ትንንሽ ብሎክ ምስጢሮችን አታስተላልፍ

ትንንሽ ብሎክ ምስጠራዎች በ64 ቢት ወይም ከዚያ ባነሱ የውሂብ ብሎኮች ላይ የሚሰሩ ሲምሜትሪክ ምስጠራ ስልተ ቀመሮች ናቸው፣ እና ጥንካሬያቸውን እና ውሱንነታቸውን መረዳት ለማንኛውም የንግድ ስራ ስሱ መረጃዎችን መያዝ አስፈላጊ ነው። የቆዩ ሥርዓቶች አሁንም በእነሱ ላይ ጥገኛ ሲሆኑ፣ ዘመናዊ የደህንነት ደረጃዎች ተኳኋኝነትን፣ አፈጻጸምን እና የአደጋ ተጋላጭነትን የሚያመጣጥን የምስጢር ምርጫን በተመለከተ ስትራቴጂያዊ አቀራረብን ይፈልጋሉ።

ትንንሽ ብሎክ ሴፈርስ ምንድን ናቸው እና ንግዶች ለምን ይንከባከባሉ?

የብሎክ ምስጠራ ቋሚ መጠን ያላቸውን ግልጽ ጽሑፎችን ወደ ምስጥር ጽሁፍ ያመስጥራል። ከ32 እስከ 64-ቢት የብሎክ መጠኖችን የሚጠቀሙ ትናንሽ ብሎክ ምስጠራዎች - ለአስርተ ዓመታት ዋና መስፈርት ነበሩ። DES፣ Blowfish፣ CAST-5 እና 3DES ሁሉም በዚህ ምድብ ውስጥ ይወድቃሉ። እነሱ የተነደፉት የማስላት ግብዓቶች እጥረት በሌለበት ዘመን ነው፣ እና የታመቀ የማገጃ መጠኖቻቸው እነዚያን ገደቦች ያንፀባርቃሉ።

ዛሬ ለንግድ ስራዎች፣ የትናንሽ ብሎክ ምስጢሮች አግባብነት ትምህርታዊ አይደለም። የኢንተርፕራይዝ ስርዓቶች፣ የተከተቱ መሳሪያዎች፣ የቆዩ የባንክ መሠረተ ልማት እና የኢንዱስትሪ ቁጥጥር ስርዓቶች እንደ 3DES ወይም Blowfish ያሉ ምስጠራዎችን በብዛት ይጠቀማሉ። ድርጅትዎ ከእነዚህ አከባቢዎች ውስጥ አንዱን የሚሰራ ከሆነ ወይም ከሚያደርጉ አጋሮች ጋር ከተዋሃደ እርስዎ ቢያውቁትም ባያውቁት በትንሽ ብሎክ ስነ-ምህዳር ውስጥ ነዎት።

ዋናው ጉዳይ የክሪፕቶግራፈር ባለሙያዎች የልደት ቀን ብለው የሚጠሩት ነው። በ64-ቢት ብሎክ ምስጥር፣ በግምት 32 ጊጋባይት ውሂብ ከተመሳሳዩ ቁልፍ ከተመሰጠረ በኋላ፣ የግጭት እድላቸው ወደ አደገኛ ደረጃዎች ከፍ ይላል። ቴራባይት በየቀኑ በሲስተሞች ውስጥ በሚፈስባቸው ዘመናዊ የመረጃ አካባቢዎች፣ ይህ ገደብ በፍጥነት ያልፋል።

ከትናንሽ ብሎክ ምስጢሮች ጋር የተያያዙት እውነተኛ የደህንነት ስጋቶች ምንድን ናቸው?

ከትንሽ ብሎክ ምስጢሮች ጋር የተቆራኙት ተጋላጭነቶች በደንብ የተመዘገቡ እና በንቃት ጥቅም ላይ የዋሉ ናቸው። በጣም ታዋቂው የጥቃት ክፍል SWEET32 ጥቃት ነው፣ በተመራማሪዎች በ2016 የተገለጸው። SWEET32 እንዳሳየው በ64-ቢት ምስጢራዊ ምስጠራ (እንደ 3DES በ TLS) በቂ ትራፊክን መከታተል የሚችል አጥቂ ከልደት ቀን ጋር በተያያዙ ግጭቶች ግልጽ ጽሑፍን መልሶ ማግኘት ይችላል።

"ደህንነት ሁሉንም አደጋዎች ማስወገድ አይደለም - የትኞቹን አደጋዎች እንደሚቀበሉ መረዳት እና ስለእነሱ በመረጃ ላይ የተመሰረተ ውሳኔ ማድረግ ነው. የልደት ቀንን በትንሽ ብሎክ ምስጠራዎች ላይ ችላ ማለት የተሰላ አደጋ አይደለም, ቁጥጥር ነው."

ከSWEET32 ባሻገር፣ ትናንሽ ብሎክ ምስጠራዎች እነዚህን የተመዘገቡ ስጋቶች ያጋጥሟቸዋል፡

• የግጭት ጥቃቶችን አግድ፡ ሁለት ግልጽ ብሎኮች ተመሳሳይ የምስጢር ጽሑፍ ብሎኮችን ሲያዘጋጁ አጥቂዎች በውሂብ ክፍሎች መካከል ስላለው ግንኙነት ግንዛቤ ያገኛሉ፣ ይህም የማረጋገጫ ቶከኖችን ወይም የክፍለ ጊዜ ቁልፎችን ሊያጋልጥ ይችላል።
• የቆየ ፕሮቶኮል መጋለጥ፡ ትናንሽ ብሎክ ምስጢሮች ብዙ ጊዜ በ TLS ውቅሮች (TLS 1.0/1.1) ውስጥ ይታያሉ፣ ይህም በአሮጌው የድርጅት ስምሪት ውስጥ ሰው-በመሃል ስጋት ይጨምራል።
• ቁልፍ ድጋሚ ጥቅም ላይ የሚውሉ ድክመቶች፡ የምስጠራ ቁልፎችን በተደጋጋሚ የማይሽከረከሩ ስርዓቶች ከልደት ቀን ጋር የተያያዘ ችግርን በተለይም ረጅም ጊዜ በሚቆዩ ክፍለ ጊዜዎች ወይም በጅምላ ውሂብ ማስተላለፍ
• የማሟላት አለመሳካቶች፡ PCI-DSS 4.0፣ HIPAA እና GDPRን ጨምሮ የቁጥጥር ማዕቀፎች አሁን ወይ በግልፅ ተስፋ ያስቆርጣሉ ወይም 3DESን በተወሰኑ አውዶች ይከለክላሉ፣ ይህም የንግድ ድርጅቶችን ለኦዲት ስጋት ያጋልጣል።
• የአቅርቦት ሰንሰለት መጋለጥ፡ ያልተዘመኑ የሶስተኛ ወገን ቤተ-መጻሕፍት እና የአቅራቢዎች ኤፒአይዎች በጸጥታ በትንሽ ብሎክ ሲፈር ሱይቶች ሊደራደሩ ይችላሉ፣ ይህም ከቀጥታ ቁጥጥርዎ ውጪ ያሉ ተጋላጭነቶችን ይፈጥራሉ።

ትንሽ ብሎክ ደብተሮች ከዘመናዊ ምስጠራ አማራጮች ጋር እንዴት ይወዳደራሉ?

AES-128 እና AES-256 በ128-ቢት ብሎኮች ይሰራሉ፣የልደቱን ገደብ ከ64-ቢት ምስጠራዎች ጋር በአራት እጥፍ ያሳድጋል። በተግባራዊ አነጋገር፣ AES ከልደት ቀን ጋር የተያያዘ ስጋት ወሳኝ ከመሆኑ በፊት ወደ 340 የሚጠጉ ያልተወሰነ ባይት መመስጠር ይችላል—ለማንኛውም ተጨባጭ የስራ ጫና የግጭት ስጋትን በብቃት ያስወግዳል።

ChaCha20፣ ሌላ ዘመናዊ አማራጭ፣ የብሎክ መጠን ስጋቶችን ሙሉ በሙሉ ወደ ጎን የሚያደርግ እና ያለ AES ማጣደፍ ልዩ አፈጻጸምን በሃርድዌር ላይ የሚያቀርብ የዥረት ምስል ነው—ለሞባይል አካባቢዎች እና ለአይኦቲ ማሰማራት ምቹ ያደርገዋል። TLS 1.3፣ አሁን ያለው የትራንስፖርት ደህንነት የወርቅ ደረጃ፣ በAES-GCM እና ChaCha20-Poly1305 ላይ የተመሰረቱ የሲፈር ሱሪዎችን ብቻ ይደግፋል፣ ይህም ትናንሽ ብሎክ ምስጢሮችን ከዘመናዊ ደህንነታቸው የተጠበቀ ግንኙነቶች በንድፍ ያስወግዳል።

በአንድ ወቅት የሚወደዱ ትናንሽ ብሎክ ምስጠራዎችን የአፈጻጸም ክርክርም ወድቋል። ዘመናዊ ሲፒዩዎች ከ2010 በኋላ በተገዙ ሁሉም የድርጅት ሃርድዌር ላይ AES-256 ምስጠራን ከሶፍትዌር ከተተገበረው Blowfish ወይም 3DES የበለጠ ፈጣን የሚያደርገውን AES-NI ሃርድዌር ማጣደፍን ያካትታሉ።

አነስተኛ ብሎክ ሲፈር ግንዛቤን የሚያረጋግጡ የእውነተኛው ዓለም ሁኔታዎች የትኞቹ ናቸው?

ምንም እንኳን ተጋላጭነታቸው ቢኖርም ትንንሽ ብሎክ ምስጠራዎች አልጠፉም። የት እንደሚቆዩ መረዳት ለትክክለኛው የአደጋ ግምገማ ወሳኝ ነው፡

የ

የቆየ ስርዓት ውህደት ዋናው የአጠቃቀም ጉዳይ ሆኖ ይቆያል። የዋና ፍሬም አከባቢዎች፣ የቆዩ የ SCADA እና የኢንዱስትሪ ቁጥጥር ስርዓቶች እና የፋይናንስ ኔትወርኮች ለአስርተ ዓመታት የቆዩ ሶፍትዌሮችን የሚያስኬዱ ብዙ ጊዜ ያለ ጉልህ የምህንድስና ኢንቨስትመንት ሊዘመኑ አይችሉም። በነዚህ ሁኔታዎች መልሱ በጭፍን መቀበል አይደለም - በቁልፍ ማሽከርከር፣ የትራፊክ መጠን ክትትል እና የአውታረ መረብ ክፍፍል አደጋን መቀነስ ነው።

የተካተቱ እና የተከለከሉ አካባቢዎች አንዳንድ ጊዜ አሁንም የታመቀ የምስክሪፕት አተገባበርን ይመርጣሉ። አንዳንድ የአይኦቲ ዳሳሾች እና ስማርት ካርድ አፕሊኬሽኖች በማህደረ ትውስታ እና በሂደት ገደቦች ውስጥ የሚሰሩት AES እንኳን ተግባራዊ ሊሆን አይችልም። እንደ PRESENT ወይም SIMON ያሉ በዓላማ የተገነቡ ቀላል ክብደቶች፣በተለይ ለተገደበው ሃርድዌር የተነደፉ፣በእነዚህ አውዶች ውስጥ ካሉት 64-ቢት ምስጢሮች የተሻሉ የደህንነት መገለጫዎችን ያቀርባሉ።

የ

ክሪፕቶግራፊያዊ ምርምር እና ፕሮቶኮል ትንተናበነባር ስርዓቶች ውስጥ ያሉ የጥቃት ቦታዎችን በትክክል ለመገምገም ትንንሽ ብሎክ ምስጢሮችን መረዳትን ይጠይቃል። የመግባት ሙከራዎችን የሚያካሂዱ ወይም የሶስተኛ ወገን ውህደቶችን ኦዲት የሚያደርጉ የደህንነት ባለሙያዎች በእነዚህ ምስጢራዊ ባህሪያት አቀላጥፈው የሚያውቁ መሆን አለባቸው።

ንግዶች እንዴት ተግባራዊ ምስጠራ የአስተዳደር ስልት መገንባት አለባቸው?

በማደግ ላይ ባለ ንግድ ውስጥ ያሉ የምስጠራ ውሳኔዎችን ማስተዳደር ቴክኒካል ችግር ብቻ አይደለም - ተግባራዊ ነው። ብዙ መሳሪያዎችን፣ መድረኮችን እና ውህደቶችን የሚያሄዱ ንግዶች በእረፍት ጊዜ እና በመሸጋገሪያው ላይ መረጃ እንዴት እንደሚመሰጠር ታይነትን የመጠበቅ ፈተና ይገጥማቸዋል።

የተዋቀረ አካሄድ ሁሉንም አገልግሎቶች ለሲፈር ስብስብ ማዋቀር ኦዲት ማድረግ፣ TLS 1.2 ትንሹን (TLS 1.3 ተመራጭ) በሁሉም የመጨረሻ ነጥቦች ላይ ማስፈፀም፣ 64-ቢት የምስክሪፕት ክፍለ ጊዜዎችን ከልደት ቀን በታች ለመቆየት የሚያስችል ቁልፍ የማዞሪያ ፖሊሲዎችን ማቀናበር እና የግዥ ማረጋገጫ ዝርዝሮችን የሚያካትቱ የአቅራቢ ግምገማ ሂደቶችን ያካትታል።

የንግድ ስራዎን በተዋሃደ መድረክ ማካለል የግለሰቦችን ደህንነት መገምገም የሚጠይቁ አጠቃላይ የውህደት ነጥቦችን በመቀነስ የምስጢር አስተዳደር ውስብስብነትን በእጅጉ ይቀንሳል።

ብዙ ጊዜ የሚጠየቁ ጥያቄዎች

3DES አሁንም ለንግድ ስራ ደህንነቱ የተጠበቀ ነው ተብሎ ይታሰባል?

NIST 3DESን እስከ 2023 ድረስ ቆርጦ ለአዲስ መተግበሪያዎች ከልክሏል። ለነባር የቆዩ ስርዓቶች፣ 3DES በጥብቅ የቁልፍ ማሽከርከር (የክፍለ ጊዜ መረጃን በቁልፍ ከ32ጂቢ በታች ማቆየት) እና የአውታረ መረብ ደረጃ ቁጥጥሮችን በመጠቀም ተቀባይነት ሊኖረው ይችላል፣ ነገር ግን ወደ AES መዘዋወር በጥብቅ የሚመከር እና በማክበር ማዕቀፎች ተፈላጊ ነው።

የእኔ የንግድ ስራ ስርዓቶች አነስተኛ ብሎክ ምስጠራዎችን እየተጠቀሙ መሆኑን እንዴት አገኛለሁ?

ለሕዝብ ፊት ለፊት ለሚታዩ የመጨረሻ ነጥቦች የTLS መቃኛ መሳሪያዎችን እንደ SSL Labs አገልጋይ ሙከራ ይጠቀሙ። ለውስጥ አገልግሎቶች የአውታረ መረብ መከታተያ መሳሪያዎች ከፕሮቶኮል ፍተሻ ችሎታዎች ጋር በተያዘው ትራፊክ ውስጥ የሲፈር ስብስብ ድርድርን መለየት ይችላሉ። የእርስዎ የአይቲ ቡድን ወይም የደህንነት አማካሪ የተሟላ ክምችት ለማምረት በኤፒአይዎች፣ የውሂብ ጎታዎች እና የመተግበሪያ አገልጋዮች ላይ የምስጢር ኦዲቶችን ማካሄድ ይችላል።

ወደ AES መቀየር የእኔን የመተግበሪያ ኮድ እንደገና መጻፍ ያስፈልገዋል?

በአብዛኛው፣ ቁ. ዘመናዊ ምስጠራ ቤተ-ፍርግሞች (OpenSSL፣ BouncyCastle፣ libsodium) የምስጢር ምርጫን ከኮድ ዳግም ከመፃፍ ይልቅ የውቅር ለውጥ ያደርጋሉ። ዋናው የምህንድስና ጥረት የማዋቀሪያ ፋይሎችን ማዘመንን፣ የTLS ቅንብሮችን እና የተመሰጠረ ውሂብ ያለመረጃ መጥፋት ሊሰደዱ ወይም እንደገና መመስጠር እንደሚቻል መሞከርን ያካትታል። አሁን ባሉ ማዕቀፎች ላይ የተገነቡ አፕሊኬሽኖች የምስጢር ምርጫን እንደ ልኬት ያጋልጣሉ እንጂ ሃርድ ኮድ የተደረገ የትግበራ ዝርዝር አይደሉም።

---

ዛሬ የተደረጉ የምስጠራ ውሳኔዎች የንግድዎን ደህንነት ለዓመታት ይገልፃሉ። Mewayz በማደግ ላይ ያሉ ንግዶች ባለ 207-ሞዱል የክወና መድረክ - CRMን፣ ግብይትን፣ ኢ-ኮሜርስን፣ ትንታኔዎችን እና ሌሎችንም - ከደህንነት-ንቃተ-ህሊና ጋር የተገነባ መሠረተ ልማትን ይሰጣል፣ ስለዚህ ተጋላጭነቶችን በተሰባበረ የመሳሪያ ቁልል ላይ ከማስተካከል ይልቅ በመጠን ላይ ማተኮር ይችላሉ። በወር ከ$19 ጀምሮ ዕቅዶችን በapp.mewayz.com ላይ 138,000+ ተጠቃሚዎችን በጥበብ የሚያስተዳድሩትን ይቀላቀሉ።