Update - أب ديت

I hope to give good news soon about WhatsApp. But in the meantime, how are you and people in your country? #Covid19

— WABetaInfo (@WABetaInfo) April 10, 2020

• Symmetric Key Encryption

• Asymmetric Key Encryption

• Hash 

• للتشفير 

base64.b32encode

• لفك التشفير

base64.b32decode

• للتشفير

base64.b16encode

• لفك التشفير

base64.b16decode 

• عملية التشفير

• عملية فك التشفير

  هذه المقال وغيرها من المقالات تحت وسم "مسابقة أفضل تدوينة" تعبر عن أراء أصحابها

•  التشفير 

في الحوسبة ، تُعرف البيانات غير المشفرة أيضًا بالنص الشائع، وتسمى البيانات المشفرة بالنص المشفر. تسمى الصيغ المستخدمة لتشفير وفك تشفير الرسائل خوارزميات التشفير أو الأصفار.

لكي تكون فعالة، يتضمن التشفير متغيرًا كجزء من الخوارزمية. المتغير، الذي يسمى المفتاح، هو ما يجعل إخراج الشفرة فريدًا. عندما يتم اعتراض رسالة مشفرة من قبل كيان غير مصرح به ، يتعين على المتطفل تخمين هوية المرسل المستخدم لتشفير الرسالة ، وكذلك المفاتيح التي تم استخدامها كمتغيرات. الوقت الذي يستغرقه تخمين هذه المعلومات هو ما يجعل التشفير أداة أمان قيمة.

• كيف يعمل التشفير؟

في بداية عملية التشفير ، يجب أن يقرر المرسل ما هو التشفير الذي سيخفي معنى الرسالة وأفضل متغير لاستخدامه كمفتاح لجعل الرسالة المشفرة فريدة من نوعها. تنقسم أنواع الأصفار الأكثر استخدامًا إلى فئتين: متماثل وغير متماثل.

تستخدم الأصفار المتماثلة، والتي يشار إليها أيضًا باسم تشفير المفتاح السري، مفتاحًا واحدًا. يشار في بعض الأحيان إلى المفتاح باعتباره سرًا مشتركًا لأن المرسل أو نظام الحوسبة الذي يقوم بالتشفير يجب أن يشارك المفتاح السري مع جميع الكيانات المخولة بفك تشفير الرسالة. تشفير المفتاح المتماثل عادة ما يكون أسرع بكثير من التشفير غير المتماثل. أكثر رموز التشفير المتناظرة استخدامًا هو معيار التشفير المتقدم (AES) ، الذي صمم لحماية المعلومات المصنفة من قِبل الحكومة.

تستخدم الأصفار غير المتماثلة، والمعروفة أيضًا باسم تشفير المفتاح العام، مفتاحين مختلفين - ولكن مرتبطين منطقياً -. غالبًا ما يستخدم هذا النوع من التشفير الأعداد الأولية لإنشاء المفاتيح لأنه من الصعب حسابها أعداد الأعداد الأولية الكبيرة والتصميم العكسي للتشفير. تعد خوارزمية تشفير Rivest-Shamir-Adleman (RSA) حاليًا خوارزمية المفتاح العام الأكثر استخدامًا. باستخدام RSA ، يمكن استخدام المفتاح العمومي أو الخاص لتشفير رسالة ؛ أيهما لا يستخدم للتشفير يصبح مفتاح فك التشفير.

اليوم، تستخدم العديد من عمليات التشفير خوارزمية متماثلة لتشفير البيانات وخوارزمية غير متماثلة لتبادل المفتاح السري بشكل آمن.

• أهمية التشفير

يلعب التشفير دورًا مهمًا في تأمين العديد من أنواع أصول تكنولوجيا المعلومات. يوفر ما يلي:

1. السرية تشفر محتوى الرسالة.

2. تتحقق المصادقة من أصل الرسالة.

3. تثبت النزاهة أن محتويات الرسالة لم تتغير منذ إرسالها.

4. يمنع عدم الرد المرسلين من رفض إرسال الرسالة المشفرة.

• كيف يتم استخدامه؟

يشيع استخدام التشفير لحماية البيانات في العبور والبيانات في بقية. في كل مرة يستخدم شخص ما جهاز صراف آلي أو يشتري شيئًا عبر الإنترنت باستخدام هاتف ذكي ، يتم استخدام التشفير لحماية المعلومات التي يتم نقلها. تعتمد الشركات بشكل متزايد على التشفير لحماية التطبيقات والمعلومات الحساسة من تلف السمعة عند حدوث خرق للبيانات.

هناك ثلاثة مكونات رئيسية لأي نظام تشفير: البيانات ومحرك التشفير وإدارة المفاتيح. في تشفير الكمبيوتر المحمول ، يتم تشغيل جميع المكونات الثلاثة أو تخزينها في نفس المكان: على الكمبيوتر المحمول.

ومع ذلك ، في بنيات التطبيق ، عادةً ما يتم تشغيل المكونات الثلاثة أو تخزينها في أماكن منفصلة لتقليل فرصة أن تؤدي التسوية الخاصة بأي مكون منفرد إلى تسوية النظام بأكمله.

• فوائد التشفير

الغرض الأساسي من التشفير هو حماية سرية البيانات الرقمية المخزنة على أنظمة الكمبيوتر أو المنقولة عبر الإنترنت أو أي شبكة كمبيوتر أخرى.

بالإضافة إلى الأمان، غالبًا ما يكون اعتماد التشفير مدفوعًا بالحاجة إلى تلبية لوائح الامتثال. يوصي عدد من المؤسسات والهيئات المعنية بالمعايير أو تتطلب تشفير البيانات الحساسة من أجل منع الأطراف الثالثة غير المصرح لها أو الجهات الفاعلة التي تهدد من الوصول إلى البيانات. على سبيل المثال ، يتطلب معيار أمان بيانات صناعة بطاقة الدفع (PCI DSS) من التجار تشفير بيانات بطاقة الدفع الخاصة بالزبائن عندما يتم تخزينها بالراحة ونقلها عبر الشبكات العامة.

• أنواع التشفير

إحضار التشفير الخاص بك (BYOE) هو نموذج أمان للحوسبة السحابية يمكّن عملاء الخدمة السحابية من استخدام برامج التشفير الخاصة بهم وإدارة مفاتيح التشفير الخاصة بهم. BYOE قد يشار إليها أيضًا باسم إحضار مفتاحك الخاص (BYOK). تعمل BYOE من خلال تمكين العملاء من نشر مثيل افتراضي لبرامج التشفير الخاصة بهم إلى جانب التطبيق التجاري

او من هذا التعريف

(SSL و TLS هما بروتوكولا تشفير يوفران مصادقة وتشفير البيانات بين الخوادم والآلات والتطبيقات التي تعمل عبر شبكة (مثل عميل يتصل بخادم ويب). SSL هو سلف TLS. على مر السنين ، تم إصدار إصدارات جديدة من البروتوكولات لمعالجة الثغرات الأمنية ودعم مجموعات وخوارزميات تشفير أقوى وأكثر أمانًا.

تم تطوير SSL في الأصل بواسطة Netscape وأول مرة ظهرت في المشهد عام 1995 باستخدام SSL 2.0 (لم يتم إصدار 1.0 للجمهور مطلقًا). تم استبدال الإصدار 2.0 بسرعة بـ SSL 3.0 في عام 1996 بعد العثور على عدد من الثغرات الأمنية. ملاحظة: يتم كتابة الإصدارين 2.0 و 3.0 أحيانًا كـ SSLv2 و SSLv3.)

بس قبل منكلم عن ثغراتهم لازم نفهم اية هما، اية الفرق مابينهم وازاي بيشتغلو. عشان نقدر نفهم ثغراتهم تمام، بسم اللة وتوكلوا علي اللة لان المقال طويل شوية.

SSL - Secure Sockets Layer : 

 مر الSSL عبر تحديثين رئيسيين . وصل الإصدار 2.0 من البروتوكول في عام 1995 ، في حين وصل SSL 3.0 في عام 1996. أصدر مصممو SSL النسختين الجديدتين مع التوافق مع الإصدارات السابقة لتخفيف عبء التبني. لكن هذا الجهد ، ناهيك عن التصميم العام للبروتوكول ، أعاق قدرة SSL على توفير السرية. وزي مقلنا ان ssl في منة versions كتير ssl2.0 /ssl3.0 بس المستخدم في اغلب المواققع هوssl3 بس ده يعتبر حاليا غير امن بسبب الثغرة الي تم اكتشافةا فيه (POODLE) هنكلم عليها تحت.

TLS - Transport Layer Security :

TLS1.0/TLS2.0

التا بتخاط مابينهم لية لان TLS/SSL3 تقريبا حاجة واحد بس الموضوع ده غلط علي ما قد انة صحيح عشان كدة هنجيب او جة التشابة والاختلاف في كل واحدة وكيفية عملهم علي حدي :

بس قبل من قول ده لزمن نقول حاجة صغيرة "Certificates are not the same as protocols" بمعني ان انا لولقيت ثغرة في بروتوكول ssl مش الحل اني اغير الشهادة لان الشهادة حشاجة والبروتوكل حاجة تانية يعني ببساطة الشهادة الي بيستخدمها SSL هي بردة ممكن تبقي نفس الشهادة الي بيستخدمها TLS

التشابة ببساطة في المضمون :

 حماية خصوصية البيانات من خلال تشفير البيانات في الحركة .

 يقدّم لسيرفر صلاحية المصادقة على دخول العميل ( إختيارياً )

 التحقّق من سلامة الرسائل باستخدام أكواد التشفير .

الاختلاف نوعا ما كبير  :

المقارنة هنا هتكون مابين SSL3/TLS1.0 :

اولا - ودة الي هتلاحظة لو في خطء الي هو (No certificate) ssl سعتها بيطلعلك تنبية اما TLS. اما TLS مش بيبعت تنبية وببعت قيم Values

TLS بيستخدم HMAC للمصادقة الرسائل اما SSL بيستخدمMAC[ولي ممكن نقول علية ببساطة رمز توثيق الرسالة والي بيساعد علي ضمان وصحة الرسالة] (هسيب مصدر ليها تحت)

ثالثا : Certificate verify بالنسبة للssl  فالموضوع معقدبالنسبالة اما لل TLS فالموضوع بسيط لانة بيتبعت مع الهاندشيك

مش هنكلم اكتر من كدة هسيب مصادر للي عايز يعرف اكتر عشان البست ميطولش. بس قبل ما نبدا في الثغرات الي فيهم احب اقول تعليق قراتة في مقالة اجنبية وهى ان (TLS ما هو الي SSLV4 اي تحديث امن واقوى من ssl)

نبدء بقي نتكلم عن الثغرات الي في البروتوكول ده :

اول حاجة والي لازم نتكلم عليها واشهرهم هي:  heartbleed vulnerability ثغرة نزيف القلب.

سبب شهرة الثغرة ده عن بقيت الثغرات مع ان في ثغرات في ssl ممكن تساويها في الخطر هو ان الاستغلال بتاعها كان public لاي حد يقدر يستغلة وعشان تتخيل قد اية كان متاح ان في module علي metasploit لاستغلال الثغرة ده . بس اية هي الثغرة ده ببساطة الثغرة ده تعرفها من موقعها : 

هي نقطة ضعف خطيرة في مكتبة برامج التشفير OpenSSL الشائعة. يسمح هذا الضعف بسرقة المعلومات المحمية ، في ظل الظروف العادية ، بواسطة تشفير SSL / TLS المستخدم لتأمين الإنترنت. يسمح Heartbleed bug لأي شخص على الإنترنت بقراءة ذاكرة الأنظمة المحمية بواسطة الإصدارات الضعيفة من برنامج OpenSSL. يؤدي ذلك إلى تعريض المفاتيح السرية المستخدمة لتحديد موفري الخدمات وتشفير حركة المرور وأسماء وكلمات مرور المستخدمين والمحتوى الفعلي. هذا يسمح للمهاجمين بالتنصت على الاتصالات ، وسرقة البيانات مباشرة من الخدمات والمستخدمين وانتحال هوية المستخدمين والمستخدمين.

من كشف عن هذه الثغرة؟

أكتشف الثغرة موظف في قسم الأمن في شركة جوجل يدعى "نيل ميهيتا"، وقد تبين أن التغرة موجودة منذ عامين، ولأن هذا نظام التشفير مفتوح المصدر، فهو يسمح لعدد معين من المبرمجين بالاطلاع الكامل على "كود" البرمجيات، وإعادة فحصها، وهذا ما قام به "نيل" واكتشف من خلاله الثغرة.

مدي تأثير الثغرة ؟

أكثر من ثلثي خوادم الشبكة يستخدمون تقنية OpenSSL للتشفير، والثغرة تطال بالتحديد نسخة مطورة عام 2011. وقد أظهرت الدراسات أنّ 81% من المواقع تستخدم برامج خوادم مثل Apache و Nginx وكلاهما معرض للاستهداف من قبل الثغرة. الكثير من المواقع الشهيرة مثل جوجل وياهو وأمازون تستخدم وسائل التشفير المستهدفة، وقامت هذه المواقع بتحديث نفسها وإصلاح الثغرة، ويضاف للمواقع التي تستخدم نظام التشفير المعني فيسبوك وبنترست وإنستجرام. ببساطة الثغرة ده وقتها كانت ثغرة غير مسبوقة تقريبا مشفناش زيها وده كن تعليق مدير كلاوفلير عليها

رابط موقع الثغرة : heartbleed

رابط الفحص: filippo او اقدر تفحصها من موديل الي علي الميتا سبلويت

auxiliary/scanner/ssl/openssl_heartbleed

الثغرة الي بعد كدة والي تكلمنا عليها فوق ( - Padding Oracle On Downgraded Legacy Encryption - POODLE  ) :

السناريوا بتاع الهاك :

يبدأ العميل المصافحة ويرسل قائمة بإصدارات SSL / TLS المدعومة. يعترض المهاجم حركة المرور، ويؤدي هجوم man-in-the-the-middle (MITM)، ويقوم بانتحال شخصية الخادم حتى يوافق العميل على خفض مستوى الاتصال بـ SSL 3.0.

ثالثا : 

DROWN - (Decrypting RSA with Obsolete and Weakened eNcryption)

هو ثغرة خطيرة تصيب بروتكول HTTPS وغيرها من الخدمات التي تعتمد على TLS , SSL  وبعض من بروتوكولات التشفير الاساسية لامن شبكة الانترنيت . وتسمح هذه البروتوكولات الجميع على الشبكة العنكبوتية لتصفح المواقع وارسال الرسائل والتسوق ونقل المعلومات المهمة دون السماح لطرف ثالث بالقدرة على رؤية ما يتم تبادله بين المستخدم والشبكة العنكبوتية . ماذا يحصل عليه المخترق من هذه الثغرة ؟ 

يحصل على اي شيء يتم تمريره بين المستخدم والسيرفر، ويشمل مثلاً أسماء المستخدمين وكلمات المرور، ارقام الحسابات، رسائل البريد الالكتروني، والرسائل الفورية، الوثائق المهمة، وفقاً لبعض السيناريهوات يمكن ايضاً للمهاجم عمل spoof محتوى موقع امن واعتراض الطلبات وما يراه المستخدم .

رابعا - Bar-Mitzvah Attack 

ظهرت ثغرة وهجوم جديدين في اكثر انظمة التشفير المشهورة عالميا والتي تسمح للمخترق ان يقوم بسرقة بيانات بطاقات الإئتمان و الدفع الإلكتروني و كلمات المرور واي بيانات حساسة يتم تراسلها بشكل محمي و مشفر بإستخدام بروتوكولات SSL و TLS. هذه الثغرة موجودة منذ اكثر من 13 عاما في خوارزمية RC4 و التي تعد الأكثر استخداما في حماية ما يقارب 30% من البيانات التي يتم تراسلها بشكل مشفر عبر الإنترنت في ايامنا هذه. الهجوم والذي اطلق عليه اسم Bar-Mitzvah يمكن تنفيذه بدون شن هجوم الرجل في المنتصف (Man in The Middle Attack) على الإتصالات و الطلبات بين كل من جهاز الضحية و جهاز الخادم كغيره من انواع الهجوم و الثغرات الأخرى التي اصابت بروتوكول SSL.

خامسا : Weak cipher suites :

والي بتسمح للمهامج لفك تشفير البيانات بينة وبين السرفر بس ضعف في شهادة ssl الي ممكن للهاكر انة يجبها من public key 

المصادر والمراجع :