Ulanyjy maglumatlaryny şifrlemek üçin açarlary ulanmaň

Passkeys soňky ýyllarda iň tolgundyryjy tanamak ösüşidir. Fişingi ýok edýärler, parollaryň agramyny aýyrýarlar we köpçülige açyk kriptografiýa tarapyndan goldanýan giriş tejribesini berýärler. Developeröne howply ýalňyş düşünje döredijiler jemgyýetleriniň arasynda ýaýraýar: eger açar kriptografik bolsa, ulanyjy maglumatlaryny hem şifrläp biler. Başarmaýarlar - we olary şeýle ulanmaga synanyşmak, ulanyjylaryňyzy öz maglumatlaryndan hemişelik gulplap bilýän döwük, ygtybarsyz ulgamlary döreder. Näme üçin aç-açanlaryň nämedigini, şifrlemegiň nämäni talap edýändigini we duýgur iş maglumatlaryny ulanýan islendik platforma üçin möhüm ähmiýete eýe bolan ikisiniň nirä bölünýändigine düşünmek zerur.

Hakyky tanamak we şifrlemek düýpgöter tapawutly iş

Autentifikasiýa bir soraga jogap berýär: "Özüňi kim hasaplaýarsyň?" Şifrlemek düýbünden başga birine jogap berýär: "Bu maglumatlar ygtyýarly taraplardan başga hemmeler üçin okalmaz bolup bilermi?" Bu iki mesele kriptografiki başlangyçlary paýlaşýar, ýöne in engineeringenerçilik talaplary düýpgöter tapawutlanýar. Hakyky tanamak, her sapakda bir gezek bolup geçmeli, ajaýyp şowsuzlyklar bilen wagtal-wagtal şowsuzlyga çydap bilýär we her gezek şol bir önüm öndürmegiň zerurlygy ýok. Şifrlemek, maglumatlaryň bütin ömrüniň dowamynda kesgitleýji, köpelip bolýan açar ygtyýary talap edýär - bu ýyllar ýa-da onlarça ýyl bolup biler.

açar bilen tassyklanyňyzda, enjamyňyz hasabyňyz bilen baglanyşykly şahsy açary saklaýandygyňyzy görkezýän kriptografiki gol döredýär. Serwer bu goly barlaýar we ygtyýar berýär. Hiç haçan serwer - hatda programmaňyz hem şahsy açar materialyň özüne girip bilmeýär. Bu aýratynlyk, çäklendirme däl. Geçişleriň ähli howpsuzlyk modeli, enjamyňyzyň howpsuz anklawyny hiç wagt goýmajak şahsy açara baglydyr. Emma şifrlemek, maglumatlary üýtgetmek üçin açary ulanmagyňyzy, soňra bolsa üýtgemegi üýtgetmek üçin şol açary (ýa-da kärdeşini) ulanmagy talap edýär. Eger açara ygtybarly girip bilmeseňiz, ygtybarly açyp bilmersiňiz.

Mewayz ýaly duýgur iş maglumatlaryny dolandyrýan platformalar - hasap-fakturalar, aýlyk ýazgylary, CRM kontaktlary, 207 modul boýunça HR resminamalary - çydamly, dikeldip bolýan we yzygiderli elýeterli açarlarda gurlan şifrlemek strategiýalaryna mätäç. Esasy girişiň öňüni almak üçin ýörite döredilen binanyň binagärlik gapma-garşylygydyr.

Näme üçin passkeys şifrlemek açary hökmünde ulanylmagyna garşy çykýar

açarlary goldaýan WebAuthn spesifikasiýasy, şifrlemäni amatsyz edýän çäklendirmeler bilen bilkastlaýyn işlenip düzüldi. Bu çäklendirmelere düşünmek, munuň akylly in engineeringenerçiligiň köpri edip biljek boşlugy däldigini görkezýär - bu esasy dizaýn araçägi.

• Esasy eksport ýok: Açar bellige alnan mahaly döredilen şahsy açarlar, enjamlar bilen goldanýan ygtybarly anklawlarda (TPM, Secure Enclave ýa-da şoňa meňzeş) saklanýar. Operasiýa ulgamy we brauzer API-leri çig esasy materialy çykarmagyň mehanizmini üpjün etmeýär. Bir zada gol çekmek üçin açardan sorap bilersiňiz, ýöne açary özi okap bilmeýärsiňiz.
• Kesgitli däl açar nesli: Başga bir enjamda şol bir ulanyjy üçin açar döretmek düýbünden başga açar jübütini döredýär. Başga bir enjamda şol bir açary täzeden gurmagyň usuly ýok, söz düzümi ýok. Her hasaba alyş kriptografiki taýdan garaşsyz.
• Enjam bilen baglanyşykly elýeterlilik: Hat-da açar sinhronlamak bilen (iCloud Keychain, Google Parol Dolandyryjysy), elýeterlilik ekosistemanyň gatnaşmagyna baglydyr. “IPhone” -da hasaba alnan we soňra “Android” -e geçen ulanyjy girişini ýitirip biler. Enjamy ýitirilen, ogurlanan ýa-da zawody täzeden düzen ulanyjy şol bir problema bilen ýüzbe-ýüz bolýar.
• Diňe kynçylyklara jogap: WebAuthn API çig esasy material däl-de, gol çekilen tassyklamany görkezýän navigator.credentials.get () paş edýär. Serwer tarapyndan berlen kynçylykdan gol alýarsyňyz - şahsyýeti subut etmek üçin peýdaly, şifrlemek açary almak üçin peýdasyz.
• Algoritm çeýeligi ýok: Geçýänler adatça P-256 egrisi bilen ECDSA ulanýarlar. Düwmä girip bilseňizem, ECDSA şifrlemek algoritmi däl-de, gol algoritmi. API-iň bu kontekstde goldamaýan goşmaça üýtgeşmeleri (ECDH açar şertnamasy, KDF çykarylyşy) gerek bolar.

Käbir işläp düzüjiler, meselem, tassyklamak wagtynda simmetrik düwmeleri almak üçin WebAuthn-a PRF (Pseudo-Random Function) giňeltmesini ulanyp, iş usullaryny teklip etdiler. Bu giňeltme spektrde bar bolsa-da, brauzer goldawy biri-birine gabat gelmeýär, köp ykjam platformalarda elýeterli däl we enjam bilen baglanyşykly meseläni henizem dowam etdirýär. Bir enjamda PRF arkaly alnan açary başga bir enjamda, hatda şol bir ulanyjy hasaby üçin hem köpeltmek mümkin däl.

Maglumat ýitirmek ssenariýasy Hiç kim ibermek islemeýär

Ulanyjynyň maglumatlaryny açaryndan alnan açar bilen şifrläniňizde näme bolýandygyny gözden geçiriň. Birinji gün hemme zat owadan işleýär. Ulanyjy girýär, açar alynýar, maglumatlar şifrlenýär we şifrlenýär. Üç aýdan soň, telefonlary köle gaçýar.

Adaty tanamak bilen enjamy ýitirmek oňaýsyzlykdyr. Ulanyjy e-poçta arkaly hasabyny dikeldýär, täze şahsyýetnamalary döredýär we işini dowam etdirýär. Theiröne olaryň maglumatlary häzirki suwasty enjamyň ygtybarly anklawyna bagly açar bilen kodlanan bolsa, bu maglumatlar ýok bolar. "Dikeltmek kyn" ýok - kriptografiki taýdan yzyna gaýtaryp bolmajak gitdi. Müşderi goldaw bileti ýok, hasaby dikeltmek akymy ýok, ýerine ýetiriji ýokarlandyryş matematikany tersleşdirip bilmez. Maglumatlar hem öçürilen bolmagy mümkin.

Şifrlemek ulgamynyň dizaýnynyň esasy düzgüni: esasy dolandyryş strategiýaňyzda ulanyjy maglumatlaryna elýeterliligi hemişelik ýoklaýan ýekeje şowsuzlyk nokady bar bolsa, howpsuzlyk aýratynlygyny gurmadyňyz - goşmaça ädimler bilen maglumat ýitirmek mehanizmini döretdiňiz.

Platforma arkaly işlemek üçin - CRM-de 50 müşderi gatnaşyklaryny dolandyrmak, 30 işgäriň aýlyk hakyny gaýtadan işlemek, köp sanly ulag serişdesini yzarlamak - taşlanan telefondan hemişelik maglumat ýitirilmegi UX meselesi däl. Bu işiň üznüksizligi. Hut şu sebäpden Mewaýzyň arhitekturasy, hiç bir enjamyň näsazlygy, integrirlenen modullaryň arasynda möhüm iş maglumatlaryna elýeterliligi bozup bilmejekdigini anyklamak mehanizmlerini maglumatlary goramak gatlaklaryndan aýyrýar.

Munuň ýerine näme ulanmaly

Gowy habar, ulanyjy maglumatlaryny şifrlemek üçin aç-açan duzaga düşmän bar. Bu çemeleşmeler söweş synagyndan geçirilýär, giňden goldanýar we şifrlemek üçin ýörite işlenip düzülendir.

Dolandyrylan düwmeler bilen serwer tarapy şifrlemek programmalaryň köpüsi üçin iň amaly saýlaw bolup galýar. Platformaňyz, degişli açar dolandyryş hyzmaty (KMS) - AWS KMS, Google Cloud KMS, HashiCorp Vault ýa-da şoňa meňzeş açarlary ulanyp, dynç alýan maglumatlary şifrleýär. Ulanyjy tassyklaýar (isleseňiz açar düwmeler bilen!) We serwer şifrlemek we açarlamak bilen aç-açan işleýär. SaaS platformalarynyň köpüsi maglumatlary goraýar we açarlaryň çydamly, ätiýaçlyk nusgasy, aýlanyp bilinýän we islendik ulanyjy enjamyna garaşsyz bolany üçin işleýär.

Paroldan alnan şifrlemek açarlary (Argon2id ýa-da açar çykarmak üçin skript ulanyp) hakyky nol bilimli şifrlemek zerur bolsa, hatda serwer hem ulanyjy maglumatlaryny okap bilmeýär. Söwda-satuw, paroly ýitirmek maglumatlary ýitirmegi aňladýar, ýöne parollary ýatda saklamak, ýazmak we parol dolandyryjylarynda saklamak mümkindir - olar apparat anklawynyň içinde gulplanmaýar. 1Password we Standard Notes ýaly hyzmatlar bu çemeleşmäni netijeli ulanýar.

1. Ulanyjynyň şahsyýetini barlamak üçin tassyklamak üçin açarlary (ýa-da islendik güýçli usuly) ulanyň.
2. Hakyky tassyklanylandan soň, aýratyn, maksatly gurlan açar dolandyryş ulgamy arkaly şifrlemek düwmelerini alyň ýa-da alyň.
3. açary saklamak ýa-da dikeltmek mehanizmleri - dikeldiş açarlary, köp enjamly açar sinhronlamak ýa-da iş hasaplary üçin guramaçylyk açar gözegçiligi.
4. Dynç alyşda we tranzitde maglumatlary AES-256-GCM ýa-da XChaCha20-Poly1305 ulanyp, KMS açarlaryňyz bilen şifrläň.
5. Düwmeleri wagtal-wagtal aýlaň we islendik şowsuzlyk nokadyndan halas bolan şifrlenen açar ätiýaçlyk nusgalaryny saklaň.