Опис шифрування: як, чому і коли криптографії

Список сайтів, які зберігають ваш пароль незашифрованим, є приголомшливим. Порушення даних Ешлі Медісон недавньої пам’яті є прекрасним прикладом неправильного поводження з конфіденційною інформацією, де понад 300 ГБ даних користувачів були порушені у відкритому вигляді. Це не єдиний приклад: нещодавно такі сайти, як Британіка, звинувачують у зберіганні паролів у простому тексті.


У цьому посібнику з шифрування ми розберемося, чому конфіденційну інформацію потрібно шифрувати під час транзиту та зберігання, щоб ви могли захистити себе від поганих практик безпеки. Ми дамо вам основне визначення шифрування, переглянемо різні способи, як це відбувається, і також надамо для нього певне використання.

Ми сподіваємось, що до кінця цього посібника ви зрозумієте необхідність шифрування на конфіденційних даних та реальних додатках до них. Хоча криптографія є густою і складною темою, ми намагалися зробити її якомога простішою для цього посібника.

Що таке шифрування?

Шифрування – це проста концепція, яку можна зрозуміти. По суті, це спосіб кодування інформації, щоб отримати доступ до неї лише призначений одержувач. Інформація шифрується за допомогою шифру, такого як AES, і між учасниками надається ключ, який дозволяє одержувачу розшифрувати його.

Шифр перетворює простий текст у шифротекст, роблячи інформацію нечитабельною. Для того, щоб переконатися, що тільки призначений одержувач може розшифрувати ці дані, використовується загальний ключ шифрування, який дозволяє двом машинам погодитись, що джерело даних та цільове призначення призначені за призначенням. Ми розповімо докладніше про ключі шифрування в наступному розділі.

Криптографія, більш широкий термін для безпечного передавання інформації, не нова. Стародавні греки часто використовували шифри для кодування повідомлень, зазвичай просто переставляючи букви кожного слова або застосовуючи просте правило. Шифр Ceaser – хороший приклад. Ті ж методи застосовуються і до цифрового шифрування, але шифри є більш складними.

У цифровому світі шифрування використовується як засіб захисту особистої інформації, наприклад паролів та інтернет-трафіку, про що ми поговоримо в наступному розділі. Якщо у вас є онлайн-акаунт майже будь-де, ваша інформація, ймовірно, зашифрована. Поки ви не брали активного участі в процесі, ви все одно отримали пільгу.

Шифрування захищає від перехоплення та крадіжки ваших даних. Зашифровані дані можна розшифрувати лише за допомогою ключа шифрування, до якого зловмисник не повинен мати доступу. Існує два основних типи шифрування, які мають різні функції.

Види шифрування

Існує кілька способів шифрування простого тексту: начебто, межа полягає у людській уяві. Давайте розглянемо кілька найпоширеніших типів.

Закритий ключ / симетричне шифрування

Симетричне шифрування використовує той самий ключ для шифрування та дешифрування даних. Це означає, що ключ шифрування поділяється між сторонами до того, як дані будуть зашифровані або розшифровані. Симетричне шифрування було б схожим на наявність сейфа, де ви зберігаєте свої дані. Вам та будь-кому іншому, хто міг би отримати доступ до цих даних, знадобиться комбінація, щоб відкрити сейф.

Симетричне-шифрування

Це шифрування в основному використовується для захисту даних у спокої. Хорошим прикладом цього є хмарне зберігання, де шифрування відбувається під час зберігання даних і розшифровується лише тоді, коли доступ до них має авторизований користувач..

Основний процес працює так: Користувач запитує доступ до зашифрованих даних. Контейнер зберігання відправляє назад ключ шифрування до менеджера ключів. Керуючий ключами перевіряє законність кожної сторони, потім відкриває безпечне з’єднання між ними.

Тепер, коли захищене з’єднання відкрито, ключ шифрування ділиться між сторонами. Після цього зашифрована інформація розшифровується та надсилається як простий текст запитувальній стороні.

Існує багато кроків, коли мова йде про симетричне шифрування, що робить його найбільш застосовним до даних у спокої. Асиметричне шифрування краще для даних, що перебувають у русі, оскільки дозволяє користувачам активно шифрувати пакети даних без спільного використання ключа між ними.

Відкритий ключ / асиметричне шифрування

Асиметричне шифрування покладається на пару публічного / приватного ключів замість приватного ключа, що використовується спільно між сторонами. Він починається з шифрування ваших даних, яке використовує відкритий ключ. Як випливає з назви, відкритий ключ надається у вільний доступ кожному, хто його потребує.

Асиметричне-шифрування

Цей тип шифрування використовується для даних у русі. Прикладом може бути підключення до Інтернету через віртуальну приватну мережу, про що ми поговоримо в наступному розділі. Симметричний ключ сеансу використовується для шифрування даних, а потім відкритий ключ використовується для шифрування симетричного ключа. Після отримання зашифрованих даних приватний ключ використовується для розшифрування ключа, який потім використовується для перетворення шифротексту.

По-перше, відправник і одержувач перевіряють сертифікати один одного. Відправник запитує відкритий ключ одержувача, який потім надається спільним. Ефемерний симетричний ключ – який використовується лише протягом одного сеансу – шифрує простий текст до шифротексту.

Потім відкритий ключ шифрує симетричний ключ.

Зашифровані дані надсилаються одержувачу. Симетричний ключ розшифровується за допомогою приватного ключа, який відповідає загальнодоступному, який надається спільним з відправником. Тепер, коли одержувач може побачити симетричний ключ, він може перетворити шифротекст назад у відкритий текст.

Є ще симетричний ключ, але його не потрібно ділити між сторонами, перш ніж відбудеться шифрування. Дані шифруються неподіленим симетричним ключем, і цей ключ шифрується за допомогою пари відкритих / приватних ключів.

Зберігання зашифрованих даних

У будь-якого шифру є властива вада; він призначений для розшифрування. Якщо зловмисник має доступ до ключа розшифровки, ваша інформація негайно розкривається. Збереження паролів на сервері, навіть у зашифрованому вигляді, не є безпечним. Якщо ваш пароль і метод шифрування слабкі, його можна легко розшифрувати (ознайомтеся з нашим посібником зі створення надійного пароля, щоб уникнути цього).

Намір шифрування – це розшифровка призначеною стороною. Через це не звична чи добра практика зберігати зашифровані паролі на сервері. Значення зашифрованих даних не потрібно знати, тому немає жодних причин дозволяти такі дані зберігатись. Шифрування означає транзит, а не зберігання.

Хай це

Більш безпечний метод – зберігати хеш паролів на сервері. Хешинг – це процес, коли значення можна обчислити з тексту за допомогою алгоритму. Хеші краще, тому що їх неможливо змінити назад. Ви можете генерувати хеш із пароля, але не можете створити пароль із хеша.

Зберігання пароля

На жаль, це не вирішує кожну проблему. Зловмисник все ще може використовувати хеш для жорстокої атаки вашого пароля. Якщо зловмисникові вдасться викрасти таблицю хешей паролів, вони можуть використовувати атаку словника, щоб визначити ці паролі в процесі проб і помилок.

Після того, як зловмисник з’ясує, з яким алгоритмом були перемішені паролі, вони можуть використовувати програмне забезпечення, яке генерує можливі паролі, використовуючи загальні слова у словнику. Паролі кандидатів хешируються за допомогою відомого алгоритму, а потім порівнюються з хешами паролів у таблиці.

Якщо є збіг, зловмисник успішно зламав ваш пароль.

Це ще простіше, якщо ви використовуєте загальний пароль. Припустимо, є порушення даних, а хеш вашого пароля викрадений. Використовуваний вами пароль, з якоїсь жахливої ​​причини, – “password123”. Хеш MD5 цього пароля – 482C811DA5D5B4BC6D497FFA98491E38. Це завжди буде хеш цього рядка тексту для цього алгоритму. Ви не можете змінити хеш інженера, але ви можете використовувати цей хеш, щоб вгадати пароль. Це все ще вважається більш безпечним для зберігання даних, які не потрібно розкривати. 482C811DA5D5B4BC6D497FFA98491E38 не може пройти алгоритм, щоб виплюнути “пароль123” на іншому кінці.

Посоліть його

Наш теоретичний хакер з’ясував, що 482C811DA5D5B4BC6D497FFA98491E38 – хеш для “password123”. Що ще гірше, вони знайшли 50 балів із цим хешем у базі даних, тобто 50 облікових записів піддаються компрометації за ціну одного.

Ось тут і відбувається засолювання. Сіль – це дані, додані до пароля перед тим, як вони були хешировані. Не існує встановленого правила, якою має бути сіль; той, хто солить ваш пароль, може визначити це. Скажімо, наприклад, що ви створили обліковий запис і веб-сайт, який ви створили, з солями свого пароля, перш ніж його заповнити.

Для цього облікового запису сіль – це додати до пароля випадкове число плюс ваше перше та останнє початкове значення, виходячи з даних облікового запису, які ви ввели під час реєстрації. Тепер “password123” стає, наприклад, “password1239jr.”

Засолення не усуває проблему грубої атаки, але значно знижує ймовірність нападу вдатися. Навіть користувачі з однаковими паролями не матимуть однакового хеш-результату, це означає, що зловмисник повинен з’ясувати не тільки алгоритм хешування, але і метод засолювання.

Використання для шифрування

Шифрування важливе, і це було століттями. У цифрову епоху це не могло бути правдою. Один фрагмент конфіденційних даних може піддавати вас кіберзлочинності, включаючи крадіжку особи та шахрайство. Існує багато застосувань для шифрування, які можуть захистити ваші інтернет-акаунти, чутливі файли та інтернет-трафік.

Забезпечення паролів

Паролі – це найважливіші дані, які ви хочете зашифрувати, вважаючи, що це часто ключ, який розблокує незліченну кількість даних про вас. Менеджер паролів дозволяє використовувати сильний унікальний пароль для кожного з ваших онлайн-акаунтів, експоненціально підвищуючи безпеку.

приладова панель ідентичності dashlane

Як ми обговорювали в розділі хешування вище, хеш паролів може бути виявлений за допомогою нападу грубої сили. Однак ці напади хизуються слабкими паролями, а не сильними. Аналогічна атака, маючи змогу з’ясувати “пароль123”, склала б можливість створити “ZTG $ iS% 8a2zF” як пароль кандидата.

Наведений вище приклад був створений за допомогою розширення браузера LastPass. Він може генерувати 12-символьний пароль, як у нашому прикладі вище, але також будь-яку комбінацію до 99 символів. Це також найкращий безкоштовний менеджер паролів на ринку, про який ви можете прочитати в нашому огляді LastPass.

Менеджери паролів зберігають дані пароля у зашифрованому сховищі, до якого ви маєте доступ лише ви. Цей оберіг захищений головним паролем, про який знаєте лише ви. Найкращі менеджери паролів мають також захисні заходи для захисту вашого головного пароля.

Наприклад, Dashlane використовує модель з нульовим знанням, тобто ні ваш головний пароль, ні будь-які його хеші не зберігаються. Ваш головний пароль шифрується за допомогою AES-256 на вашому локальному пристрої після засолювання та надсилається через 200 000 патронів хешування SHA2.

Оскільки хешування є односторонньою вулицею, це робить ваш головний пароль набагато складніше зламати. Буквено-цифровий головний пароль щонайменше з восьми символів потребує приблизно 45 000 років, щоб зламати за допомогою хешування SHA2. Якщо ви використовуєте більш сучасний алгоритм хешуваннявання Argon2, який пропонує Dashlane, це займе сім сорока мільйонів років.

Dashlane також може запропонувати багато можливостей поза захистом, включаючи надійний набір функцій та простий у користуванні інтерфейс. Ви можете дізнатися більше про це в нашому огляді Dashlane.

Приховування вашого інтернет-трафіку

Більшість інтернет-трафіку зашифровані. Якщо ви приземляєтесь на сайті, який має сертифікат SSL, ви підключаєтесь до нього через зашифроване з’єднання. Він шифрується із зовнішнього світу, але не з вашого провайдера. Крім того, ця форма шифрування має відомі подвиги, які легко виконувати, про що ви можете прочитати в нашому посібнику з SSL проти TLS.

Тут виходить віртуальна приватна мережа. Окрім приховування вашої IP-адреси та анонімності трафіку, VPN також буде шифрувати ваше інтернет-з’єднання. Це означає, що ваш Інтернет-провайдер чи хтось, хто може зламати ваш безпечний тунель, не зможуть виявити, що ви робите в Інтернеті.

ExpressVPN-Тест на швидкість

Це має переваги щодо безпеки, наприклад, приховування особистих даних, які ви переносите через Інтернет, а також для конфіденційності. Ваш Інтернет-провайдер не зможе шпигувати за тим, що ви робите, завантажуючи пару фільмів чи іншим чином (що вам слід зробити з нашим найкращим VPN для торрентінгу).

Найкращі VPN-провайдери також використовують найвищі методи. Наприклад, ExpressVPN шифрує ваш трафік за допомогою AES-256 протоколом OpenVPN. Ви можете дізнатися більше про протоколи в нашому посібнику з безпеки VPN та про ExpressVPN в нашому огляді ExpressVPN.

Якщо вам не потрібна ця послуга, NordVPN (читайте наш огляд NordVPN) – чудова альтернатива. Це один із найкращих варіантів у наших оглядах VPN.

Зберігання ваших даних

Як ми зазначали в нашому посібнику про те, як зашифрувати свої дані для хмарного зберігання, кероване шифрування в хмарі викликає кілька проблем. Зокрема, служби, які шифрують ваші дані на своїх серверах, також управляють ключем шифрування, роблячи вас більш вразливими, ніж вам потрібно бути.

Sync.com Надіслати посилання на файл

Тут починає грати хмарне зберігання з нульовим знанням. Як і у менеджерів паролів, які використовують цю модель, ваш пароль, зашифрований чи незашифрований, не зберігається на серверах постачальника. У більшості випадків ви також керуєте ключем шифрування, це означає, що якщо урядова агенція стукає, то всі постачальники можуть надати їм пакет шифротексту..

Нульове знання само по собі не означає більш захищене; Захист хмарного зберігання складніше, ніж це. Однак найкращі хмарні сервіси з нульовим знанням – це безпечна ставка, тим більше, що багато з них поділяють місце в нашому посібнику з безпечного зберігання хмар.

Переможець обох цих посібників, а також наше порівняння постачальників хмарних сховищ – Sync.com. Він отримав 100-відсотковий рейтинг безпеки в нашому огляді Sync.com для своєї моделі нульових знань та найвищого шифрування AES-256.

Є кілька інших постачальників, які мають відмінні оцінки безпеки, такі як pCloud, як ви можете прочитати в нашому огляді pCloud. Якщо ви хочете покуповувати більше, то найкращі провайдери в наших оглядах хмарного сховища – гарне місце для початку.

Фінальні думки

Шифрування є частиною використання Інтернету. Ваша конфіденційна інформація потрібна для банківських операцій, доступу до медичних записів і навіть для покупок в Інтернеті. Ми сподіваємось, що цей посібник дав вам краще розуміння того, як обробляються ваші дані, щоб ви могли прийняти обгрунтоване рішення про те, яким організаціям ви дозволяєте їх підтримувати..

За умови правильного керування, шифрування – одна з найкращих речей для кібербезпеки. Менеджери паролів, VPN та захищені постачальники послуг хмарного зберігання гарантують, що ви захищені від поспішного зберігання паролів, повзучих провайдерів і незахищених даних.

Чи почуваєтесь ви впевненіше у шифруванні? Повідомте нас у коментарях нижче та, як завжди, дякую за прочитане.

Kim Martin
Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me