Başlıca Haberler
Ana Sayfa / Bilgi Güvenliği / Bilgi Güvenliğinde, Verilerin Şifrelenmesi ve Korunması Neden Önemlidir ?

Bilgi Güvenliğinde, Verilerin Şifrelenmesi ve Korunması Neden Önemlidir ?

Bilgi Güvenliğinde, Verilerin Şifrelenmesi ve Korunması Neden Önemlidir ?

Kriptografi, verilerin dönüştürülmesine dayalı bir matematik dalıdır. bilgiyi korumak için önemli bir araçtır ve bilgi güvenliğinin pek çok yönüyle kullanılmaktadır. Örneğin, Kriptografi veri gizliliği ve bütünlüğünü sağlamaya yardımcı olabilir. Bu güvenlik hedefleri, elektronik imzalar ve gelişmiş kullanıcı kimlik doğrulaması gibi çeşitli Kriptografik algoritmalar kullanılarak gerçekleştirilebilir. Modern Kriptografi gelişmiş matematiğe dayanmasına rağmen, kullanıcılar matematiksel temellerini anlamadan faydalarını toplayabilirler. 9.1 Kriptografinin Kullanımı Kriptografi, verileri bir sistemin sınırları içinde ve dışında korumak için kullanılır. Bir sistem içindeki veriler mantıksal ve fiziksel erişim kontrolleri ile yeterince korunabilir (belki de Kriptografi ile desteklenir). Ancak, sistemin dışında, Kriptografi bazen verileri korumanın tek yoludur. Örneğin, iletişim hatları arasında geçiş yaparken veya başka bir sistemde ikamet ettiğinde, vericinin mantıksal veya fiziksel erişim kontrolleri tarafından veriler korunamaz. Kriptografi, veri artık kaynakların kontrolünde olmadığında bile verileri koruyarak bir çözüm sağlar. Veri Şifreleme Maliyet etkin veri gizliliği elde etmenin en iyi yollarından biri şifreleme kullanımıdır. Şifreleme, düz metin olarak adlandırılan anlaşılır verileri, şifreli metin olarak adlandırılamaz bir forma dönüştürür. Bu, şifre çözme işlemiyle tersine çevrilir. Elektronik verileri korumanın bir yolu, gelişmiş şifreleme standardını (AES) kullanmaktır. AES algoritması, bilgiyi şifrelemek ve şifresini çözmek için kullanılabilecek bir şifreleme algoritmasıdır.

Veri şifrelendikten sonra, şifreli metnin açıklamaya karşı korunması gerekmez. Ancak, şifreli metin değiştirilirse, doğru şifresini çözmez. AES’in daha kapsamlı bir açıklaması FIPS 197, Gelişmiş Şifreleme Standardı’nda (AES) bulunabilir. Veri şifrelemeyi sağlayan tüm ortak anahtar algoritmaları olmasa da, hem gizli hem de açık anahtar şifrelemesi veri şifreleme için kullanılabilir. Gizli bir anahtar algoritması kullanmak için, veriler belirli bir anahtar kullanılarak şifrelenir. Verilerin şifresini çözmek için aynı anahtar kullanılmalıdır. Şifreleme için ortak anahtar şifrelemesi kullanıldığında, herhangi bir taraf bir mesajı şifrelemek için başka herhangi bir tarafın genel anahtarını kullanabilir. Bununla birlikte, sadece ilgili özel anahtara sahip olan taraf mesajı çözebilir ve böylece okuyabilir. Bir başka Kriptografi şekli seçmek için birkaç sebep vardır. Örneğin, bir kuruluş, ortak anahtar şifrelemeyle gitmeye karar verebilir, çünkü özel anahtarların kimseye iletilmesi gerekmediğinden, daha güvenli ve kullanışlıdır. Gizli anahtar şifrelemesinin çalışması için, gizli anahtarların, bu anahtarın şifrelenmesi ve şifresinin çözülmesi için aynı anahtarın kullanılmasından dolayı iletilmesi gerekir. Federal Şifreleme Anahtar Yönetim Sistemleri (CKMS) için bir Bütünlük Bütünlük, verilerin oluşturulmasından, iletilmesinden veya depolanmasından sonra yetkisiz bir şekilde değiştirilmediği bir özelliktir. Sistemlerde, verilerin silinip silinmediğini veya değiştirilmediğini belirlemek için insanların bilgileri taraması her zaman mümkün değildir. Tarama mümkün olsa bile, bireyin doğru verinin olması gerektiğini bilemez. Örneğin, “do”, “yapma” olarak değiştirilebilir veya 1.000 $, 10.000 $ olarak değiştirilebilir.

Bu nedenle, hem kasıtlı hem de kasıtsız olarak veri modifikasyonlarının tespit edilmesine yönelik otomatik bir yönteme sahip olmak arzu edilir. Hata tespit kodları (örn. Parite bitleri) iletişim protokollerinde uzun süredir kullanılmakta iken, istem dışı değişikliklerin algılanması için, mesajı yakalayan ve değiştiren bir saldırgan da mesajın hata tespit kodunu değiştirebilir. Kriptografi, hem kasıtlı hem de kasıtsız değişiklikleri etkili bir şekilde tespit edebilir. 9.1.3 Elektronik İmzalar Günümüzün sistemleri, belgeleri elektronik biçimde saklar ve işler. Elektronik formdaki belgelere sahip olmak hızlı işleme ve iletime izin verir ve genel verimliliği artırır. Bir kağıt belgenin onayı geleneksel olarak yazılı bir imza ile belirtilmiştir. Bu nedenle, ihtiyaç duyulan, yazılı bir imzanın aynı yasal statüye sahip olduğu kabul edilebilecek yazılı bir imzanın elektronik eşdeğeridir. Yukarıda tartışılan bütünlük korumalarına ek olarak, Kriptografi, bir belgeyi yazılı bir imza ile yapıldığı gibi, belirli bir kişiyle bağlamanın bir yolunu sağlayabilir. Elektronik imzalar, gizli anahtar veya genel anahtar şifrelemesi kullanabilir. Bununla birlikte, genel anahtar yöntemleri genellikle daha kolay kullanılır. Yazılı bir imzanın dijital fotoğrafını çekmek yeterli güvenlik sağlamaz. Böyle bir sayısallaştırılmış yazılı imza, bir elektronik belgeden diğerine, meşru olup olmadığına karar vermek için kolaylıkla kopyalanamaz. Öte yandan elektronik imzalar tek bir mesaj için ve sadece bu mesaj için doğrulanabilir. Örneğin, SHA-3 gibi bir şifreleme karma işlevi (10), orijinal mesajın aynı karma değerle farklı bir mesaja değiştirilemeyeceğine dair güvence sağlayan bir dijital imzanın güvenliğini ve verimliliğini arttırmak için kullanılabilir.

Verilerin Şifrelenmesi ve Korunması Neden Önemlidir ?

PermütasyonBased Hash ve Extendable-Output Fonksiyonları. 9.1.3.1 Gizli Anahtar Elektronik İmzalar Elektronik imza, gizli anahtar mesajı doğrulama kodları veya MAC’lar kullanılarak uygulanabilir. Örneğin, iki taraf bir gizli anahtarı paylaşırsa ve bir taraf paylaşılan anahtar kullanılarak doğru şekilde doğrulanmış bir MAC ile veri alırsa, o taraf diğer tarafın verileri imzaladığını varsayabilir. Bu aynı zamanda iki tarafın birbirlerine güvendiğini varsayar. Bir MAC kullanımı ile veri bütünlüğü ve elektronik imza formu elde edilir. Anahtar noterlendirme11 ve anahtar özellikler12 gibi ek kontroller kullanarak, iki taraf birbirlerine güvenmese bile elektronik imza temin etmek mümkündür. 9.1.3.2 Genel Anahtar Elektronik İmzalar Bir başka elektronik imza türü, dijital imza olarak adlandırılır ve açık anahtar şifrelemesi kullanılarak uygulanır. Vericinin özel anahtarını verilere uygulayarak veriler elektronik olarak imzalanır. (Bunu yapmak için kesin matematiksel süreç bu tartışma için önemli değildir.) Sürecin hızını arttırmak için, özel anahtar veri yerine “karma” veya “mesaj özeti” adı verilen daha kısa bir biçime uygulanır. tüm veri kümesine. Elde edilen dijital imza, verilerle birlikte saklanabilir veya iletilebilir. İmza, imza sahibinin açık anahtarı kullanılarak herhangi bir tarafça doğrulanabilir. Bu özellik, örneğin virüssüz yazılımın imzalı kopyalarını dağıtırken çok kullanışlıdır. Herhangi bir alıcı programın virüssüz olduğunu doğrulayabilir. İmzanın doğru bir şekilde doğrulanması durumunda, doğrulayıcı, verilerin imzalandıktan sonra değiştirilmediğine ve genel anahtarın sahibinin imzalayan olduğuna güvenir. NIST, FIPS 186-4, Dijital İmza Standardı ve FIPS 180-4, Güvenli Karma Standardı’nda federal hükümet tarafından kullanılmak üzere bir dijital imza ve güvenli bir karma standartlar yayınladı. 

Kullanıcı Kimlik Doğrulama Doğrulama

bilgi kaynağının alıcı bir varlığa güvence vermesini sağlayan bir işlemdir. Kriptografi, kullanıcı kimlik doğrulama tekniklerinde güvenliği artırabilir. Bölüm 10.7’de tartışıldığı gibi, Kriptografi birçok gelişmiş kimlik doğrulama yönteminin temelidir. Şifreleri açık bir ağ üzerinden iletmek yerine, bir şifreleme anahtarı bilgisini göstererek kimlik doğrulaması yapılabilir. Bu yöntemleri kullanarak, dinlenmeye karşı duyarlı olmayan bir kerelik şifre kullanılabilir. Kullanıcı kimlik doğrulaması, gizli veya ortak anahtar şifrelemesi kullanabilir. 9.2 Uygulama Sorunları Bu bölüm, bir sistemde Kriptografiyi kullanırken (ör., Tasarım, uygulama, entegre etme) dikkate alınması gereken birkaç önemli konuyu araştırmaktadır. NIST, federal bilgi ve federal sistemlerde Kriptografinin uygulanmasına uygulanan birkaç FIPS ve SP geliştirmiştir. Bu FIPS ve SP’lerin bir listesi, NIST SP 800-175B Ek A’da yer almaktadır. 9.2.1 Tasarım ve Uygulama Standartlarını Seçme NIST ve diğer kuruluşlar, Kriptografinin tasarlanması, uygulanması ve kullanılması ve bunların otomatik sistemlere entegre edilmesi için çok sayıda standart geliştirmiştir. Bu standartları kullanarak, kuruluşlar maliyetleri azaltabilir ve yatırımlarını teknolojide koruyabilirler. Standartlar geniş bir topluluk tarafından kabul edilmiş ve ilgili alanlarda uzmanlar tarafından gözden geçirilmiş çözümler sunar. Standartlar, farklı satıcıların ekipmanı arasında birlikte çalışabilirliğin sağlanmasına yardımcı olur ve böylece bir kuruluşun uygun maliyetli çözümler bulmak için çeşitli ürünlerden seçim yapmasına izin verir. Sistem yöneticileri ve kullanıcıları, bir uygunluk analizine, standardın kabul edilmesindeki eğilimlere ve birlikte çalışabilirlik gereksinimlerine dayalı olarak uygun şifreleme standardını seçerler.

Ayrıca, her bir standart, kuruluşa ve istenen uygulamaya uygun olup olmadığının belirlenmesi için dikkatli bir şekilde analiz edilir. 9.2.2 Yazılım, Donanım veya Firmware Uygulamaları Arasındaki Karar Verme Güvenlik, maliyet, basitlik, verimlilik ve uygulama kolaylığı arasındaki dengeler, bir standardı karşılayan çeşitli güvenlik ürünleri edinen yöneticiler tarafından incelenmelidir. Şifreleme, yazılım, donanım veya ürün yazılımı ile uygulanabilir. Her birinin ilgili maliyetleri ve faydaları vardır. Genelde, yazılım, büyük uygulamalarda, donanım daha az pahalı olsa da, donanımdan daha az maliyetli ve daha yavaştır. Buna ek olarak, yazılım eşdeğer donanım ürünlerinden daha kolay değiştirilebildiğinden veya baypas edilebildiğinden daha az güvenli olabilir. Donanımdaki dış müdahale direnci genellikle daha güvenilir olarak kabul edilir. Birçok durumda, bir donanım aygıtında (örneğin, elektronik yonga, ROM korumalı işlemci) Kriptografi uygulanır, ancak yazılım tarafından kontrol edilir. Bu yazılım, donanım aygıtının doğru bilgi (ör., Kontroller, veriler) ile sağlandığından ve bypass edilmediğinden emin olmak için bütünlük koruması gerektirir. Böylece, temel Kriptografi donanımda uygulandığında bile bir hibrid çözüm genellikle sağlanır. Etkili güvenlik, tüm hibrit çözümün doğru yönetimini gerektirir. Firmware, cep telefonları, akıllı TV’ler ve hatta USB klavyeler de dahil olmak üzere, bugün kullanılan neredeyse her teknoloji teknolojisinde bulunabilir. Bu nedenle, bellenim uygulamalarını güvenceye almak çok önemlidir. Sisteminizi korumanın bir yolu, kötü amaçlı ürün yazılımı değişikliğini önleyen yerleşik koruma ile donanım satın almaktır. 

Verilerin Şifrelenmesi ve Korunması Neden Önemlidir ?

bağlıdır. Tüm anahtarların değiştirilmeye karşı korunması gerekir ve gizli ve özel anahtarlar yetkisiz ifşa karşı koruma gerektirir. Anahtar yönetimi, anahtarların tüm kullanım ömrü boyunca kullanılan hem manuel hem de otomatikleştirilmiş prosedürleri ve protokolleri içerir. Bu Kriptografik anahtarların üretimi, dağıtımı, depolanması, girişi, kullanımı, imhası ve arşivlenmesini içerir. Küçük bir kullanıcı topluluğunda, ortak anahtarlar ve “sahiplerinin”, ortak anahtarların (örneğin CD-ROM veya başka bir ortama yerleştirilmesi) değiştirilmesiyle kuvvetle bağlanabilir. Bununla birlikte, elektronik işi daha geniş çapta yürütmek – potansiyel olarak coğrafi ve örgütsel olarak dağıtılmış kullanıcıları kapsamak – kamu anahtarlarının elektronik olarak bütünlüklerine ve bireylere bağlanmalarına yüksek derecede güven duyulması için bir araç gerektirmektedir. Bir anahtar ile sahibi arasındaki bağlamaya yönelik destek genellikle genel anahtar altyapısı olarak adlandırılır. Kullanıcılar ayrıca, anahtar sahipleri topluluğuna girme, anahtar oluşturma (veya kendi adlarına üretmelerini sağlama), ortak anahtarları yayma, anahtarları iptal etme (örneğin, özel anahtarın güvenliği durumunda) ve anahtarların değiştirilmesini de gerektirir. Ayrıca, zaman / tarih damgalama ve eski imzaların doğrulanması için arşivleme anahtarlarının dahil edilmesi gerekebilir.  Kriptografik Modüllerin Güvenliği Kriptografi tipik olarak bir yazılım, bellenim yazılımı, donanım veya bunların bazı kombinasyonları modülünde uygulanmaktadır. Bu modül, algoritma (lar) tarafından kullanılan anahtar (lar) için Kriptografik algoritma (lar), belirli kontrol parametreleri ve geçici depolama tesisleri içerir. Kriptografinin düzgün çalışması, Kriptografik modülün güvenli tasarımını, uygulanmasını ve kullanılmasını gerektirir. Bu, modülün kurcalamaya karşı korunmasını içerir. Standartlara uygunluk, sağlanan güvenliğin birlikte çalışabilirliği veya gücü de dahil olmak üzere birçok nedenden dolayı önemli olabilir. NIST, şifreleme modüllerini FIPS 140-2, Şifreleme Modülleri için Güvenlik Gereksinimleri’ne doğrulayan Şifreleme Modülü Doğrulama Programını (CMVP) kurdu. CMVP’nin amacı, doğrulanmış Kriptografik modüllerin kullanımını teşvik etmektir ve federal kurumlara onaylanmış Kriptografik modüller içeren ekipman temininde kullanılacak bir güvenlik ölçüsü sağlamaktır.

NIST tarafından doğrulanmış bir modül listesi, bilgisayar Güvenliği Kaynak Merkezi (CSRC) web sitesinde mevcuttur. FIPS 140-2, hassas ancak sınıflandırılmamış bilgileri koruyan bir güvenlik sistemi içinde kullanılan bir Kriptografik modül tarafından sağlanacak güvenlik gereksinimlerini belirtir. Standart, Kriptografik modüller için dört güvenlik seviyesini tanımlar ve her seviye, önceki seviyeye göre güvenlikte önemli bir artış sağlar. Dört seviye, değişken derece veri duyarlılığı ve farklı uygulama ortamları için uygun maliyetli çözümler sağlar. Kullanıcı, herhangi bir uygulama ya da sistem için en uygun modülü seçerek gereksiz güvenlik özelliklerinin maliyetinden kaçınılabilir. 9.2.5 Ağlara Kriptografinin Uygulanması Ağ oluşturma uygulamalarında Kriptografinin kullanımı genellikle özel hususlar gerektirir. Bu uygulamalarda, Kriptografik bir modülün uygunluğu, yerel olarak bağlı haberleşme teçhizatı veya ağ protokolleri ve yazılımı tarafından uygulanan özel gereklilikleri ele alma kapasitesine bağlı olabilir. Şifrelenmiş bilgiler, MAC’ler veya dijital imzalar, iletişim ekipmanı veya yazılım tarafından kontrol bilgisi olarak yanlış yorumlanmamak için şeffaf iletişim protokolleri veya ekipmanı gerektirebilir. İletişim ekipmanını veya yazılımı karıştırmamak için şifrelenmiş bilgileri, MAC veya dijital imzayı biçimlendirmek gerekebilir. Kriptografinin haberleşme teçhizatının getirdiği gereklilikleri karşılaması ve ağın doğru ve verimli çalışmasını engellememesi önemlidir.

Veri, bir bağlantı şifrelemesi veya uçtan uca şifreleme kullanarak bir ağda şifrelenir. Genel olarak, bağlantı şifreleme, bir veri iletişim sağlayıcısı gibi servis sağlayıcılar tarafından gerçekleştirilir. Link şifreleme, bir iletişim yolu boyunca (örneğin bir uydu bağlantısı, telefon devresi, T3 hattı) tüm verileri şifreler. Bağlantı şifreleme ayrıca yönlendirme verilerini de şifrelediğinden, iletişim düğümlerinin yönlendirmeye devam etmek için verilerin şifresini çözmesi gerekir. Uçtan uca şifrelemede, bir ağ üzerinden geçirildiğinde veriler şifrelenir, ancak yönlendirme bilgileri görünür kalır. Uçtan uca şifreleme genellikle son kullanıcı organizasyonu tarafından gerçekleştirilir. Geçiş şifrelemenin modern kullanımıyla ilgili bazı örnekler, e-posta için Oldukça İyi Gizlilik (PGP) ve Güvenli / Çok Amaçlı İnternet Posta Uzantıları (S / MIME) içerir. Her iki şifreleme türünü birleştirmek mümkündür. 9.2.6 İhracat Kurallarına Uyum ABD Hükümeti, Kriptografik uygulamaların ihracatını kontrol eder. Birden fazla faktörü göz önünde bulundurarak, ihracata yönelik kurallar oldukça karmaşık olabilir. Ayrıca, Kriptografi hızla gelişen bir alandır ve kurallar zaman zaman değişebilir. Kriptografik uygulamaların ihracına ilişkin soruları uygun hukuk müşavirine iletin. Kriptografik sistemler izlenir ve güvenlik hedeflerini hala tatmin etmelerini sağlamak için periyodik olarak denetlenir. Kriptografik sistemin doğru çalışması ile ilişkili tüm parametreler gözden geçirilir; sistemin kendisinin çalışması periyodik olarak test edilir; ve sonuçlar denetlenir. Ortak anahtar sistemlerinde gizli anahtarlar veya özel anahtarlar gibi belirli bilgiler denetime tabi değildir. Bununla birlikte, gizli veya özel olmayan anahtarlar simüle edilmiş bir denetim prosedüründe kullanılabilir.

Hakkında: Admin

Kontrol Ediliyor

Bilgi Güvenliği ve Siber Güvenliğin Ortak Noktaları Nelerdir ?

Bilgi Güvenliği ve Siber Güvenliğin Ortak Noktaları Nelerdir ? Güvenlik Kültürü Bir kurumun güvenlik kültürü, bilgi …

Bir cevap yazın

E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir