[]
SSL Baglantılar Nasıl Çalışıyor?
şimdi efendim eğer yanılmıyorsam bu web üzerinden yaptığımız ssl bağlantılar rsa encription kullanıyor. yani bir şifreleyen public key, bir de şözen private key. şimdi bir siteye secure bağlantı yapmak istediğimizde sanırım bize public key ini güvensiz olarak gönderiyor.(burda sorun yok). bizde bilgilerimizi şifreliyoruz , gönderiyoruz ve sadece private key kendisinde olduğu için o decrypt edebiliyor. yani bizim server a gönderdiğimiz bilgiler tamamen güvenli. soru burda geliyor. Peki ya serverdan bize gelen bilgiler? yoksa bizim browserlarda da bir RSA key generator mı var? yoksa bu bağlantı tek taraflı olarak mı güvenli? tabi genellikle authentication,kredi kartı gibi bilgiler bizden gittiği için onların şifrelenmesi yeterli ama ya iki taraflı güvenlik gerekirse?
vennus: private key şifreyi açabilen ve gizli kalması gereken, public key ise o private key için şifreleyebilen ve herkesin erişimine açık bir keydir.
- ozdek
(16.03.07 14:20:29)
jkulakwalker: biraz google yapınca one way SSL ve two way SSL diye iki kavram ortaya çıktı fakat farklarını bulmaya ya da garanti net şubesinde nasıl kullanıyoruz mesela diye araştırmaya vaktim olmadı üzgünüm.
Güncelleme: gmail e ssl ile bağlandım 256 bit şifreleme varmış ve firefox bu sayfalar size gönderilmeden şifrelendi gibi bir yazı yazdı. garanti ye bağlandım rc4 128 bit ile şifrelenmiş ve aynı yazı yazıyordu (yazı genel bir yazı olabilir demek ki iki taraflı şifreleme var) Gmail in 256 bit şifrelemesi varken garantinin 128 biti gözüme çarpmadı da değil hani. Bir zamanlar bazı bankacılık siteleri 40 bit inadındaydı hatırlarsanız.
Güncelleme: gmail e ssl ile bağlandım 256 bit şifreleme varmış ve firefox bu sayfalar size gönderilmeden şifrelendi gibi bir yazı yazdı. garanti ye bağlandım rc4 128 bit ile şifrelenmiş ve aynı yazı yazıyordu (yazı genel bir yazı olabilir demek ki iki taraflı şifreleme var) Gmail in 256 bit şifrelemesi varken garantinin 128 biti gözüme çarpmadı da değil hani. Bir zamanlar bazı bankacılık siteleri 40 bit inadındaydı hatırlarsanız.
- ozdek (16.03.07 14:21:41)
iki taraflı şifreleme diye bir şey olduğunu anladığımıza göre şu sorumu tekrarlayım. O halde bizim browserlerin içinde gömülü bir RSA key generator mu var? secure bir sayfaya bağlantı yapmak istediğimizde, private ve public key oluşturup bunu server a mı gönderiyor? böyle bir şey yoksa ve server kendi şifreliyorsa private key i bana güvenli bir şekilde nasıl ulaştırıyor?
- jkulakwalker (16.03.07 16:36:42)
SSL Netscape tarafından yaratılmıs olan bir protokoldur, bu protokol third party dedigimiz bir onay kurumu (CA) ya ihtiyac duyar. kısaca soyle calısır
- browserdan guvenli sayfaya baglanırsınız (https)
- web server bir public key ve sertifikasını gonderir. sertifika dedigimiz sey genelde hash fonksiyonudur.
- browserınız CA ya gider sertifikayı o siteye ait oldugunu ve gecerliligini kontrol eder.
- browser artık bu public keyin guvenli olduguna ve siteye ait olduguna emin oldugundan public key ile kendi urettigi rasgele bir simetrik anahtarı, urettigi anahtarla sifreledigi sifreli url ve sifreli http datasını sifreler ve servera gonderir
- artık bu bilgiyi sadece private keye sahip olan site acabilir. actıktan sonra browserın urettigi anahtarla browserın gonderdigi sifreli url ve http datalarını acabilir. ve istenilen bilgileri simetrik anahtarla sifreler ve gonderir.
- browser http bilgilerini ve html datasını simetrik anahtarla acar ve dokumanı ekrana sunar.
ozetle akıs bu sekildedir...
- browserdan guvenli sayfaya baglanırsınız (https)
- web server bir public key ve sertifikasını gonderir. sertifika dedigimiz sey genelde hash fonksiyonudur.
- browserınız CA ya gider sertifikayı o siteye ait oldugunu ve gecerliligini kontrol eder.
- browser artık bu public keyin guvenli olduguna ve siteye ait olduguna emin oldugundan public key ile kendi urettigi rasgele bir simetrik anahtarı, urettigi anahtarla sifreledigi sifreli url ve sifreli http datasını sifreler ve servera gonderir
- artık bu bilgiyi sadece private keye sahip olan site acabilir. actıktan sonra browserın urettigi anahtarla browserın gonderdigi sifreli url ve http datalarını acabilir. ve istenilen bilgileri simetrik anahtarla sifreler ve gonderir.
- browser http bilgilerini ve html datasını simetrik anahtarla acar ve dokumanı ekrana sunar.
ozetle akıs bu sekildedir...
- evrenpredator (16.03.07 17:49:21)
jkulakwalker: vennus e yazdığım cevaba bak. senin browserın private keyi yayınlamaya ihtiyacı yok ki. public key yayınlar, aynı şekilde server da public key yayınlar. private keyler sende kalabilir bir sakıncası yoktur onu hiçbir zaman aktarma ihtiyacın olmaz çünkü senin ya da serverın public key i şifrelemek için gerekli her datayı sunar!
- ozdek (16.03.07 17:59:01)
ozdek: abi 256 bit sifreleme okuz gibi pahali... bir ara sacma sapan bir mevzudan dolayi incelemistim de ordan biliyorum. bizim bankamiz cimrilik etmis demek ki :)
- entrapmen (16.03.07 22:55:22)
private key'in adı üstünde, private key her zaman gizli tutulur.
- compumaster (17.03.07 09:00:03)
rsa konusunda şöyle bir şey ekleyeyim. rsa'da bir sunucunun public ve private olmak üzere iki anahtarı vardır. sen sunucuya veri göndermek istediğinde önce sunucunun sana verdiği public key ile ham verini şifrelersin. elde edilen şifreli veri ancak ve ancak private key sahibince (sunucu) deşifre edilebilir.
sonuç browser için herhangi bir rsa generator yoktur.
sonuç browser için herhangi bir rsa generator yoktur.
- answer the questions (28.03.07 17:32:52)
1
