Безопасность хранения данных и обмена ими по сети

1. Шифрование и безопасность
Денис Нелюбин

2. Дайджест
• a.k.a. [Cryptographic] Hash Function

3. Дайджест
• MD5 (Структура Меркла-Дамгарда)
• SHA-1 (Secure Hash Algorithm 1)
• SHA-256 (SHA-2, 256 бит)
md5sum, sha256sum

4. Ассиметричное шифрование
• a.k.a Шифрование с открытым ключом

5. Шифрование сообщения

6. Цифровая подпись

7. Шифрование и подпись

8. Алгоритмы
• RSA (Rivest, Shamir и Adleman)
• DSA (Digital Signature Algorithm)
• ECC (Elliptic curve cryptography)
• ГОСТ Р 34.10-2012

9. Симметричное шифрование

10. Алгоритмы
• AES (Advanced Encryption
Standard)
a.k.a. Rijndael
• Blowfish
• DES и Triple DES
(Data Encryption Standard)

11. Гибридное шифрование

12. ssh
• Гибридное шифрование
• ~/.ssh/id_rsa — приватный ключ
• ~/.ssh/id_rsa.pub — публичный
ключ
ssh-keygen

13. Вопрос доверия
Откуда Алиса знает,
что публичный ключ Боба,
действительно принадлежит Бобу?

14. Доверие в ssh
~/.ssh/authorized_keys —
публичные ключи, которым разрешено
входить в систему под именем данного
пользователя

15. Почему не пароль?
>>> 95**20
3584859224085422343574104404449462890625L
>>> 2**4096
10443888814131525066917527107166243825799642490473837803842334832839539079715
574568488268119349975583408901067144392628379875734381857936072632360878513
652779459569765437099983403615901343837183144280700118559462263763188393977
127456723346843445866174968079087058037040712840487401186091144679777835980
290066869389768817877859469056301902609405995794534328234693030266964430590
250159723998677142155416938355598852914863182379144344967340878118726394964
751001890413490084170616750936683338505510329720882695507699836163694119330
152137968258371880918336567512213184928463681255502259983004123447848625956
744921946170238065059132456108257318353800876086221028342701976982023131690
176780066751954850799216364193702853751247840149071591354599827905133996115
517942711068311340905842728842797915548497829543235345170652232690613949059
876930021229633956877828789484406160074129456749198230505716423771548163213
806310459029161369267083428564407304478999719017814657634732238502672530598
997959960907994692017746248177184498674556592501783290704731194331655508075
682218465717463732968849128195203174570024409266169108741483850784119298045
229818573389776481031260859030013024134671897266732164915111316029207817380
33436090243804708340403154190336L

16. http://xkcd.ru/936/

17. ssh
/etc/ssh/sshd_config
PubkeyAuthentication yes
PasswordAuthentication no

18. Доверие в PGP (GPG)
• Боб дал отпечаток (дайджест) своего
ключа Алисе при личной встрече
• Алиса подписала публичный ключ Боба
своим приватным ключом
• Публичный ключ Боба и подпись Алисы
доступны всем
• Сеть доверия

19. Доверие в SSL/TLS

20. Доверие в SSL/TLS
Доверие корневым центрам
сертификации (CA — Certificate
Authority)

21. Цепочка сертификатов

22. Сертификат

23. X.509
DN — Distinguished name
CN — Common name
CN = www.example.org
OU = Technology
O = Internet Corporation for Assigned Names and Numbers
L = Los Angeles
ST = California
C = US

24. Сертификат
• Публичный ключ
• Имя владельца
• Атрибуты
– Срок действия
– Сфера действия
– ...
• Подпись

25. Файлы
.pem (Privacy-enhanced Electronic
Mail)
— в base64 (-----BEGIN … -----END…)
.p12, .pfx (PKCS #12, Public-Key
Cryptography Standards)
— в бинарном виде
keystore — в Java формате

26. SSL/TLS
• Гибридное шифрование
• Проверка сертификата сервера через
цепочку доверия
• Проверка сертификата клиента
(в некоторых случаях)
• Длинный SSL handshake

27. HTTPS
HTTP поверх SSL/TLS

28. Самоподписанный сертификат
• Сертификат, подписанный своим
приватным ключом
• Нулевая цепочка доверия
• Для тестов

29. Wildcard сертификат
CN = *.example.com

30. Получение сертификата
• Сгенерировать
– Приватный ключ
– Публичный ключ — самоподписанный
сертификат
• Сформировать запрос на подпись (CSR)
• Получить подписанный сертификат
(и промежуточные сертификаты)

31. На сервере
• Приватный ключ
• Сертификат
• Цепочка подписей

32. Браузер
• Имеет список доверенных CA
• Проверяет сертификат сервера:
– Соответствие CN домену запроса
– Срок действия
– Цепочку доверия
– Не отозван ли?
• CRL
• OCSP

33. Как хранить пароли

34. Почитать
https://ru.wikipedia.org/wiki/Сложность_пароля
https://ru.wikipedia.org/wiki/Криптосистема_с_открытым_ключом
https://ru.wikipedia.org/wiki/SSL

35. http://xkcd.ru/538/