمن را نمود.

ارتباط ايمن تا زمان معرفی يک سايت غيرايمن ، همچنان وجود خواهد داشت . به منظور اتمام ارتباط ايمن ، می بايست از پروتکل http ، در URL مربوطه استفاده نمود . 

با استفاده از IIS می توان ارتباط ايمن را برای فولدرها و يا فايل های خاصی در يک برنامه وب ،ايجاد نمود. به منظور ايجاد يک ارتباط ايمن برای يک صفحه خاص با استفاده از IIS ، مراحل زير را دنبال می نمائيم . 

• <LI dir=rtl>مرحله اول : انتخاب فولدر و يا فايل مورد نظری که نيازمند استفاده از يک ارتباط ايمن می باشد .با انتخاب گزينه Properties از طريق منوی Action ، جعبه محاوره ای Properties نمايش داده می شود. 
  <LI dir=rtl> مرحله دوم : انتخاب ( کليک ) Directory Security Tab و فعال نمودن گزينه Secure Communication . در ادامه IIS ، جعبه محاوره ای Secure Communication را نمايش خواهد داد.
• مرحله سوم : گزينه (Require Secure Channel ( SSL را انتخاب و در ادامه دکمه OK را فعال می نمائيم .

زمانی که نحوه دستيابی به يک صفحه توسط يک ارتباط ايمن مشخص می گردد، امکان مشاهده صفحه فوق با استفاده از پروتکل http وجود نخواهد داشت .

استفاده از شبکه های بدون کابل در ساليان اخير متداول و بسياری از شرکت ها و موسسات به منظور برپاسازی شبکه و اتصال به اينترنت از گزينه فوق استفاده می نمايند . شبکه های بدون کابل عليرغم ارائه تسهيلات لازم به منظور دستيابی و استفاده از منابع موجود بر روی شبکه ، دارای چالش های امنيـتی مختص به خود می باشند که می تواند تهديدات امنيتی جديدی را بدنبال داشته باشد . تمامی موسسات و سازمان هائی که از اين نوع شبکه های کامپيوتری استفاده می نمايند ، می بايست اقدامات لازم در جهت پيشگيری از حملات و حفاظت از منابع موجود در شبکه را انجام دهند . 
نحوه عملکرد يک شبکه بدون کابل 
با استفاده از شبکه های بدون کابل که به آنان WiFi نيز گفته می شود ، می توان بدون استفاده از کابل به يک شبکه خصوصی ( شبکه های اينترانت ) و يا عمومی ( اينترنت ) متصل گرديد . کاربران شبکه های بدون کابل در صورت استقرار در محدوده شبکه ، قادر به دستيابی و استفاده از منابع موجود بر روی شبکه خواهند بود . 
شبکه های بدون کابل در مقابل استفاده از کابل از امواج راديوئی به منظور اتصال کامپيوتر ها به شبکه ( نظير اينترنت ) استفاده می نمايند . يک فرستنده که Access point و يا Gateway ناميده می شود ، با استفاده از کابل به يک اتصال اينترنت متصل می گردد . بدين ترتيب يک نقطه حياتی به منظور ارسال اطلاعات به کمک امواج راديوئی ايجاد می گردد . در اين رابطه و به منظور شناسائی اطلاعات ارسالی از يک SSID ( اقتباس شده از Service Set IDentifier ) استفاده می گردد که به کمک آن کامپيوترهای موجود در يک شبکه بدون کابل قادر به يافتن يکديگر می باشند. SSID ، نظير يک "رمزعبور" است که امکان تقسيم يک شبکه WLAN به چندين شبکه متفاوت ديگر را که هر يک دارای يک شناسه منحصر بفرد می باشند، فراهم می نمايد . شناسه های فوق، می بايست برای هر access point تعريف گردند. يک کامپيوتر سرويس گيرنده به منظور دستيابی به هر شبکه ، می بايست بگونه ای پيکربندی گردد که دارای شناسه SSID مربوط به آن شبکه خاص باشد . در صورت مطابقت شناسه کامپيوتر سرويس گيرنده با شناسه شبکه ، امکان دستيابی به شبکه برای سرويس گيرنده فراهم می گردد .
کامپيوترهائی که دارای يک کارت بدون کابل بوده و مجوز لازم برای دستيابی به فرکانس شبکه بدون کابل به آنان اعطاء شده است ، می توانند از منابع موجود بر روی شبکه استفاده نمايند . برخی کامپيوترها ممکن است به صورت اتوماتيک شبکه های بدون کابل موجود در يک ناحيه را شناسائی نمايند . در برخی ديگر از کامپيوترها می بايست اطلاعاتی نظير SSID به صورت دستی تنظيم و پيکربندی لازم انجام شود . 
تهديدات امنيتی در ارتباط با شبکه های بدون کابل 
همانگونه که اشاره گرديد ، شبکه های بدون کابل برای ارتباط يک کامپيوتر با شبکه ( نظير استفاده از اينترنت ) از کابل استفاده نمی نمايند . همين موضوع می تواند شرايط مساعدی را برای برنامه ريزی و تدارک برخی حملات فراهم نمايد . مثلا" مهاجمانی که در محدوده يک شبکه بدون کابل می باشند ، می توانند با بکارگيری تجهيزاتی خاص ( نظير يک کامپيوتر مجهز به يک کارت بدون کابل و يک دستگاه GPS ) ، جستجو برای يافتن شبکه های بدون کابل و آگاهی از مختصات و موقعيت مکانی آنان را انجام دهند . پس از شناسائی شبکه و مولفه های حياتی آن، مهاجمان قادر به ره گيری ارتباط بين يک کامپيوتر و يک دستگاه ارتباطی خاص و استفاده غيرمجاز از اطلاعات خواهند بود .
پيشنهاداتی به منظور کاهش تهديدات امنيتی 

• <LI dir=rtl>تغيير رمزهای عبور پيش فرض : اکثر دستگاه های شبکه ( نظير دستگاه های Access ponit ) دارای تنظيمات از قبل تعريف شده ای می باشند که برای پيکربندی و تنظيم آسان آنان از رمزهای عبور پيش فرضی استفاده می شود . رمزهای عبور پيش فرض دارای شرايط مناسب حفاظتی نبوده و امکان تشخيص و يا حدس آنان توسط مهاجمان به سادگی وجود خواهد داشت . پيشنهاد می گردد که رمزهای عبور پيش فرض را تغيير داده و از رمزهای عبوری استفاده شود که امکان تشخيص آنان برای مهاجمان مشکل باشد . 
  <LI dir=rtl>اعمال محدوديت لازم به منظور دستيابی به شبکه : صرفا"به کاربران تائيد شده ، می بايست امکان استفاده از شبکه داده شود .هر يک از عناصر سخت افزاری متصل شده به شبکه ، از يک آدرس MAC استفاده می نمايند . با فيلترينگ آدرس های MAC ، می توان يک سطح حفاظتی مناسب به منظور دستيابی به شبکه را ايجاد نمود . در اين روش ، ليستی از آدرس های MAC مربوط به کامپيوترهای سرويس گيرنده، برای يک Access Point تعريف می گردد . بدين ترتيب ، صرفا" به کامپيوترهای فوق امکان دستيابی به شبکه داده خواهد شد . پس از ارسال يک درخواست توسط يکی از کامپيوترهای موجود در شبکه بدون کابل، آدرس MAC آن با آدرس MAC موجود در Access Point مقايسه می گردد و در صورت مطابقت آنان با يکديگر ، امکان دستيابی به شبکه برای وی فراهم می گردد . روش فيلترينگ مبتنی بر آدرس های MAC ، يک سطح حفاظتی مناسب را در شبکه ايجاد می نمايد ، ولی با توجه به اين که می بايست هر يک از آدرس های MAC را برای هر Access point تعريف نمود ، زمان زيادی صرف انجام تنظيمات مورد نظر خواهد شد . استفاده از روش فوق، صرفا" در شبکه های کوچک بدون کابل پيشنهاد می گردد . برای اعمال محدوديت لازم به منظور دستيابی به شبکه های بدون کابل و تائيد کاربران ، از تکنولوژی های متعددی استفاده می گردد .
  <LI dir=rtl>رمزنگاری اطلاعات : با استفاده از WEP ( اقتباس شده از Wired Equivalent Privacy ) و WPA ( اقتباس شده از Wi-Fi Protected Access ) ، می توان اطلاعات موجود در شبکه های بدون کابل را رمز نمود . WEP دارای مسائل امنيتی مختص به خود است که استفاده از آن را در مقايسه با WPA کمتر نموده است. پيشنهاد می گردد از تجهيزاتی که رمزنگاری مبتنی بر WPA را حمايت می نمايند، استفاده شود . رمزنگاری اطلاعات باعث پيشگيری از مشاهده اطلاعات موجود در يک شبکه توسط افراد غيرمجاز می گردد .
• حفاظت از SSID : به منظور پيشگيری از دستيابی افراد خارج از محدوده يک شبکه بدون کابل به منابع موجود بر روی شبکه ، می بايست به خوبی از SSID حفاظت گردد . در صورتی که امکان تغيير SSID وجود داشته باشد، از شناسه هائی استفاده نمائيد که امکان تشخيص و حدس آنان توسط مهاجمان مشکل باشد .

• نصب يک فايروال : با اين که نصب يک فايروال در شبکه ، اقدامی موثر در جهت حفاظت شبکه و منابع موجود بر روی آن می باشد ، می بايست يک فايروال ديگر را نيز مستقيما" بر روی دستگاه های بدون کابل نصب نمود ( يک فايروال host-based ) . بدين ترتيب يک لايه حفاظتی مناسب در ارتباط با داده های موجود برروی يک کامپيوتر ، ايجاد می گردد .

• استفاده و بهنگام نگه داشتن يک نرم افزار آنتی ويروس : با نصب و بهنگام نگه داشتن يک نرم افزار آنتی ويروس ، می توان درصد موفقيت مهاجمان به منظور تخريب اطلاعات را کاهش داد . برخی از برنامه های آنتی ويروس دارای امکانات و ويژگی های خاصی به منظور حفاظت در مقابل Spyware و تشخيص تروجان ها نيز می باشند

يک سيستم کامپيوتری از چهار عنصر : سخت افزار ، سيستم عامل ، برنامه های کاربردی و کاربران ، تشکيل می گردد. سخت افزار شامل حافظه ، دستگاههای ورودی ، خروجی و پردازشگر بوده که بعنوان منابع اصلی پردازش اطلاعات ، استفاده می گردند. برنامه های کاربردی شامل کمپايلرها ، سيستم های بانک اطلاعاتی ، برنامه های تجاری و بازرگانی ، بازی های کامپيوتری و موارد متنوع ديگری بوده که روش بخدمت گرفتن سخت افزار جهت نيل به اهداف از قبل تعريف شده را مشخص می نمايند. کاربران ، شا مل انسان ، ماشين و ديگر کامپيوترها می باشد . هر يک از کاربران سعی در حل مشکلات تعريف شده خود از طريق بکارگيری نرم افزارهای کاربردی در محيط سخت افزار می نمايند. سيستم عامل ، نحوه استفاده از سخت افزار را در ارتباط با برنامه های کاربردی متفاوتی که توسط کاربران گوناگون نوشته و اجراء می گردند ، کنترل و هدايت می نمايد. بمنظور بررسی امنيت در يک سيستم کامپيوتری ، می بايست به تشريح و تبين جايگاه هر يک از عناصر موجود در يک سيستم کامپيوتری پرداخته گردد.
در اين راستا ، قصد داريم به بررسی نقش عوامل انسانی دررابطه با امنيت اطلاعات پرداخته و جايگاه هر يک از مولفه های موجود را تبين و تشريح نما ئيم . اگر ما بهترين سيستم سخت افزاری و يا سيستم عامل را بخدمت بگيريم ولی کاربران و يا عوامل انسانی درگير در يک سيستم کامپوتری، پارامترهای امنيتی را رعايت ننمايند ، کاری را از پيش نخواهيم برد. وضعيت فوق مشابه اين است که شما بهترين اتومبيل با درجه بالای امنيت را طراحی و يا تهيه نمائيد ولی آن را در اختيار افرادی قرار دهيد که نسبت به اصول اوليه رانندگی توجيه نباشند ( عدم رعايت اصول ايمنی ) . 
ما می بايست به مقوله امنيت اطلاعات در عصر اطلاعات نه بصورت يک کالا و يا محصول بلکه بصورت يک فرآيند نگاه کرده و امنيت را در حد يک محصول خواه نرم افزاری و يا سخت افزاری تنزل ندهيم .هر يک از موارد فوق ، جايگاه خاص خود را با وزن مشخص شده ای دارند و نبايد به بهانه پرداختن به امنيت اطلاعات وزن يک پارامتر را بيش از آنچيزی که هست در نظر گرفت و پارامتر ديگری را ناديده گرفته و يا وزن غير قابل قبولی برای آن مشخص نمائيم . بهرحال ظهور و عرضه شگفت انگيز تکنولوژی های نو در عصر حاضر ، تهديدات خاص خود را نيز بدنبال خواهد داشت . ما چه کار می بايست بکنيم که از تکنولوژی ها استفاده مفيدی را داشته و در عين حال از تهديدات مستقيم و يا غير مستقيم آنان نيز مصون بمانيم ؟ قطعا" نقش عوامل انسانی که استقاده کنندگان مستقيم اين نوع تکنولوژی ها می باشند ، بسيار محسوس و مهم است . 
با گسترش اينترنت و استفاده از آن در ابعاد متفاوت ، سازمانها و موسسات با مسائل جديدی در رابطه با امنيت اطلاعات و تهاجم به شبکه های کامپيوتری مواجه می باشند. صرفنظر از موفقيت و يا عدم موفقيت مهاجمان و عليرغم آخرين اصلاحات انجام شده در رابطه با تکنولوژی های امنيتی ، عدم وجود دانش و اطلاعات لازم ( سواد عمومی ايمنی ) کاربران شبکه های کامپيوتری و استفاده کنندگان اطلاعات حساس در يک سازمان ، همواره بعنوان مهمترين تهديد امنيتی مطرح و عدم پايبندی و رعايت اصول امنيتی تدوين شده ، می تواند زمينه ايجاد پتانسيل هائی شود که توسط مهاجمين استفاده و باعث بروز مشکل در سازمان گردد. مهاجمان همواره بدنبال چنين فرصت هائی بوده تا با اتکاء به آنان به اهداف خود نائل گردند. در برخی حالات اشتباه ما زمينه موفقيت ديگران! را فراهم می نمايد . اگر سعی نمائيم بر اساس يک روش مناسب درصد بروز اشتباهات خود را کاهش دهيم به همان نسبت نيز شانس موفقيت مهاجمان کاهش پيدا خواهد کرد.
مديران شبکه ( سيستم ) ، مديران سازمان و کاربران معمولی جملگی عوامل انسانی در يک سازمان می باشند که حرکت و يا حرکات اشتباه هر يک می تواند پيامدهای منفی در ارتباط با امنيت اطلاعات را بدنبال داشته باشد . در ادامه به بررسی اشتباهات متداولی خواهيم پرداخت که می تواند توسط سه گروه ياد شده انجام و زمينه بروز يک مشکل امنيتی در رابطه با اطلاعات حساس در يک سازمان را باعث گردد. 

اشتباهات متداول مديران سيستم 
مديران سيستم ، به افرادی اطلاق می گردد که مسئوليت نگهداری و نظارت بر عملکرد صحيح و عملياتی سيستم ها و شبکه موجود در يک سازمان را برعهده دارند.در اغلب سازمانها افراد فوق ، مسئوليت امنيت دستگاهها ، ايمن سازی شبکه و تشخيص ضعف های امنيـتی موجود در رابطه با اطلاعات حساس را نيز برعهده دارند. بديهی است واگذاری مسئوليت های متعدد به يک فرد، افزايش تعداد خطاء و اشتباه را بدنبال خواهد داشت . فشار عصبی در زمان انجام کار مستمر بر روی چندين موضوع متفاوت و بصورت همزمان ، قطعا" احتمال بروز اشتباهات فردی را افزايش خواهد داد. در ادامه با برخی از خطاهای متداولی که ممکن است توسط مديران سيستم انجام و سازمان مربوطه را با تهديد امنيتی مواجه سازد ، آشنا خواهيم شد.
مورديک : عدم وجود يک سياست امنيتی شخصی 
اکثر قريب به اتفاق مديران سيستم دارای يک سياست امنيتی شخصی بمنظور انجام فعاليت های مهمی نظير امنيت فيزيکی سيستم ها ، روش های بهنگام سازی يک نرم افزار و روشی بمنظور بکارگيری patch های جديد در زمان مربوطه نمی باشند .حتی شرکت های بزرگ و شناخته شده به اين موضوع اذعان دارند که برخی از سيستم های آنان با همان سرعت که يک باگ و يا اشکال تشخيص و شناسائی می گردد ، توسط patch مربوطه اصلاح نشده است .در برخی حالات ، مديران سيستم حتی نسبت به آخرين نقاط آسيب پذيرتشخيیص داده شده نيز آگاهی بهنگام شده ای را نداشته و قطعا" در چنين مواردی انتظار نصب patch مربوطه نيز توقعی بی مورد است . وجود نقاط آسيب پذير در شبکه می تواند يک سازمان را در معرض تهديدات جدی قرار دهد . امنيت فرآيندی است که می بايست بصورت مستمر به آن پرداخته شود و هرگز به اتمام نمی رسد.در اين راستا لازم است، بصورت مستمرنسبت به آخرين حملات بهمراه تکنولوژی ها ی مربوطه ، آگاهی لازم کسب و دانش خود را بهنگام نمائيم .اکثر مديران سيستم ، کارشناسان حرفه ای و خبره امنيتی نمی باشند ، در اين رابطه لازم است ، بمنظور افزايش حفاظت و ايمن سازی شبکه ، اطلاعات و دانش مربوطه بصورت مستمر ارتقاء يايد .افراديکه دارای گواهينامه های خاصی امنيتی و يا دانش و اطلاعات اضافه در رابطه با امنيت اطلاعات می باشند ، همواره يک قدم از کسانی مهارت آنان صرفا" محدود به شبکه است ، جلوتر می باشند . در ادامه ، پيشنهاداتی بمنظور بهبود وضعيت امنيتی سازمان و افزايش و ارتقاء سطح معلومات مديران سيستم ، ارائه می گردد : 

• <LI dir=rtl> بصورت فيزيکی محل کار و سيستم خود را ايمن سازيد .زمينه استفاده از سيستم توسط افراديکه در محدوده کاری شما فعاليت دارند ، می بايست کاملا" کنترل شده و تحت نظارت باشد . 
  <LI dir=rtl>هر مرتبه که سيستم خود را ترک می کنيد ، عمليات logout را فراموش نکنيد .در اين رابطه می توان يک زمان time out را تنظيم تا در صورت فراموش نمودن عمليات logout ، سيستم قادر به حفاظت خود گردد.
  <LI dir=rtl>خود را عضو خبرنامه ها ی متفاوت امنيتی کرده تا شما را با آخرين نقاط آسيب پذير آشنا نمايند. درحقيقت آنان چشم شما در اين معرکه خواهند بود( استفاده مفيد از تجارب ديگران ) .
  <LI dir=rtl>سعی گردد بصورت مستمر از سايت های مرتبط با مسائل امنيتی ديدن تا درزمان مناسب با پيام های هشداردهنده امنيتی در رابطه با نرم افزارهای خارج از رده و يا نرم افزارهای غير اصلاح شده ( unpatched ) آشنا گرديد. 
  <LI dir=rtl>مطالعه آخرين مقالات مرتبط با مسائل امنيتی يکی از مراحل ضروری و مهم در فرآيند خود آموزشی ( فراگيری ) مديران شبکه است . بدين ترتيب اين اطمينان بوجود خواهد آمد که مدير مربوطه نسبت به آخرين اطلاعات و مسائل مربوطه امنيتی در کميته های موجود ، توجيه است .
• استفاده از ياداشت ها و مقالات در ارتباط با هر نوع اطلاعات حساس نظير رمزهای عبور وI هر چيزی که ممکن است زمينه ساز ايجاد يک پتانسيل آسيب پذير و دستيابی به سيستم مطرح گردد را محدود نمائيد. در صورتيکه از اين نوع اطلاعات استفاده می شود، قبل ازترک محل کار ، آنها را از بين ببريد. افراديکه دارای سوء نيت بوده در محدوده کاری شما می باشند ، می توانند ازمزايای ضعف های شناخته شده استفاده نمايند، بنابراين ضروری است استفاده از چنين ياداشت هائی محدود و يا بصورت کامل حذف گردد .

مورد دو : اتصال سيستم های فاقد پيکربندی مناسب به اينترنت 
همزمان با گسترش نيازهای سازمان، سيستم ها و سرويس دهندگان جديدی بر اساس يک روال معمول به اينترنت متصل می گردند. قطعا" توسعه سيستم با هدف افزايش بهره وری در يک سازمان دنبال خواهد شد.اکثر اينچنين سيستمهائی بدون تنظيمات امنيتی خاص به اينترنت متصل شده و می تواند زمينه بروز آسيب و حملات اطلاعاتی توسط مهاجمان را باعث گردد ( در بازه زمانی که سيستم از لحاظ امنيتی بدرستی مميزی نشده باشد ، اين امر امکان پذير خواهد بود).
مديران سيستم ممکن است به اين موضوع استناد نمايند که سيستم جديد بوده و هنوز کسی آن را نمی شناسد و آدرس IP آن شناخته شده نيست ، بنابراين امکان شناسائی و حمله به آن وجود نخواهد داشت .طرز فکر فوق ، يک تهديد برای هر سازمان بشمار می رود . افراد و يا اسکريپت های پويش اتوماتيک در اينترنت ، بسرعت عمليات يافتن و تخريب اين نوع سيستم های آسيب پذير را دنبال می نمايند. در اين راستا ، شرکت هائی خاصی وجود دارد که موضوع فعاليت آنان شبکه بوده و برای تست سيستم های توليدی خود بدنبال سيستم های ضعيف و آسيب پذير می گردند.( سيستم آسيب پذير ما ابزار تست ديگران خواهد شد). بهرحال همواره ممکن است افرادی بصورت مخفيانه شبکه سازمان شما را پويش تا در صورت وجود يک نقطه آسيب پذير، از آن برای اهداف خود استفاده نمايند. لازم است در اين راستا تهديدات و خطرات را جدی گرفته و پيگری لازم در اين خصوص انجام شود. در اين رابطه موارد زير پيشنهاد می گردد : 

• <LI dir=rtl>قبل از اتصال فيزيکی يک کامپيوتر به شبکه ، مجوز امنيتی لازم با توجه به سياست های تدوين شده امنيتی برای آن صادر گردد ( بررسی سيستم و صدور مجوز اتصال ) 
  <LI dir=rtl>کامپيوتر مورد نظر می بايست شامل آخرين نرم افزارهای امنيتی لازم بوده و از پيکربندی صحيح آنان می بايست مطمئن گرديد.
  <LI dir=rtl>در صورتيکه لازم است بر روی سيستم مورد نظر تست های شبکه ای خاصی صورت پذيرد ، سعی گردد امکان دستيابی به سيستم فوق از طريق اينترنت در زمان تست ، بلاک گردد. 
  <LI dir=rtl>سيستمی را که قصد اتصال آن به اينترنت وجود دارد ، نمی بايست شامل اطلاعات حساس سازمان باشد.
• سيستم مورد نظر را تحت برنامه های موسوم به Intrusion Detection System قرار داده تا نرم افزارهای فوق بسرعت نقاط آسيب پذير و ضعف های امنيتی را شناسائی نمايند.

مورد سه : اعتماد بيش از اندازه به ابزارها 
برنامه های پويش و بررسی نقاط آسيب پذير،اغلب بمنظور اخذ اطلاعات در رابطه وضعيت جاری امنيتی شبکه استفاده می گردد . پويشگرهای تشخيص نقاط آسيب پذير ، اطلاعات مفيدی را در ارتباط با امنيت سيستم نظير : مجوزهای فايل ، سياستهای رمز عبور و ساير مسائل موجود، ارائه می نمايند . بعبارت ديگر پويشگران نقاط آسيب پذير شبکه ، امکان نگرش از ديد يک مهاجم را به مديريت شبکه خواهند داد. پويشگرها ی فوق ، عموما" نيمی از مسائل امنيتی مرتبط را به سيستم واگذار نموده و نمی توان به تمامی نتايج بدست آمده توسط آنان بسنده و محور عمليات خود را بر اساس يافته های آنان قرار دهيم . در اين رابطه لازم است متناسب با نوع سيستم عامل نصب شده بر روی سيستم ها از پويشگران متعدد و مختص سيستم عامل مربوطه استفاده گردد( اخذ نتايج مطلوبتر) . بهرحال استفاده از اين نوع نرم افزارها قطعا" باعث شناسائی سريع نقاط آسيب پذير و صرفه جوئی زمان می گردد ولی نمی بايست اين تصور وجود داشته باشد که استفاده از آنان بمنزله يک راه حل جامع امنيتی است . تاکيد صرف بر نتايج بدست آمده توسط آنان ، می تواند نتايج نامطلوب امنيتی را بدنبال داشته باشد . در برخی موارد ممکن است لازم باشد ، بمنظور تشخيص نقاط آسيب پذير يک سيستم ،عمليات دستی انجام و يا حتی تاسکريپت های خاصی در اين رابطه نوشته گردد .
مورد چهار : عدم مشاهده لاگ ها ( Logs ) 
مشاهده لاگ های سيستم، يکی از مراحل ضروری در تشخيص مستمر و يا قريب الوقوع تهديدات است . لاگ ها، امکان شناسائی نقاط آسيب پذير متداول و حملات مربوطه را فراهم می نمايند. بنابراين می توان تمامی سيستم را بررسی و آن را در مقابل حملات مشخص شده ، مجهز و ايمن نمود. در صورت بروز يک تهاجم ، با استفاده از لاگ های سيستم ، تسهيلات لازم بمنظور رديابی مهاجمان فراهم می گردد.( البته بشرطی که آنان اصلاح نشده باشند ) . لاگ ها را بصورت ادواری بررسی و آنها را در يک مکان ايمن ذخيره نمائيد. 
مورد پنج : اجرای سرويس ها و يا اسکريپت های اضافه و غير ضروری 
استفاده از منابع و شبکه سازمان ، بعنوان يک زمين بازی شخصی برای تست اسکريپت ها و سرويس های متفاوت ، يکی ديگر از اشتباهات متداولی است که توسط اکثريت قريب به اتفاق مديران سيستم انجام می شود . داشتن اينچنين اسکريپت ها و سرويس های اضافه ای که بر روی سيستم اجراء می گردند ، باعث ايجاد مجموعه ای از پتانسيل ها و نفاط ورود جديد برای يک مهاجم می گردد ( در صورتيکه سرويس های اضافه و يا اسکريپت ها بر روی سرويس دهنده اصلی نصب و تست گردند ، مشکلات می تواند مضاعف گردد ). در صورت نياز به تست اسکريپت ها و يا اجرای سرويس های اضافه ، می بايست عمليات مورد نظر خود را از طريق يک کامپيوتر ايزوله شده انجام داد (هرگز از کامپيوتری که به شبکه متصل است در اين راستا استفاده نگردد ) . 
اشتباهات متداول مديران سازمان ها 
مديران سازمان، به افرادی اطلاق می گردد که مسئوليت مديريت ، هدايت و توسعه سازمان را بر عهده داشته و با منابع متفاوت موجود در سازمان نظير بودجه ، سروکار دارند. امروزه استفاده از اينترنت توسط سازمان ها و موسسات ، مزايای متعددی را بدنبال دارد. واژه " تجارت الکترونيکی" بسيار متداول و استراتژی تجارت الکترونيکی ، از جمله مواردی است که در هر برنامه ريزی تجاری به آن توجه خاص می گردد. در صورتيکه سازمان ها و موسسات دارای يک استراتژی امنيتی مشخص شده ای نباشند ، اتصال به شبکه جهانی تهديدی در ارتباط با اطلاعات حساس خواهد بود. در ادامه به برخی از اشتباهات متداول که از ناحيه مديران سازمان بروز و تاثير منفی در ارتباط با امنيت اطلاعات در سازمان را بدنبال خواهد داشت ، اشاره می گردد :
مورد يک : استخدام کارشناسان آموزش نديده و غيرخبره 
بدون ترديد ، کارشناسان آموزش ديده و خبره ، يکی از منابع ارزشمند درهر سازمان محسوب می گردند. همواره می بايست از کارشناسان ورزيده در ارتباط با امنيت در يک سازمان استفاده گردد. فرصت سعی و خطاء نيست و ممکن است در اين محدوده زمانی چيزی را که يک سازمان از دست می دهد بمراتب بيشتر از چيزی است که می خواهد بدست آورد. امنيت اطلاعات از جمله مقولاتی است که برای يک سازمان دارای جايگاهی است و همواره می بايست بهترين تصميم دررابطه با استفاده از منابع انسانی ماهر ، اتخاذ گردد. استفاده از يک کارشناس غير ماهر در امور امنيت اطلاعات و شبکه در يک سازمان ، خود تهديدی امنيتی است که بر ساير تهديدات موجود اضافه خواهد شد . ( ما نمی توانيم مسئوليت پياده سازی استراتژی امنيتی در سازمان را به افرادی واگذار نمائيم که در اين رابطه اطلاعات و دانش لازم را ندارند ) .
مورد دوم : فقدان آگاهی لازم در رابطه با تاثير يک ضعف امنيتی بر عملکرد سازمان 
بسياری از مديران سازمان بر اين باور می باشند که " اين مسئله برای ما اتفاق نخواهد افتاد " و بر همين اساس و طرز فکر به مقوله امنيت نگاه می نمايند . بديهی است در صورت بروز مشکل در سازمان ، امکان عکس العمل مناسب در مقابل خطرات و تهديدات احتمالی وجود نخواهد داشت . اين مسئله می تواند بدليل عدم آشنائی با ابعاد و اثرات يک ضعف امنيتی در سازمان باشد . در اين رابطه لازم است به اين نکته اشاره گردد که همواره مشکل برای ديگران بوجود نمی آيد و ما نيز در معرض مشکلات فراوانی قرار خواهيم داشت .بنابراين لازم است همواره و بصورت مستمر مديران سازمان نسبت به اثرات احتمالی يک ضعف امنيتی توجيه و دانش لازم در اختيار آنان قرار گيرد . در صورت بروز يک مشکل امنيتی در سازمان ، مسئله بوجود آمده محدود به خود سازمان نشده و می تواند اثرات منفی متعددی در ارتباط با ادامه فعاليت سازمان را بدنبال داشته باشد. در عصر اطلاعات و دنيای شديد رقابت ، کافی است سازمانی لحظاتی آنچيزی باشد که نمی بايست باشد ، همين امر کافی است که تلاش چندين ساله يک سازمان هرز و در برخی حالات فرصت جبران آن نيز وجود نخواهد داشت . 

• <LI dir=rtl>تاثير منفی بر ساير فعاليت های تجاری online سازمان <LI dir=rtl>عاملی برای توزيع اطلاعات غير مفيد و غير قابل استفاده در يک چرخه تجاری <LI dir=rtl>عرضه اطلاعات حساس مشتريان به يک مهاجم و بمخاطره افتادن اطلاعات خصوصی مشتريان
• آسيب جدی وجهه سازمان و بدنبال آن از دست دادن مشتريان و همکاران تجاری

مورد سوم : عدم تخصيص بودجه مناسب برای پرداختن به امنيت اطلاعات 
مجاب نمودن يک مدير سازمان مبنی بر اختصاص بودجه مناسب برای پرداختن به مقوله امنيت اطلاعات در سازمان از حمله مواردی است که چالش های خاص خود را خواهد داشت .مديران، تمايل دارند بودجه را به حداقل مقدار خود برسانند، چراکه آنان يا اطلاعات محدودی در رابطه با تاثير وجود ضعف های امنيتی در عملکرد سازمان را دارند و يا در برخی حالات بودجه ، آنان را برای اتخاذ تصميم مناسب محدود می نمايد.اينترنت يک شبکه جهانی است که فرصت های جذاب و نامحدود تجاری را برای هر بنگاه تجاری فراهم می نمايد، با رعايت امنيت اطلاعات و حفا ظت مناسب از داده های حساس ،امکان استفاده از فرصت های تجاری بيشتری برای يک سازمان فراهم خواهد شد. با اختصاص يک بودجه مناسب برای پرداختن و بهاء دادن به مقوله امنيت اطلاعات در يک سازمان ، پيشگيری های لازم انجام ودر صورت بروز مسائل بحرانی ، امکان تشخيص سريع آنان و انجام واکنش های مناسب فراهم می گردد . بعبارت ديگر با در نظر گرفتن بودجه مناسب برای ايمن سازی سازمان ، بستر مناسب برای حفاظت سيستم ها و داده های حساس در يک سازمان فراهم خواهد شد . قطعا" توليد و عرضه سريع اطلاعات در سازمان های مدرن و مبتنی بر اطلاعات ، يکی از مهمترين شاخص های رشد در عصر حاضر بوده و هر آنچيزی که می تواند خللی در فرآيند فوق ايجاد نمايد ، باعث توقف و گاها" برگشت به عقب يک سازمان ، می گردد.
مورد چهارم : اتکاء کامل به ابزارها و محصولات تجاری
اگر از يک سازمان سوال شود که چگونه خود را در مقابل حملات حفاظت نموده ايد ؟ اغلب آنان در پاسخ خواهند گفت :" ما از يک فايروال شناخته شده و يک برنامه ويروس ياب بر روی سرويس دهنده استفاده می کنيم ، بنابراين ما در مقابل حملات ايمن خواهيم بود " . توجه داشته باشيد که امنيت يک فرآيند است نه يک محصول که با خريداری آن خيال خود را در ارتباط با امنيت راحت نمائيم . مديران سازمان لازم است شناخت مناسب و اوليه ای از پتانسل های عمومی يک فايروال و يا برنامه های ويروس ياب داشته باشند ( قادر به انجام چه کاری می باشند و چه کاری را نمی توانند انجام دهند. مثلا" اگر ويروس جديدی نوشته و در شبکه توزيع گردد ، برنامه های ويروس ياب موجود قادر به تشخيص و برخورد با آن نخواهند بود.اين نوع برنامه ها صرفا" پس از مطرح شدن يک ويروس و آناليز نحوه عملکرد آن می بايست بهنگام شده تا بتوانند در صورت بروز وضعيتی مشابه با آن برخورد نمايند) . ابزارهائی همچون فايروال و يا برنامه های ويروس ياب ، بخشی از فرآيند مربوط به ايمن سازی اطلاعات حساس در يک سازمان بوده و با بکارگيری آنان نمی توان اين ادعا را داشت که آنان سازمان را بطور کامل در مقابل تهاجمات ، حفاظت خواهند نمود . 
مورد پنجم : يک مرتبه سرمايه گذاری در ارتباط با امنيت 
امنيت مفهمومی فراگير و گسترده بوده که نيازمند هماهنگی و سرمايه گذاری در دو بعد تکنولوژی و آموزش است. هر روز ما شاهد ظهور تکنولوژی های جديدی می باشيم . ما نمی توانيم در مواجهه با يک تکنولوژی جديد بصورت انفعالی برخورد و يا عنوان نمائيم که ضرورتی به استفاده از اين تکنولوژی خاص را نداريم . بکارگيری تکنولوژی عملا" صرفه جوئی در زمان و سرمايه مادی را بدنبال داشته و اين امر باعث ارائه سرويس های مطلوبتر و ارزانتر به مشتريان خواهد شد. موضوع فوق هم از جنبه يک سازمان حائز اهميت است و هم از نظر مشتريان ، چراکه ارائه سرويس مطلوب با قيمت تمام شده مناسب يکی از مهمترين اهداف هر بنگاه تجاری محسوب شده و مشتريان نيز همواره بدنبال استفاده از سرويس ها و خدمات با کيفيت و قيمت مناسب می باشند. استفاده از تکنولوژی های جديد و سرويس های مرتبط با آنان،همواره تهديدات خاص خود را بدنبال خواهد داشت . بنابراين لازم است به اين موضوع توجه شود که امنيت يک سرمايه گذاری پيوسته را طلب می نمايد، چراکه با بخدمت گرفتن تکنولوژی ها ی نو بمنظور افزايش بهره وری در يک سازمان ، زمينه پرداختن به امنيت می بايست مجددا" و در ارتباط با تکنولوژی مربوطه بررسی و در صورت لزوم سرمايه گذاری لازم در ارتباط با آن صورت پذيرد . تفکر اينکه، امنيت يک نوع سرمايه گذاری يکبار مصرف است ، می تواند از يکطرف سازمان را در استفاده از تکنولوژی ها ی نو با ترديد مواجه سازد و از طرف ديگر با توجه به نگرش به مقوله امنيت ( يکبار مصرف ) ، بهاء لازم به آن داده نشده و شروع مناسبی برای پياده سازی يک سيستم امنيتی و حفاظتی مناسب را نداشته باشيم . 
اشتباهات متداول کاربران معمولی 
کاربران ، به افرادی اطلاق می گردد که طی روز با داده ها ی حساس در يک سازمان سروکار داشته و تصميمات و فعاليت های آنان، داده ها ی حساس و مقوله امنيت و حفاظت از اطلاعات را تحت تاثير مستقيم قرار خواهد داد. در ادامه با برخی از اشتباهات متداولی که اين نوع استفاده کنندگان از سيستم و شبکه مرتکب می شوند ، اشاره می گردد.
مورد يک : تخطی از سياست امنينی سازمان 
سياست امنيتی سازمان ، اعلاميه ای است که بصورت جامع ، مسئوليت هر يک از پرسنل سازمان ( افراديکه به اطلاعات و سيستم های حساس در سازمان دستيابی دارند ) در ارتباط با امنيت اطلاعات و شبکه را تعريف و مشخص می نمايد. سند و يا اعلاميه مورد نظر ، بعنوان بخش لاينفک در هر مدل امنيتی بکارگرفته شده در سازمان محسوب می گردد.هدف عمده اعلاميه فوق ، ارائه روشی آسان بمنظور شناخت و درک ساده نحوه حفاظت سيستم های سازمان در زمان استفاده است . کاربران معمولی ، عموما" تمايل به تخطی از سياست های تدوين شده امنيتی در يک سازمان را داشته و اين موضوع می تواند عاملی مهم برای تحت تاثير قراردادن سيستم های حساس و اطلاعات مهم سازمان در مواجهه با يک تهديد باشد. پيامد اين نوع عمليات ، بروز اشکال و خرابی در رابطه با اطلاعات ارزشمند در يک سازمان خواهد بود.بهمين دليل است که اکيدا" توصيه می گردد که اطلاعات لازم در رابطه با نقش کاربران در تبعيت از سياست های امنيتی در سازمان به آنان يادآوری و بر آن تاکيد گردد . 
مورد دوم : ارسال داده حساس بر روی کامپيوترهای منزل
يکی از خطرناکترين روش ها در رابطه با داده های حساس موجود در يک سازمان ، فعاليتی است که باعث غير فعال شدن تمامی پيشگيری های امنيتی ايجادشده و در گير شدن آنان در يک فرآيند غير امنيتی می گردد . پرسنل سازمان عادت دارند،اطلاعات حساس سازمان را بر روی کامپيوتر منزل خود فوروارد ( ارسال ) نمايند . در حقيقت کاربران تمايل به فوروارد نمودن يک پروژه ناتمام و يا برنامه ريزی تجاری به کامپيوتر منازل خود را داشته تا از اين طريق امکان اتمام کار خود در منزل را پيدا نمايند. کاربران به اين موضوع توجه نکرده اند که تغيير محيط ايمن سازمان با کامپيوتر منزل خود که دارای ايمنی بمراتب کمتری است ، بطور جدی اطلاعات را در معرض آسيب و تهاجم قرار خواهد داد . در صورتيکه ضروری است که اطلاعات را به کامپيوترهای منزل فوروارد نمود ، يک سطح مناسب ايمنی می بايست وجود داشته باشد تا اين اطمينان بوجود آيد که نوت بوک ها و يا کامپيوترهای منازل در مقابل مهاجمين اطلاعاتی حفاظت شده و ايمن می باشند.
مورد سوم : ياداشت داده های حساس و ذخيره غيرايمن آنان 
ايجاد و نگهداری رمزهای عبور قدرتمند ، فرآيندی مستمر است که همواره می بايست مورد توجه قرار گيرد. کاربران همواره از اين موضوع نفرت دارند که رمزعبورهائی را ايجاد نمايند که قادر به بخاطرآوردن آن نمی باشند. سياست امنيتی تدوين شده سازمان می بايست تعيين نمايد که يک رمز عبور چگونه می بايست ايجاد و نگهداری گردد. بخاطر سپردن چنين رمزعبوری همواره مسائل خاص خود را خواهد داشت . بمنظور حل اينچنين مشکلی ، کاربران تمايل دارند که ياداشت های مخفی را نوشته و آنها را زير صفحه کليد ، کيف جيبی و يا هر مکان ديگر در محل کار خود نگهداری نمايند. ياداشت ها ی فوق ، شامل اطلاعات حساس در ارتباط با داده های مربوط به رمزعبور و ساير موارد مرتبط است .استفاده از روشهای فوق برای نگهداری اطلاعات ، يک تخطی امنيتی است .دراين راستا لازم است ،کاربران توجيه و به آنان آگاهی لازم داده شود که با عدم رعايت موارد مشخص شده امنيتی ،پتانسيل های لازم بمنظور بروز مشکل در سيستم افزايش خواهد يافت . لازم است به کاربران ، روش ها و تکنيک های متفاوت بخاطر سپردن رمز عبور آموزش داده شود تا زمينه استفاده کاربران از ياداشت برای ثبت اينگونه اطلاعات حساس کاهش يابد . سناريوی های متفاوت برای آنان تشريح و گفته شود که يک مهاجم با استفاده از چه روش هائی ممکن است به اطلاعات ثبت شده در ياداشت ها ، دست پيدا نموده و زمينه بروز مشکل را فراهم نمايد. 
مورد چهارم : دريافت فايل از سايت های غير مطمئن 
يکی از سرويس های اينترنت امکان دريافت فايل توسط کاربران است . کاربران بمنظور دريافت فايل از اينترنت ، اغلب از امتيازات خود تعدی و حتی سياست ها ی موجود در سازمان را در معرض مخاطره و آسيب قرار می دهند . دريافت فايل از وب سايت های گمنام و يا غير مطمئن باعث کمک در توزيع برنامه های مهاجم در اينترنت می گردد. بدين ترتيب ما بعنوان ابزاری برای توزيع يک برنامه مخرب در اينترنت تبديل خواهيم شد. فايل ها و برنامه های دريافتی پس از آلودگی به نوع خاصی از برنامه مخرب ( ويروس ، کرم ، اسب تراوا ) ، می تواند تاثيرات منفی فراوانی را در ارتباط با عملکرد يک سازمان بدنبال داشته باشد .کاربران می بايست بندرت فايل هائی را از اينترنت دريافت در موارديکه ضرورت اين کار حس و به برنامه ای خاص نياز باشد ، اکيدا" توصيه می گردد که موضوع با دپارتمان IT ( يا ساير بخش های مسئول در سازمان ) درميان گذاشته شود تا آنان بر اساس تجربه و دانش خود ، اقدام به تهيه برنامه مورد نظر از منابع مطمئن نمايند .
مورد پنجم : عدم رعايت امنيت فيزيکی 
ميزان آگاهی و دانش کاربران در رابطه با رعايت مسائل ايمنی خصوصا" امنيت فيزيکی ، بطرز کاملا" محسوسی افزايش امنيت و حفاظت داده ها ی حساس در يک سازمان را بدنبال خواهد داشت . عموما" ، رفتار کاربران در زمان استفاده از ايستگاه های کاری سازمان سهل انگارانه و فاقد سوادعمومی ايمنی است . کاربران ، اغلب ايستگاههای کاری خود را بدون در نظر گرفتن امنيت فيزيکی رها و screensaver آنان ، بندرت دارای رمز عبور بوده و می تواند باعث بروزمسائل متعددی گردد. به کاربران می بايست آموزش های لازم در رابطه با استراتژی های متفاوت بمنظور استفاده از سيستم های سازمان داده شود : مطمئن شويد آنها قادرند بدرستی با اطلاعات حساس در سازمان برخورد نمايند و همواره پيامدهای عدم رعايت امنيت فيزيکی به آنان يادآوری گردد.
خلاصه 
در اين مقاله به بررسی اهم اشتباهات متداول که ممکن است از جانب عوامل انسانی در يک سيستم کامپيوتری بروز نمايد ، اشاره و گفتته شد که عدم رعايت مسائل مربوطه می تواند زمينه بروز مشکلات متعدد ايمنی در سازمان را بدنبال داشته باشد . موارداعلام شده را جدی گرفته و در صورت ضرورت مدل امنيتی جاری را بازسازی نمائيد . به کاربران ، مديران شبکه و حتی مديران سازمان آموزش های لازم داده شود تا سطح آگاهی و اطلاعات آنان دررابطه با امنيت افزايش يابد( جملگی می بايست دارای يک سطح مناسب از سوادعمومی در ارتباط با امنيت اطلاعات باشيم ). تداوم عمليات يک سازمان در عصر حاضر ارتباط مستقيم به رعايت مسائل ايمنی توسط عوامل انسانی آن سازمان دارد

اصول امنيت برنامه های وب ( بخش اول )
اينترنت و به دنبال آن وب ، دنيای نرم افزار را دستخوش تحولات فراوانی نموده است . ظهور نسل جديدی از برنامه های كامپيوتری موسوم به "برنامه های وب " از جمله اين تحولات عظيم است . پس از ارائه سرويس وب در سال 1991، وب سايت های متعددی ايجاد گرديد . اينگونه سايت ها به منظور ارائه اطلاعات به مخاطبان خود از صفحات وب ايستا استفاده می كردند . در چنين وب سايت هائی ، امكان تعامل كاربر با برنامه وجود نداشت .
با توجه به اين كه رويكرد فوق با ماهيت و يا روح نرم افزار چندان سازگار نمی باشد ، تلاش های گسترده ای در جهت ايجاد محتويات پويا انجام و متعاقب آن ، فن آوری های متعددی ايجاد گرديد . به عنوان نمونه ، با پياده سازی فن آوری CGI ( برگرفته از Common Gateway Interface ) ، امكان استفاده از برنامه های خارجی به منظور توليد محتويات پويا فراهم گرديد . بدين ترتيب ، كاربران قادر به درج اطلاعات و ارسال آنها برای يك برنامه خارجی و يا اسكريپت سمت سرويس دهنده شدند . برنامه موجود در سمت سرويس دهنده پس از دريافت اطلاعات و انجام پردازش های تعريف شده ، نتايج را توليد و آنها را برای كاربر ارسال می نمود .
رويكرد فوق ،‌ به عنوان نقطه عطفی در برنامه های وب تلقی می گردد چراكه برای اولين مرتبه امكان توليد محتويات پويا در وب سايت ها فراهم گرديد . از آن زمان تاكنون فن آوری های متعددی به منظور توليد برنامه های وب ايجاد شده است . PHP و ASP.NET نمونه هائی در اين زمينه می باشند . صرفنظر از اين كه از كدام فن آوری به منظور ايجاد برنامه های وب استفاده می گردد ، ايمن سازی آنان از جمله اهداف مشترك تمامی پياده كنندگان است .
امنيت برنامه های‌ وب و برداشت های اوليه 
زمانی كه در رابطه با امنيت برنامه های وب سخن به ميان می آيد ، تهاجم عليه يك سايت ،‌ سرقت كارت های اعتباری ، بمباران وب سايت ها در جهت مستاصل كردن آنان به منظور ارائه خدمات و سرويس های تعريف شده ، ويروس ها ، تروجان ها ، كرم ها و ... در ذهن تداعی می گردد . صرفنظر از نوع برداشت ما در رابطه با موارد فوق ،‌ می بايست بپذيريم كه تهديدات امنيتی متعددی متوجه برنامه های وب با توجه به ماهيت آنان می باشد . سازمان ها و يا موسساتی كه از اينگونه برنامه ها استفاده می نمايند و يا در صدد طراحی و پياده سازی آنان می باشند ، می بايست به اين نكته مهم توجه نمايند كه ايمن سازی يك برنامه وب ، محدود به بكارگيری يك فن آوری خاص نبوده و فرآيندی است مستمر كه عوامل انسانی و غيرانسانی متعددی می توانند بر روی آن تاثيرگذار باشند . 

برداشت های غيرواقعی از امنيت برنامه های وب 
متاسفانه به دليل عدم شناخت لازم در خصوص ماهيت برنامه های وب از يك طرف و از سوی ديگر عدم آشنائی لازم با مفاهيم امنيت ،‌ شاهد برداشت های نادرست در خصوص امنيت برنامه های وب می باشيم . اجازه دهيد به چند نمونه در اين خصوص اشاره نمائيم : 

• <LI dir=rtl>ما ايمن هستيم چون از يك فايروال استفاده می نمائيم . اين تصور كاملا" اشتباه است و به نوع تهديد بستگی خواهد داشت . مثلا" يك فايروال قادر به تشخيص داده ورودی مخرب جهت ارسال به يك برنامه وب نمی باشد . فايروال ها دارای عملكردی قابل قبول در رابطه با اعمال محدوديت بر روی پورت ها می باشند و برخی از آنان می توانند همزمان با بررسی اطلاعات مبادله شده ،‌ امكانات برجسته حفاظتی را ارائه نمايند . فايروال ها جزء لاينفك در يك فريمورك امنيتی می باشند ولی نمی توان آنان را به عنوان يك راهكار جامع به منظور ايجاد و برپائی يك محيط ايمن در نظر گرفت . 
  <LI dir=rtl>ما ايمن هستيم چون از SSL ( برگرفته ازSecure Sokets Layer ) استفاده می نمائيم . SSL برای رمزنگاری ترافيك موجود بر روی شبكه يك گزينه ايده آل است ولی قادر به بررسی داده ورودی يك برنامه نمی باشد .
• ما ايمن هستيم چون از سيستم عاملی استفاده می نمائيم كه نسبت به ساير سيستم های عامل دارای امنيت بيشتری است . استدلال فوق با فرض درست بودن اصل قضيه ، نادرست و غيرمنطقی است چراكه امنيت يك فرآيند است نه يك محصول . بنابراين با بكارگيری يك محصول خاص ( به عنوان نمونه يك سيستم عامل ) نمی توان اين ادعا را داشت كه ما به يك محيط ايمن به منظور ايجاد برنامه های وب دست يافته ايم .

امنيت چيست ؟ 
اولين رسالت امنيت ، حفاظت از سرمايه های يك سازمان است كه ممكن است شامل آيتم های ملموسی نظير يك صفحه وب و يا بانك اطلاعاتی مشتريان و يا آيتم های غيرملموسی نظير شهرت و اعتبار يك سازمان باشد. امنيت يك مسير است نه يك مقصد و به موازات تجزيه و تحليل زيرساخت و برنامه های موجود ، می بايست اقدام به شناسائی تهديدات و خطرات ناشی از آنان نمود . در واقع ، امنيت به مديريت خطرات و پياده سازی يك سيستم به منظور پاسخگوئی و مقابله با تهديدات اشاره داشته و در ارتباط با عتاصر كليدی زير است : 

• <LI dir=rtl>Authentication ، فرآيندی است كه به كمك آن به صورت منحصربفرد سرويس گيرندگان يك برنامه شناسائی می گردند . كاربران ، سرويس ها ، فرآيندها و كامپيوترها ، نمونه هائی از سرويس گيرندگان يك برنامه می باشند . در واقع ، authentication هويت استفاده كنندگان يك برنامه را بررسی می نمايد .
  <LI dir=rtl>Authorization ، فرآيندی است كه به كمك آن دستيابی سرويس گيرندگان تائيد شده به منابع و عملياتی كه قصد انجام آن را دارند بررسی و مجوز لازم صادر می گردد. فايل ها ، بانك های اطلاعاتی ، جداول ، سطرها ، منابع موجود در سطح سيستم نظير كليدهای ريجتسری و داده پيكربندی ، نمونه هائی از منابع مورد درخواست سرويس گيرندگان می باشند . انجام تراكنش هائی خاص نظير خريد يك محصول ، واريز و انتقال پول از يك حساب به حساب ديگر و يا افزايش اعتبار يك كارت اعتباری از جمله عملياتی می باشند كه می بايست مجوز استفاده از آنان برای سرويس گيرندگان صادر گردد . در واقع ، authorization محدوده مجاز عملياتی را كه يك سرويس گيرنده می تواند انجام دهد را مشخص می نمايد .
• Auditing : مميزی موثر و ثبت عمليات انجام شده يكی از اصول مهم در جلوگيری از انجام اعمال خلاف قانون است . بدين ترتيب اين اطمينان ايجاد خواهد شد كه يك كاربر نمی تواند باعث عدم انحام يك كار و يا فعاليت در سيستم گردد و يا يك تراكنش را مقداردهی اوليه نمايد . مثلا" در يك سيستم e-commerce می بايست از مكانيزم هائی استفاده گردد تا اين اطمينان حاصل گردد كه يك مصرف كننده نمی تواند سفارش انجام شده برای خريد يكصد نسخه از يك كتاب را انكار نمايد .
• Confidentiality ، كه از آن با نام privacy نيز نام برده می شود ، فرآيندی است كه به كمك آن اين اطمينان ايجاد می گردد كه حريم خصوصی داده رعايت و امكان مشاهده آن توسط كاربران غيرمجاز و يا ساير افرادی كه قادر به رديابی ترافيك يك شبكه می باشند ، وجود نخواهد داشت .
• Integrity ، فرآيندی است كه به كمك آن اين اطمينان ايجاد می گردد كه داده در مقابل تغييرات تصادفی و يا تعمدی حفاظت خواهد شد . همانند privacy ، يكپارچگی اطلاعات يك فاكتور اساسی در خصوص امنيت داده محسوب می گردد ، خصوصا" در مواردی كه داده در طول شبكه مبادله خواهد شد . يكپارچگی داده در حال حمل ،‌عموما" با استفاده از روش هائی نظير hashing و يا كدهای تائيد پيام انجام می شود .
• Availability ، فرآيندی است كه به كمك آن اين اطمينان ايجاد خواهد شد كه همواره داده برای كاربران مجاز در دسترس و قابل استفاده خواهد بود . در اغلب حملات از نوع DoS ، مهاجمان اين هدف را دنبال می نمايند كه بتوانند امكان استفاده و در دسترس بودن برنامه برای كاربران مجاز را غيرممكن و عملا" آن را از كار بيندازند .

تعاريف اوليه برخی از اصطلاحات امنيتی : تهديدات ، نقاط آسيب پذير و حملات 

• <LI dir=rtl>تهديد ( threat ) : به هرگونه پتانسيل بروز يك رويداد مخرب و يا ساير موارد ديگر كه می تواند به سرمايه های يك سازمان آسيب برساند ، تهديد گفته می شود . به عبارت ديگر، هر رويدادی كه بتواند به سرمايه های يك سازمان آسيب برساند ، در زمره تهديدات محسوب می گردد . 
  <LI dir=rtl>نقاط آسيب پذير (vulnerability) : ضعف های موجود در يك سيستم می باشند كه پتانسيل اوليه بروز يك رويداد مخرب را فراهم می نمايند . ضعف در طراحی ، پيكربندی اشتباه ، استفاده از روش های كدينگ غيرايمن مهمترين دلايل ايجاد يك ضعف در سيستم می باشند . ضعف در بررسی صحت داده ورودی توسط كاربر ، نمونه ای از يك لايه آسيب پذير در يك برنامه است كه می تواند زمينه بروز يك تهاجم را فراهم نمايد .
• تهاجم (attack) : عملياتی است كه محوريت آن سوء استفاده از نقاط آسيب پذير و پتانسيل های بروز يك رويداد مخرب می باشد . ارسال ورودی مخرب به يك برنامه و يا flooding يك شبكه به منظور از كار انداختن يك سرويس ، نمونه هائی در اين زمينه می باشد .

چگونه می توان يك برنامه وب ايمن را ايجاد نمود ؟ 
تا زمانی كه شناخت مناسبی نسبت به تهديدات وجود نداشته باشد ، امكان ايجاد يك برنامه وب ايمن وجود نخواهد داشت . بنابراين قبل از هر چيز لازم است كه با "مدلتهديدات " موجود آشنا شويم . هدف مدل فوق، آناليز معماری و نحوه طراحی برنامه به منظور شناسائی نقاط آسيب پذيری است كه ممكن است به صورت تصادفی توسط يك كاربر ناآگاه و يا مهاجمان با اهداف مخرب مورد سوء استفاده قرار گرفته تا با استناد به آنان بتوانند موجوديت و امنيت سيستم را با خطر مواجه نمايند . 
پس از آسنائی با تهديدات ، می بايست با بكارگيری مجموعه ای از اصول امنيتی اقدام به طراحی سيستم نمود . در ادامه ، پياده كنندگان می بايست از روش های ايمن به منظور نوشتن كدهای مطمئن ، مستحكم و قابل اعتماد استفاده نمايند . پس از طراحی و پياده سازی برنامه ، می بايست از يك شبكه ايمن ، يك host مطمئن و يك پيكربندی مناسب بر روی سرويس دهنده ،‌ استفاده گردد . 
ايجاد يك برنامه وب ايمن ، مستلزم اقدامات امنيتی چند جانبه ای است كه موفقيت در تمامی آنان ، ايمن بودن برنامه های‌ وب را تضمين خواهد كرد . ايمن سازی شبكه ، host و برنامه ، رئوس مثلث امنيتی ايجاد برنامه های وب ايمن را تشكيل می دهند . 
ايمن سازی شبكه ، host و برنامه 
به منظور ايجاد برنامه های وب ايمن ، تبعيت از يك رويكرد جامع امری است الزامی . بنابراين ، می بايست امنيت برنامه های‌ وب را در سه لايه متفاوت بررسی و اقدامات لازم را در هر لايه با توجه به جايگاه آن انجام داد . شكل زير سه لايه مهم به منظور ايجاد برنامه های وب ايمن را نشان می دهد .

در بخش دوم به بررسی هر يك از لايه های فوق خواهيم پرداخت .

اصول امنيت برنامه های وب ( بخش دوم )
در بخش اول به اين موضوع اشاره گرديد كه به منظور ايجاد برنامه های وب ايمن ، می بايست از يك رويكرد جامع تبعيت و بر روی سه لايه متفاوت شبكه ، host و برنامه متمركز گرديد. در اين بخش به بررسی ايمن سازی شبكه خواهيم پرداخت . 
ايمن سازی شبكه 
شبكه ، نقطه ورود به يك برنامه وب است و اولين لايه حفاظتی به منظور كنترل دستيابی به سرويس دهندگان متعدد موجود در محيط عملياتی را فراهم می نمايد . با اين كه سرويس دهندگان توسط سيستم های عامل نصب شده بر روی خود حفاظت می گردند ولی نمی بايست به اين موضوع صرفا" اكتفاء نمود و لازم است كه تدابير لازم به منظور حفاظت آنها در مقابل ساير تهديدات ( نظير ارسال سيلابی ‌از بسته های اطلاعاتی از طريق لايه شبكه ) نيز انديشيده گردد . 
ايمن سازی شبكه ، شامل حفاظت از دستگاه های شبكه ای و داده مبادله شده بر روی آنها می باشد . روتر ،‌ فايروال و سوئيچ عناصر اوليه زيرساخت يك شبكه را تشكيل می دهند . شكل زير نحوه استفاده از عناصر فوق را در يك شبكه نشان می دهد . 

عناصر شبكه : روتر ،‌ فايروال و سوئيچ

يك برنامه وب بر روی يك زيرساخت شبكه ای ايمن فعاليت و به كاربران خود سرويس های لازم را ارائه می نمايد . برای ايمن سازی شبكه ، علاوه بر اين كه شبكه می بايست در مقابل حملات مبتنی بر TCP/IP از خود محافظت نمايد ، بلكه لازم است اقدامات متعدد ديگری نيز در اين رابطه انجام شود . ايجاد اينترفيس های مديريتی ايمن، استفاده از رمزهای عبور قدرتمند ، حصول اطمينان از صحت ترافيك ارسالی از جمله اقدامات ديگر در خصوص ايجاد يك شبكه ايمن می باشد . بدين منظور لازم است كه پورت ها و پروتكل های استفاده شده در هر لايه به دقت بررسی و در صورتی كه وجود آنها غيرضروری تشخيص داده شود و يا استفاده از آنها زمينه بروز تهديداتی را فراهم می نمايد ،‌ می بايست در همان لايه با آنان برخورد و از يك راهكار مناسب امنيتی استفاده گردد . 
وجود ضعف امنيتی در يك شبكه زمينه بروز تهديدات متعددی را فراهم می نمايد . بدون شناسائی اينگونه تهديدات ، امكان مقابله منطقی با آنان وجود نخواهد داشت . 
تهديدات 
يك مهاجم به منظور برنامه ريزی حملات خود به دنبال دستگاه های شبكه ای است كه بر روی آنها پيكربندی ضعيفی اعمال شده است . تنظيمات ضعيف پيش فرض ، دستيابی بدون ضابطه به منابع موجود بر روی شبكه ، وجود دستگاه هائی كه به درستی patch و يا بهنگام نشده اند، حفره های امنيتی متعددی را در يك شبكه ايجاد می نمايد . وجود حفره های امنتيی فوق و عدم برخورد مناسب با آنها ، احتمال موفقيت مهاجمان را افزايش می دهد . 
مهمترين تهديدات در يك شبكه عبارتند از :

• <LI dir=rtl>جمع آوری اطلاعات <LI dir=rtl>sniffing <LI dir=rtl>spoofing <LI dir=rtl>session hijacking
• DoS ( برگرفته از Denial of Service )

با آگاهی از ماهيت هر يك از تهديدات فوق و نحوه تاثير آنها بر روی عملكرد شبكه ، می توان امكانات حفاظتی و تدافعی مناسبی را در يك شبكه پيش بينی و پياده سازی نمود. 
در ادامه به بررسی مختصر هر يك از تهديدات فوق خواهيم پرداخت . 
جمع آوری اطلاعات 
مهاجمان در اولين مرحله ،‌اقدام به جمع آوری اطلاعات در رابطه با اهداف خود می نمايند . جمع آوری اطلاعات می تواند باعث افشای اطلاعات توپولوژی شبكه ، پيكربندی سيستم و دستگاه های شبكه ای گردد . يك مهاجم می تواند در ادامه با استفاده از اطلاعات جمع آوری شده بر روی نقاط آسيب پذير متمركز و از حفره های امنيتی موجود در جهت تامين خواسته های مخرب خود استفاده نمايد . 

نقاط آسيب پذير 
متداولترين نقاط آسيب پذيری كه شبكه را مستعد اين نوع از حملات می نمايد عبارتند از : 

• <LI dir=rtl>ماهيت غيرايمن ذاتی پروتكل TCP/IP <LI dir=rtl>پيكربندی ضعيف دستگاه های شبكه ای
• استفاده غيرايمن از سرويس هائی كه به وجود آنها در يك شبكه نياز نمی باشد .

حملات 
متداولترين حملات مبتنی بر "جمع آوری اطلاعات" عبارتند از : 

• <LI dir=rtl>استفاده از Tracert به منظور تشخيص توپولوژی شبكه <LI dir=rtl>استفاده از Telnet به منظور باز نمودن پورت ها و جمع آوری اطلاعات اوليه <LI dir=rtl>استفاده از پويشگرهای پورت به منظور تشخيص وضعيت پورت ها
• استفاده از درخواست های broadcast برای شمارش تعداد host موجود بر روی يك subnet

پيشگيری و مقابله با تهديدات 
به منظور پيشگيری و مقابله با اين نوع حملات می توان از روش های زير استفاده نمود : 

• <LI dir=rtl>استفاده از امكاناتی كه اطلاعات اضافه ای را در خصوص پيكربندی نظير نام و شماره نسخه نرم افزار ارائه نمی نمايد .
• استفاده از فايروال ها به منظور پوشش سرويس هائی كه نمی بايست در معرض ديد و استفاده عموم قرار داده شوند .

sniffing 
sniffing كه به آن "استراق سمع " نيز گفته می شود ، مانيتورينگ ترافيك شبكه برای داده هائی نظير رمزهای عبور ( رمزنشده) و يا اطلاعات پيكربندی است . با استفاده از يك برنامه packet sniffer ، می توان به سادگی تمامی ترافيك plain text ( رمز نشده ) را مشاهده نمود . 
نقاط آسيب پذير 
متداولترين نقاط آسيب پذيری كه شبكه را مستعد اين نوع از حملات می نمايد عبارتند از : 

• <LI dir=rtl>ضعف امنيت فيزيكی <LI dir=rtl>ضعف رمزنگاری در زمان ارسال داده حساس و مهم <LI dir=rtl>وجود سرويس هائی كه با يكديگر به صورت متن معمولی ( رمز نشده ) ارتباط برقرار می نمايند .
• استفاده از الگوريتم های ضعيف رمزنگاری

حملات 
مهاجمان با قرار دادن يك packet sniffer بر روی شبكه می توانند تمامی ترافيك را capture و آناليز نمايند . 
پيشگيری و مقابله با تهديدات 
به منظور پيشگيری و مقابله با اين نوع حملات می توان از روش های زير استفاده نمود : 

• <LI dir=rtl>استفاده از يك سيستم امنيت فيزيكی مناسب به منظور پيشگيری از نصب دستگاه های مخرب بر روی شبكه
• رمزنگاری اطلاعات حساس و ترافيك برنامه بر روی شبكه

Spoofing 
spoofing ، كه به آن "هويت مبهم " نيز گفته می شود ، به كتمان هويت واقعی بر روی شبكه اطلاق می گردد . در اين رابطه از يك آدرس مبداء جعلی كه بيانگر آدرس اوليه صادركننده پيام نمی باشد ، استفاده می گردد . در بسياری موارد از spoofing به منظور مخفی كردن منبع بروز يك تهاجم استفاده می شود. در برخی موارد كه دستيابی به منابع موجود بر روی شبكه بر اساس آدرس متقاضيان انجام می شود ، مهاجمان با تغيير آدرس مبداء سعی می نمايند به اينگونه از منابع دستيابی پيدا نمايند . 
نقاط آسيب پذير 
متداولترين نقاط آسيب پذيری كه شبكه را مستعد اين نوع از حملات می نمايد عبارتند از : 

• <LI dir=rtl>ماهيت غيرايمن ذاتی پروتكل TCP/IP
• ضعف در فيلترينگ بسته های اطلاعاتی ورودی و خروجی : ترافيك ورودی و خروجی شبكه به درستی كنترل و ***** نمی گردد (ingress & egress filtering )

حملات 
يك مهاجم می تواند از ابزارهای متعددی به منظور تغيير آدرس بسته های خروجی استفاده نمايد تا اينچنين وانمود نمايد كه آنها از يك host و يا شبكه ديگر ارسال شده اند . 
پيشگيری و مقابله با تهديدات 
به منظور پيشگيری و مقابله با اين نوع حملات می توان از از فيلترينگ egress و ingress بر روی روتر های perimeter استفاده نمود . 

session Hijacking 
با استفاده از اين نوع حملات كه به آنها man in middle نيز گفته می شود ، مهاجمان می توانند از يك برنامه برای تغيير شكل ظاهری خود به عنوان يك سرويس گيرنده و يا سرويس دهنده موجه استفاده نمايند . بدين ترتيب ، يك سرويس دهنده و يا سرويس گيرنده واقعی فريب خورده و فكر می كنند كه با يك host معتبر و مجاز ارتباط برقرار نموده اند . در واقع ، اين نوع كامپيوترهای ميزبان متعلق به مهاجمان بوده كه سعی می نمايند با دستكاری شبكه خود را به عنوان مقصد مورد نظر وانمود نمايند . از اين نوع حملات به منظور آگاهی از اطلاعات logon و دستيابی به سيستم و ساير اطلاعات محرمانه استفاده می گردد . 
نقاط آسيب پذير 
متداولترين نقاط آسيب پذيری كه شبكه را مستعد اين نوع از حملات می نمايد عبارتند از : 

• <LI dir=rtl>ضعف در امنيت فيزيكی <LI dir=rtl>ماهيت غيرايمن ذاتی پروتكل TCP/IP
• مبادله اطلاعات به صورت رمزنشده

حملات 
يك مهاجم می تواند از ابزارهای متعددی به منظور انجام عمليات spoofing ، تغيير روتينگ و دستكاری بسته های اطلاعاتی استفاده نمايد. 

پيشگيری و مقابله با تهديدات 
به منظور پيشگيری و مقابله با اين نوع حملات می توان از روش های زير استفاده نمود : 

• <LI dir=rtl>رمزنگاری Session
• استفاده از روش Stateful inspection در سطح فايروال

DoS 
در اين نوع از حملات ، امكان دستيابی كاربران مجاز به يك سرويس دهنده و يا سرويس خاص سلب می گردد .در حملات DoS لايه شبكه ، معمولا" مهاجمان با ارسال سيلابی از بسته های اطلاعاتی امكان استفاده از يك سرويس توسط ساير كاربران را سلب می نمايند . علاوه بر مشكل فوق ، در چنين مواردی از پهنای باند و منابع موجود بر روی شبكه استفاده بهينه نخواهد شد . 
نقاط آسيب پذير 
متداولترين نقاط آسيب پذيری كه شبكه را مستعد اين نوع از حملات می نمايد عبارتند از : 

• <LI dir=rtl>ماهيت غيرايمن ذاتی پروتكل TCP/IP <LI dir=rtl>ضعف در پيكربندی روتر و سوئيچ
• باگ در سرويسهای نرم افزاری

حملات 
متداولترين حملات DoS عبارتند از : 

• <LI dir=rtl>ارسال سيلابی از بسته های اطلاعاتی نظير حملات cascading broadcast <LI dir=rtl>بسته های اطلاعاتی SYN flood
• سوء استفاده از برخی سرويس ها

پيشگيری و مقابله با تهديدات 
به منظور پيشگيری و مقابله با اين نوع حملات می توان از روش های زير استفاده نمود : 

• <LI dir=rtl>فيلترينگ درخواست های broadcast <LI dir=rtl>فيلترينگ درخواست های ICMP ( برگرفته از Internet Control Message Protocol )
• بهنگام سازی و نصب patches سرويس های نرم افزاری

برای ايمن سازی شبكه از كجا می بايست شروع كرد ؟ 
برای ايمن سازی شبكه می بايست بر روی هر يك از دستگاه های استفاده شده در شبكه متمركز و پس از بررسی چالش های امنيتی هر يك ، از راهكارهای خاصی به منظور ايمن سازی آنها استفاده نمود.
همانگونه كه اشاره گرديد در زيرساخت شبكه از روتر ، فايروال و سوئيچ استفاده می گردد كه می بايست ضمن آشنائی با جايگاه آنها در يك شبكه با نحوه عملكرد و ايمن سازی آنها از منظر برنامه های وب نيز آشنا شويم . در بخش سوم به بررسی موارد فوق خواهيم پرداخت .