In ultimii ani Internet-ul este din ce in ce mai folosit in activitati de afaceri

Asa cum este bine cunoscut, în Apache si in alte server-e web, atât autentificarea utilizatorilor, cât si autorizarea accesului se face pe bazã de "username" si parolã. Acest mod traditional de securitate are douã puncte slabe:

- Datele transmise între serverul WEB si browser-ul client nu sunt protejate la interceptare si existã posibilitatea ca un individ cu sã poatã intercepta informatii confidentiale, cum ar fi parolele sau date despre cartele de credit, conturi bancare etc, care circulã între browser-ul clientului si serverul WEBº

- Adoua slãbiciune a sistemului de securitate traditional este cã, în timp ce serverul de WEB prezintã un nivel rezonabil de securitate raportat la utilizatorul client, clientul nu are nici o posibilitate de a stabili dacã serverul de WEB este cel corect.

Deseori hotii se substituie unui server bine cunoscut de WEB, încercând sã parã gazde legitime, capturând informatii confidentiale pe care utilizatorul inocent considerã cã le trimite unui server legitim. O datã cu dezvoltarea comertului electronic, astfel de cazuri au devenit tot mai frecvente.

Protocolul SSL (Secure Sockets Layer) si-a propus sã asigure un canal de comunicatie privat între server-ul de WEB si browser-ul client si totodatã sã asigure clientii cã serverul la care sunt conectati este cel adevãrat. Pentru aceasta se foloseste certificatul SSL care este un certificat semnat digital.

Protocolul SSL se bazeazã pe criptografia cu cheie publicã, care este un sistem de codificare asimetric, în care cheia folositã pentru codificrae datelor este diferitã, dar înruditã matematic cu cheia folositã pentru pentru decodificarea acelorasi date.

Existã douã sisteme de codificare: codificarea simetricã si codificarea asimetricã.

În codificarea simetricã se foloseste o singurã cheie atât pentru codificarea cât si pentru decodificarea umui mesaj, având avantajul cã este mai rapidã. De aceea, codificarea simetricã este folositã atunci când trebuie codificate cantitãti mari de date înainte de a fi expediate si care apoi trebuie decodificate rapid la celãlalt capãt al canalului de comunicatie. Dezavantajul metodei de codificare simetricã este cã ambii participanti la comunicatie trebuie sã cunoascã cheia unicã folositã.

În codificarea asimetricã, cunoscutã si sub numele de codificare cu cheie publicã, se folosesc douã chei. Una din cele douã chei este consideratã cheie publicã si este distribuitã printr-un mijloc oarecare clientilor. A doua cheie este cheia privatã si este pãstratã în secret de cãtre proprietarul perechii de chei. Cele douã chei nu sunt complet independende una de cealaltã, ele sunt înrudite matematic si sunt generate simulan de Autoritatea de Certificare (CA). Cele douã chei permit ca un mesaj sã fie codificat cu una din chei si decodificat numai cu cealaltã cheie.

Cum functioneazã un sistem de codificare cu cheie publicã?

Cheia publicã dintr-o pereche de chei detinutã de exemplu de persoana A este accebilã public si poate fi descãrcatã prin Internet de pe un site web sau ftp. Presupen cã o altã persoanã B doreste sã transmitã un mesaj confidential persoanei A. Persoana B va obtine cheia publicã a persoanei A prin Internet si va codifica informatiile confidentiale cu cheia publicã a lui A si i le va transmite persoanei A. Acum, numai posesorul cheii private care corespunde cheii publice folosite pentru codificarea informatiilor va putea decodifica mesajul si va putea astfel citi informatiile confidentiale trimise de persoana B. Cum cheia privatã este tinutã în secret de persoana A, numai persoana A va putea citi informatiile confidentiale transmise de persoana B.

Operatiile matematice folosite pentru implementarea sistemelor de codificare cu cheie publicã sunt foarte complexe si solicitã intens procesorul unui sistem de calcul. De aceea, în practicã, codificarea cu cheie publicã este folositã doar pentru autentificarea persoanelor care doresc sã stabileascã un canal sigur de comunicatie si pentru transmiterea in sigurantã a unei chei de codificare simetricã între serverul SSL si browser-ul client. Aceastã cheie simetricã este apoi folositã pentru codificarea si decodificarea datelor ce se transmit între cele douã puncte, operatiile de codificare simetricã fiind mai simple, mai eficiente si de aceea solicitã mai putin procesoarele serverului SSL si al clientului.

Autentificarea cu cheie publicã joacã un rol important în SSL. Aceasta se bazeazã pe urmãtoarea remarcã. Dacã persoana A codificã un mesaj cu cheia sa privatã dintr-o pereche de chei, persoana B va putea decodifica acel mesaj cu cheia publicã pereche. Dacã respectiva cheie publicã decodificã în mod corect datele, persoana B va sti cu un grad ridicat de certitudine cã posesorul cheii private, adicã persoana A, este cel care a codificat datele. Cu alte cuvinte, destinatarul datelor, adicã persoana B, are certitudinea cu privire la identitatea expeditorului, deci identitatea expeditorului este astfel autentificatã.

Concluzionând, Secure Socket Layer (SSL) foloseste atât codificarea simetricã, cât si codificarea asimetricã. Când se stabileste o legãturã între un server de Web si un browser, sesiunea de comunicatii dintre cele douã puncte este codificatã si decodificatã folosind un algoritm cu cheie simetricã eficient, convenit de ambele pãrti, folosind o cheie unicã partajatã. Aspectul cu adevãrat genial în cazul protocolului SSL îl reprezintã metoda securizatã folositã pentru transmiterea acestei chei de sesiune simetrice. Aici joacã un rol important codificarea cu cheie publicã. Pentru a se putea folosi SSL, toate serverele SSL au certificate de autentificare digitale prin care se pot identifica.

Certificatel SSSL sunt in principiu pachete digitale care contin jumãtatea publicã a setului de chei ce apartine unui server de Web SSL. Certificatul este folosit ca mãsurã de încredere pentru a vi se transmite aceastã cheie publicã. Dupã ce primiti cheia publicã a unui site de Web SSL, puteti sã codificati mesajul cãtre site-ul respectiv iar acesta sã poatã fi decodificat numai de posesorul jumãtãtii private unice din setul de chei. În acest fel puteti sã transmiteti cheia de sesiune mentionatã mai sus, care este folofitã apoi pentru realizarea unui tunel securizat prin Internet pentru comunicatia dumneavoastrã si site-ul SSL.

Certificatele digitale SSL sunt emise de cãtre organizatii cunoscute sub numele autoritãti de certificare (CA). O autoritate de certificare este o organizatie care are rolul de a certifica faptul cã titularul uni certificat SSL este chiar cel care pretinde cã ar fi.

Browser-ele de Web (Netscape, Internet Explorer, Opera, Mozila Firefox, Chrome, Safari etc.) au incluse o listã lungã de autoritãti de certificare de la care acceptã certificate de autenticitate. Browser-ele de Web au de asemenea incluse cheile publice ale autoritãtilor de certificare cu care comunicã. Dacã o anumitã autoritate de certificare nu este inclusã în browsewr-ul dumneavoastrã, exitã posibilitatea de a fi adãugatã în browser, astfel cã in viitor browser-ul va sti sã comunice cu acea autoritate de certififcare. PEntru a vedea aceste informattii în Netscape 7.1, selectati Edit -» Preferences -» Privacy & Security -» Certificates -» Manage Certificates -» Authorities, iar in Internet Explorer selectati

Certificatele digitale SSL folosite astãzi sunt conforme standardului international X.509 adoptat de ITU (International Telecommunication Union) si ISO (International Organization for Standardization). În afara cheii publice a titularului certificatului, un certificat X.509 contine si informatii de genul datei de expirare, detalii despre autoritatea de certificare emitentã si titularul certificatului. Certificatul contine si o parte pe care nu o poti vedea si care contine semnãtura autoritãtii emitente a certificatului. Aceastã semnãturã indicã faptul cã s-a verificat continutul certificatului si cã el prezintã incredere.

Mai jos se descrie modul cum functioneazã sistemul de autentificare a certificatelor digitale SSL.

1. Posesorul unui site care doreste sã foloseascã protocolul SSL, trimite o cerere de certificat unui furnizor de certificate. Cererea include si CSR-ul care contine cheia publicã a site-ului, împreunã cu alte informatii despre firmã.

2. Furnizorul de certificate lucreazã impreunã cu o autoritate de certificare. cãreia îi trimite cererea primitã de la client.Dupã verificarea faptului cã cererea de certificat este valabilã si provine de la sursa pe care pretinde cã o reprezintã, creazã un certificat pe care îl codificã apoi cu cheia sa privatã. Certificatul este apoi trimis posesorului de site care l-a solicitat.

3. De acum inainte, ori de câte ori un browser client compatibil cu SSL se conecteazã la serverul de WEB SSL al site-ului, browser-ului client îi va fi trimis acest certifcat.

4. Browser-ul client, care are încredere în autoritatea de certificare care a emis certificatul, valideazã certificatul cu cheia publicã a autoritãtii de certificare. prin care se verificã faptul cã acesta a fost semnat de autoritatea respectivã cu cheia sa privatã pãstratã strict secret. Un certificat este considerat a fi valabil dacã îndeplineste urmãtoarele trei criterii:

• Certificatul trebuie sã fi fost emis de o autoritate de certificare;
• Certificatul trebuie sã nu fie expirat;
• Certificatul trebuie sã fie pentru serverul de Web la care browser-ul client crede cã este conectat, cu alte cuvinte, certificatul SSL oferit de server trebuie sã se suprapunã cu URL-ul folosit pentru formularea cererii.

5. Dupã ce s-a validat certificatul browser-ul client îl va deschide si va extrage cheia publicã a server-ului de Web.

6. Browser-ul client va genera apoi o cheie de sesiune simetricã si va codifica acea cheie cu cheia publicã a site-ului de Web. De retinut cã numai site-ul de Web care are cheia privatã corespunzãtoare poate decripta cheia de sesiune, astfel încât, dupã decriptarea corectã, numai browser-uº care a generat cheia si site-ul de Web respectiv o vor recunoaste.

7. În restul sesiunii SSL, browser-ul client si serverul de Web SSL vor folosi aceastã cheie simetricã partajatã pentru a cripta toate mesajele care circulã în ambele sensuri. Sistemul mai lent de criptare cu cheie publicã este folosit numai pentru autentificarea serverului de Web fatã de browser-ul client si pentru a asigura o transmitere în sigurantã a cheii de sesiune între cele douã pãrti.

Mai multe informatii despre SSL, precum si modul cum sistemul SSL se instaleazã si se configureazã în Apache pe Linux, gãsiti în referintele urmãtoare.

Referinte:

1. Charles Aulds, "LINUX - Administrarea serverului Apache", Traducere în limba românã, Editura Teora, Bucuresti 2002.

2. Ramón J. Hontañón, "Securitatea în Linux", Traducere în limba românã, Editura Teora, Bucuresti 2002.

3. Naba Barkakati, "Totul despre Red Hat LINUX", Traducere în limba românã, Editura Teora, Bucuresti 2002.