מושגי יסוד ב-Security

בלי כתוביותעם כתוביות

מילון מושגים:

הצפנה - המרת מידע לצורה בלתי קריאה בעזרת מפתח, כך שרק מי שמחזיק במפתח המתאים יכול לפענח ולקרוא אותו.

אימות - תהליך שמוודא שהמשתמש או המערכת הם מי שהם טוענים שהם, בדרך כלל באמצעות סיסמה, קוד או תעודה.

שם משתמש - מזהה ייחודי שמשתמש מזין כדי להזדהות במערכת, לרוב יחד עם סיסמה.

טוקן - פיסת מידע שמשמשת לאימות או להרשאה, שהמערכת מנפיקה ללקוח ומוצגת בבקשות הבאות במקום סיסמה.

תעודה דיגיטלית - מסמך מוצפן שמאשר את זהותו של אתר או שרת וקושר אותו למפתח ציבורי, ומונפק על ידי רשות אישורים.

הרשאה - קביעה אילו פעולות ומשאבים מותרים למשתמש או לתהליך לאחר שזהותו אומתה. שולטת במי רשאי לעשות מה.

אדם בתווך - מתקפה שבה גורם עוין מיירט ואולי משנה את התקשורת בין שני צדדים בלי שהם מודעים לכך.

לקוח - תוכנה או מחשב שפונים לשרת ומבקשים ממנו שירות או מידע, למשל דפדפן שמבקש דף אינטרנט.

מושגי יסוד ב-Security

WCF מכיר בארבעה היבטים של אבטחה, ובשתי רמות שבהן מבצעים הצפנה ובדיקת שלמות. כדאי להכיר את המונחים לפני שנכנסים לדוגמה.

ארבעת ההיבטים

1. Authentication (אימות): וידוא מי השולח. אפשר לאמת לפי שם משתמש וסיסמה, לפי Windows Token, לפי Issued Token שנוצר על ידי גורם אחר, או לפי Certificate.

2. Authorization (הרשאה): מי מורשה לגשת לאיזה משאב. אפשר להשתמש בתפקידים של Windows, בתפקידים של ASP.NET, או במנגנון מותאם אישית.

3. Integrity (שלמות): וידוא שהמידע לא שונה בדרך, למשל על ידי אדם שנכנס באמצע (Man in the Middle). בודקים את סכום הביטים של ההודעה.

4. Confidentiality (סודיות): הצפנה, כך שאחרים לא יכולים לקרוא את ההודעה.

שתי רמות ההגנה

5. Message level: ההגנה נמצאת בתוך ההודעה עצמה, והיא פועלת מקצה לקצה (end-to-end) בין הלקוח לשרת, גם אם יש בדרך כמה נקודות.

6. Transport level: ההגנה נמצאת בערוץ התקשורת ופועלת רק בין שתי נקודות (point-to-point). אם יש בדרך כמה נקודות, היא לא מכסה את המסלול כולו.

מצבי האבטחה

7. ששה מצבים: None, Transport, Message, Both, Transport with message credentials ו-Transport credentials only. לכל ביינדינג יש ברירת מחדל, ו-BasicHttpBinding מתחיל בלי אבטחה.

בשיעור הבא נראה דוגמה פשוטה של הצפנת הודעה, ונבדוק אם אפשר לקרוא את המידע שנשלח.

השיעור הבא בקורס: Security - Message Level

פרקי ההרצאה: מושגי יסוד ב-Security

תמלול ההרצאה: מושגי יסוד ב-Security

הטקסט המלא של הדקות הראשונות בהרצאה «מושגי יסוד ב-Security» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:20
איך נכנסים לתחום הסקיוריטי ב-WCF? ראשית, נראה כל מיני מונחים בעולם הסקיוריטי, ולאחר מכן נעשה דוגמה פשוטה שמצפינה את ההודעה שלנו מהלקוח לשרת ומהשרת הלקוח.
00:36
אוקיי, אז בואו נראה. ישנם ארבעה אספקטים של אבטחה ב-WCF. קודם כל, יש לנו משהו שנקרא Authentication, כלומר אימות. מה זה אומר?
00:48
אנחנו צריכים לדעת בוודאות שאנחנו מתקשרים עם הגורם הנכון, עם הבן אדם הנכון, עם הלחץ. לקוח הנכון סוגי Authentication שקיימים ואנחנו יכולים לבצע אימות לפי שם משתמש וסיסמה לפי Windows Token, המילה Token זה אות, זאת אומרת אות שנשלחת מנקודה א' לנקודה ב' שמציינת משהו או מהווה משהו בעצם, Issued Token, לא שווינדוס יצרה אלא שמישהו
01:16
אחר יצר אותה ו-Certificate. יש לנו אספקט נוסף שנקרא Authorization כלומר הרשאות מי יכול לגשת למשאבים מסוימים ומי לא יכול לגשת אליהם שזה יותר חשוב.
01:30
מכניקות של authorizations שונים Windows roles נקרא ASP.NET.Roles ואנחנו יכולים לבצע custom של authorization. הדבר השלישי שיש לנו זה משהו שנקרא אינטגריטי זאת אומרת שלמות אנחנו יכולים לוודא שהמידע שהלקוח שולח לשרת או שהשרת שולח ללקוח באמת אף אחד לא נכנס באמצע מה שנקרא בעולם הסקיוריטי
02:00
Man in the Middle ושינה לנו את המידע, לקח חלק או בעצם הכניס חלק אחר, שינה. אז אנחנו יכולים לבצע את זה בשתי רמות. רמה אחת נקראת Message Level ורמה אחת נקראת Transport Level.
02:18
אז ברמת Message Level מה שעושים זה מסתכלים על ההודעה, מחשבים את סכום הסיביות של ההודעה, הפעולה הזאת נקראת צ'ק סאם, מצפינים את הסכום אבל לא את ההודעה, מכניסים אותו להודעה ושולחים.
02:34
בקצב השני פותחים את ההודעה, מפענחים אותה,