Encryptie wordt dagelijks gebruikt om online communicatie tussen twee personen of tussen clients en servers te beveiligen. Hoewel u het misschien niet in actie ziet, verbergt encryptie uw data-at-rest en data-in-transit voor externe aanvallers die mogelijk uw communicatie in de gaten houden. Encryptie werkt door plaintext Gegevens, of gegevens die niet versleuteld zijn, en het omzetten van die platte tekst in versleutelde tekst. Versleutelde tekst is een willekeurige verzameling letters, cijfers en soms symbolen die gevoelige gegevens verbergt voor ongewenste lezers. Versleutelde tekst kan worden teruggedraaid naar de vorm waarin deze gevoelige gegevens bevat, zolang er een sleutel is gebruikt om de gegevens te versleutelen, of er een patroon in de versleutelde tekst wordt gevonden om decoderen Het vermogen om gegevens te decoderen is essentieel in het online communicatieproces, omdat de ontvanger van de informatie de gegevens moet kunnen decoderen, wat meestal gebeurt door middel van sleutelgebruik. Encryptie is essentieel om ervoor te zorgen dat gevoelige gegevens geheim blijven voor ongewenste aanvallers. Naast encryptie zijn er encryptieprotocollen.
Wat is een encryptieprotocol?
Versleuteling gebeurt via encryptie-algoritmen. Deze algoritmen voeren alle cryptografische bewerkingen uit op de platte tekst, met behulp van de encryptiesleutel. Deze algoritmen worden vervolgens gebruikt binnen encryptieprotocollen om gegevens te beschermen voor verschillende doeleinden. Het doel van een encryptieprotocol is om een specifieke functie te vervullen. De functies die encryptieprotocollen kunnen uitvoeren, variëren van communicatie met TLS / SSL naar externe verbindingen met computers met SSHWe zullen later in dit artikel enkele van de bekendere encryptieprotocollen bekijken. Voordat we dieper ingaan op encryptieprotocollen, zijn er een paar termen die we eerst moeten leren, te beginnen met asymmetrisch en symmetrisch encryptie.
Symmetrische en asymmetrische codering
Symmetrische encryptie is een veel eenvoudigere vorm van encryptie. Symmetrische encryptie gebruikt één sleutel om data te encrypteren, ongeacht of die data in transit of in rust is. Met betrekking tot het encrypteren van data-in-transit wordt de sleutel aangemaakt en gedeeld met zowel de verzender als de ontvanger van het bericht. De data in het bericht wordt versleuteld met de symmetrische sleutel, wat betekent dat de enige persoon die deze data kan lezen, iemand is die de encryptiesleutel bezit. Zodra het bericht de ontvanger bereikt, kan deze de symmetrische sleutel gebruiken om de data te decrypteren. Het gebruik van alleen symmetrische encryptie wordt niet aanbevolen, omdat het veel onveiliger is dan asymmetrische encryptie. Dit komt doordat bij symmetrische encryptie de gecreëerde sleutel op een gegeven moment aan de dataontvanger moet worden geleverd. Als deze overdracht niet veilig gebeurt, kan de sleutel tijdens de levering worden onderschept, wat betekent dat elke encryptie die met die sleutel wordt uitgevoerd, niet meer relevant is. Een voorbeeld van data-in-transit versleuteld met een symmetrische sleutel is hieronder te zien.
Asymmetrische encryptie is, zoals ik eerder al aangaf, de veiligste van de twee soorten encryptie. Bij asymmetrische encryptie wordt een sleutelpaar aangemaakt, dat bestaat uit een publieke en een privésleutel. De publieke sleutel is voor iedereen zichtbaar, terwijl de privésleutel alleen bekend is bij degene die het sleutelpaar heeft aangemaakt. Om gegevens asymmetrisch te encrypteren, versleutelt degene die het sleutelpaar heeft aangemaakt het bericht met zijn privésleutel, stuurt het versleutelde bericht naar de ontvanger, waarna de ontvanger de publieke sleutel, die doorgaans te vinden is in een openbare sleutelopslagplaats, kan gebruiken om het bericht te decoderen. Door het bericht te decoderen met de publieke sleutel, kan de ontvanger van de gegevens zien dat het bericht afkomstig is van degene die hij denkt dat het afkomstig is en dat de gegevens in het bericht niet zijn gewijzigd. Als de gegevens in het bericht wel waren gewijzigd, zou de decodering met de publieke sleutel geen leesbaar bericht opleveren, omdat de gegevens dan met een andere waarde zouden zijn versleuteld. Hoewel asymmetrische encryptie veiliger is dan symmetrische encryptie, worden ze vaak samen gebruikt voor communicatie-encryptie. De initiële verbinding wordt tot stand gebracht met asymmetrische encryptie, waarna een symmetrische sessiesleutel wordt aangemaakt. Deze wordt vervolgens gebruikt om berichten tijdens de sessie te versleutelen. Hieronder vindt u een diagram van het asymmetrische encryptieproces.
Publieke Sleutel Infrastructuur (PKI)
Hand in hand werken met asymmetrische encryptie en encryptieprotocollen is Publieke sleutelinfrastructuren, of PKI. Een PKI-infrastructuur maakt gebruik van digitale certificaten en asymmetrische sleutelparen om gebruikers en apparaten binnen een netwerk te authenticeren. Wanneer iemand een netwerk wil gebruiken dat gebruikmaakt van een PKI-infrastructuur, moet hij een certificaat aanvragen bij een Certificate Authority (CA) binnen de PKI. Het verzoek, ook wel bekend als een Verzoek tot ondertekening van een certificaat of CSR, die informatie over de aanvrager bevat, evenals de openbare sleutel van een asymmetrisch sleutelpaar waarvan hij de eigenaar is. De informatie in de aanvraag wordt geverifieerd door de CA en als deze geldig is, wordt er een certificaat aan de aanvrager uitgegeven met zijn openbare sleutel en een aantal andere componenten. Wanneer er nu een verbinding tot stand wordt gebracht tussen die certificaathouder en een server of andere gebruiker, kunnen ze de Chain of Trust van hun digitale certificaat bekijken om te controleren of het certificaat nog steeds geldig is. certificaat Chain of Trust is een pad vanaf het huidige certificaat dat helemaal terugleidt naar het certificaat van de root-CA. Elk certificaat in deze keten wordt gecontroleerd op geldigheid om te garanderen dat de certificaathouder geen verlopen of ingetrokken certificaat gebruikt. Als dit het geval is voor elk certificaat in de keten, wordt het certificaat gevalideerd en kan er een verbinding tot stand komen. Voor een beter begrip van PKI ga ik dieper in op hoe een PKI is opgebouwd en waaruit deze bestaat.
Een PKI bevat altijd een root-CA. Dit vormt de kern van vertrouwen in de PKI-infrastructuur en geeft certificaten uit aan de uitgevende CA's om ervoor te zorgen dat zij op hun beurt certificaten kunnen uitgeven aan aanvragers. Het compromitteren van een root-CA maakt elk certificaat dat binnen die PKI-infrastructuur wordt uitgegeven ongeldig, waardoor de root-CA te allen tijde offline blijft. Uitgevende CA's zijn ook betrokken bij elk type PKI-infrastructuur, aangezien de root-CA offline is en geen certificaten kan uitgeven aan gebruikers. Uitgevende CA's, waarvan er een willekeurig aantal kunnen zijn, doen wat hun naam al doet vermoeden: certificaten uitgeven. Deze CA's vormen de schakel tussen het uitgegeven certificaat en de root-CA in hun vertrouwensketen. Het compromitteren van een uitgevende CA is niet zo verwoestend als het compromitteren van de root-CA, maar heeft nog steeds ernstige gevolgen. Wanneer een uitgevende CA wordt gecompromitteerd, worden ook alle uitgegeven certificaten gecompromitteerd. Dit betekent dat een groot deel van de PKI nu onbruikbaar is. Net als een uitgevende CA, is er een intermediaire CA. De intermediaire CA wordt in de meeste PKI's niet gebruikt; Het wordt alleen gebruikt in een drielaagse PKI-infrastructuur. Deze voegen een extra laag toe aan het certificeringspad, of de vertrouwensketen. Ze geven doorgaans certificaten uit voor uitgevende CA's en dienen als schakel tussen een root-CA en een uitgevende CA. Naast de verschillende CA's bevat een PKI ook certificaatintrekkingslijsten (Certificate Revocation Lists, of CRL's). Deze lijsten bevatten informatie over certificaten die om de een of andere reden zijn ingetrokken. Dit zou voldoende moeten zijn om de vraag te beantwoorden: hoe werkt een PKI? Laten we nu eens kijken naar de meest voorkomende encryptieprotocollen en hun werking.
Veelvoorkomende encryptieprotocollen
- TLS/SSL: TLS/SSL is het meest gebruikte encryptieprotocol op internet. Het staat voor Transport Layer Security/Secure Sockets Layer. Dit is een encryptieprotocol dat de communicatie tussen een client en een server veilig houdt. Wanneer uw webbrowser verbinding maakt met een website en de verbinding beveiligd is met TLS/SSL, worden een hangslot en het woord "https" weergegeven in de zoekbalk. TLS/SSL verzorgt zelf de encryptie niet; het gebruikt in plaats daarvan verschillende encryptie-algoritmen, zoals RSA of AES, om de communicatie te encrypteren. Daarom wordt SSL/TLS beschouwd als een encryptieprotocol. Het gebruik van TLS/SSL om communicatie te encrypteren is heel gebruikelijk, omdat er verschillende encryptie-algoritmen bij worden gebruikt. TLS/SSL kan worden gebruikt voor gebruikersauthenticatie, dataverkeersencryptie en om aan te tonen dat gegevens tijdens de overdracht niet zijn gewijzigd.
TLS/SSL werkt door een asymmetrisch sleutelpaar te gebruiken in een "Handshake"-proces om de initiële verbinding tussen de client en de server te beveiligen. Tijdens die "Handshake" wordt de specifieke protocolversie geselecteerd, worden de TLS/SSL-certificaten van zowel de server als de client geverifieerd, wordt het algoritme voor het "Record"-proces geselecteerd en wordt de gedeelde sleutel gegenereerd met symmetrische encryptie. De gedeelde sleutel wordt vervolgens gebruikt in de volgende stap van de communicatie, het "Record"-protocol. Hierbij worden pakketten die tussen de twee gebruikers worden gedeeld, versleuteld met de gedeelde sleutel om de veiligste vorm van communicatie te garanderen. - IPsec: IPsec, of Internet Protocol Security, is een encryptieprotocol dat gebruikmaakt van encryptie-algoritmen zoals 3DES, AES, SHA, en CBC om gegevens te versleutelen in applicaties, routing of Virtual Private Networks, het meest voorkomend. IPsec gebruikt twee modi, tunneling en transport, om gegevens te beschermen die van de ene locatie naar de andere worden verplaatst. De transportmodus versleutelt alleen de payload van het bericht, niet de header. Omdat sommige informatie uit de header kan worden gehaald, wordt dit alleen gebruikt voor eenvoudige gegevensoverdrachtsituaties, zoals verbinding maken met een server of werkstation. De tunnelingmodus versleutelt en authenticeert daarentegen zowel de payload als de header. De tunnelingmodus wordt het meest gebruikt met Virtual Private Networks, of VPN's. Hoewel het gebruik van VPN's met IPsec over het algemeen sneller is, omdat IPsec sneller een verbinding tot stand brengt, maken andere onderdelen van TLS/SSL het de voorkeursmethode voor encryptie en authenticatie van gegevens tijdens verzending.
- SSH: Secure Shell, ook bekend als SSH, is een ander type encryptieprotocol. De werking van SSH is vergelijkbaar met die van een VPN. Door een versleutelde tunnel te creëren, kunnen gebruikers SSH gebruiken om veilig en op afstand verbinding te maken met computers, bestanden over te dragen, poorten door te sturen en meer. SSH werkt op drie verschillende niveaus: het transportniveau, het gebruikersauthenticatieniveau en het verbindingsniveau. Het transportniveau is de laag die twee partijen veilig verbindt, alle gegevens die tussen hen worden verzonden, veilig versleutelt, de gebruikers onderling authenticeert en ervoor zorgt dat de gegevens die tussen de gebruikers worden gedeeld, op geen enkele manier worden gewijzigd tijdens de overdracht. Om sleutels uit te wisselen, worden de twee partijen in de SSH-verbinding met elkaar verbonden en worden de sleutels van de client en server uitgewisseld via de Diffie-Hellman-sleuteluitwisseling. Tijdens deze fase van SSH worden het symmetrische algoritme, het asymmetrische algoritme, het berichtauthenticatiealgoritme en het hash-algoritme gekozen die worden gebruikt voor de overdracht van gegevens en berichten. Op het authenticatieniveau authenticeert de client zijn identiteit via een ondersteunde authenticatiemethode die door de server is gespecificeerd vanuit de transportlaag. De betreffende authenticatiemethode kan van alles zijn, van een wachtwoord tot een digitale handtekening. Het verbindingsniveau verwerkt alle verbindingen die tussen de server en de client tot stand worden gebracht. Voor elke communicatie tussen de server en de client wordt een ander kanaal geopend. Een voorbeeld hiervan is als er meerdere sessies op dezelfde server worden aangemaakt, dan wordt voor elke sessie een ander communicatiekanaal geopend. Zowel de client als de server kan een nieuw communicatiekanaal openen, zolang de parameters voor dat kanaal beschikbaar zijn voor zowel de client als de server.
- PGP: OpenPGP, ook wel PGP genoemd, is een encryptieprotocol waarmee gebruikers hun berichten kunnen versleutelen en digitaal kunnen delen. teken waardoor de afzender van het bericht een sterkere methode van authenticatie en gegevensintegriteitsbescherming krijgt. PGP wordt voornamelijk gebruikt om gevoelige e-mailinformatie te beschermen. PGP werd in de jaren 90 ontwikkeld in een poging om er een wereldwijd gebruikt en interoperabel systeem van te maken. PGP is gratis te gebruiken en kan worden geïntegreerd in een aantal verschillende e-mailclients. Verschillende encryptie-algoritmen zijn beschikbaar voor gebruik met PGP, zoals RSA en DSA voor asymmetrische encryptie, AES, 3DES en Twofish voor symmetrische encryptie en SHA voor hashing. Er zijn in de loop der jaren verschillende kwetsbaarheden voor PGP gevonden, maar deze fouten zijn altijd verholpen met updates of aanbevelingen.
- S/MIME: Secure/Multipurpose Internet Mail Extensions, of S/MIME, is een concurrent van OpenPGP als e-mailgebaseerd encryptieprotocol. Net als PGP stelt S/MIME gebruikers in staat om e-mailgegevens te versleutelen en te ondertekenen voor extra bescherming tegen aanvallers. Het verschil tussen PGP en S/MIME is dat S/MIME verschillende encryptie-algoritmen gebruikt om gegevens te beveiligen.
- Kerberos: Het encryptieprotocol Kerberos werkt als een single sign-on authenticatieprotocol. Het protocol authenticeert zijn gebruikers via een centrale authenticatie- en sleuteldistributieserver. Gebruikers van het protocol krijgen na authenticatie "tickets" waarmee ze de verschillende services binnen het netwerk kunnen gebruiken. Wanneer een client met een "ticket" contact opneemt met een server, verifieert die server het ticket en verleent de gebruiker toegang. Kerberos wordt voornamelijk gebruikt in Local Area Networks (LAN's) en voor het vaststellen van gedeelde geheimen. Kerberos is een bekend en veelgebruikt encryptieprotocol, maar zowel de client als de server moeten code bevatten om Kerberos te kunnen gebruiken, wat sommige organisaties ervan weerhoudt.
Hoewel er veel andere encryptieprotocollen bestaan, zijn dit de bekendste en meest gebruikte. Veel van de protocollen lijken misschien hetzelfde, omdat ze hetzelfde doel dienen, maar ze gebruiken veel verschillende encryptie-algoritmen. Het is daarom essentieel om de gebruikte algoritmen te onderzoeken bij het kiezen van het juiste encryptieprotocol voor uw organisatie.
Is het veilig om encryptieprotocollen te gebruiken?
U zult merken dat tijdens onze bespreking van verschillende soorten encryptieprotocollen, sommige protocollen kwetsbaarheden vertoonden. Dit roept de vraag op: zijn deze encryptieprotocollen veilig in gebruik? Het antwoord is ja. Hoewel kwetsbaarheden vaak worden aangetroffen in encryptieprotocollen, worden er zodra ze worden ontdekt beveiligingspatches, upgrades of vereisten geïmplementeerd om gebruikers te beschermen tegen degenen die dergelijke beveiligingslekken zouden misbruiken. Zelfs zaken die nooit kwetsbaar lijken voor aanvallen, zoals besturingssystemen, moeten ook worden gepatcht of bijgewerkt om kwetsbaarheden te verhelpen. Zoals u ziet, is niets honderd procent veilig op internet. Encryptieprotocollen en encryptiealgoritmen in het algemeen worden ook ondersteund door het National Institute of Standards and Technology (NIST). NIST is een instituut dat is ontworpen om aanbevelingen te doen voor online beveiliging voor overheidsorganisaties. Het NIST keurt via zijn aanbevelingen ook de nieuwste encryptie-algoritmen en -protocollen goed. Wat ik hiermee bedoel, is dat als een encryptieprotocol of -algoritme door het NIST wordt aanbevolen voor gebruik door overheidsorganisaties, je weet dat het het hoogste beveiligingsniveau heeft en dus door iedereen kan worden gebruikt.
Waarom zou uw organisatie encryptieprotocollen moeten gebruiken?
Ondanks alle kwetsbaarheden die encryptieprotocollen kunnen bevatten, behoren ze nog steeds tot de veiligste tools op internet voor het beveiligen van gevoelige gegevens. In plaats van te vertrouwen op één methode om gegevens te beveiligen, maken encryptieprotocollen zoals PGP of Kerberos gebruik van asymmetrische encryptie, symmetrische encryptie en digitale handtekeningen om de veiligheid, integriteit en authenticiteit van gegevens en de gegevensbehandelaars te beschermen. Deze encryptieprotocollen worden bij bijna elke internetinteractie gebruikt om gegevens te beveiligen. Van e-mail en externe bureaubladverbindingen tot wifi-netwerkverbindingen en meer: u gebruikt dagelijks encryptieprotocollen. Zelfs overheden, die met veel ernstigere bedreigingen worden geconfronteerd dan de gemiddelde persoon, gebruiken encryptieprotocollen om communicatie en verbindingen te beveiligen. Naarmate de bedreigingen in de loop der tijd toenemen, worden er geavanceerdere methoden voor gegevensbescherming ontwikkeld, waaronder veiligere encryptiealgoritmen. Deze encryptiealgoritmen en beveiligingsmethoden worden geïmplementeerd in bestaande en nieuwe encryptieprotocollen om ervoor te zorgen dat gebruikers van deze protocollen de best mogelijke bescherming hebben. Een ander punt om op te merken is dat naarmate er nieuwere encryptieprotocollen worden ontwikkeld, deze waarschijnlijk andere taken zullen uitvoeren. De nieuwste encryptieprotocollen van volgend jaar zouden de beveiliging van databases, cloudsystemen en zelfs zelfrijdende auto's veel veiliger kunnen maken dan ze nu zijn. Door bestaande encryptieprotocollen te updaten met nieuwe encryptie-algoritmen, kunnen gebruikers een andere optie implementeren als een encryptie-algoritme kwetsbaar blijkt te zijn.
Conclusie
In ons artikel hebben we verschillende vragen over encryptieprotocollen behandeld, waaronder hoe een PKI werkt, wat een encryptieprotocol doet, of encryptieprotocollen veilig zijn om te gebruiken, en nog veel meer. Zoals duidelijk is, doordringen encryptieprotocollen elk aspect van het internet, van e-mails tot websiteverbindingen. Dit zijn essentiële onderdelen van een veilig internet voor iedereen, zelfs voor grote bedrijven en overheden. Encryptieprotocollen kunnen bestaan uit encryptie-algoritmen, algoritmen voor digitale ondertekening, hashing-algoritmen, digitale ondertekeningscode en meer. Encryptieprotocollen vormen ook een belangrijk onderdeel van PKI's. PKI's moeten encryptieprotocollen gebruiken om ervoor te zorgen dat gegevens, zoals een asymmetrische digitale certificaatsleutel, veilig zijn. Er zijn ook verschillende encryptieprotocollen om uit te kiezen, die allemaal hun eigen doel en methode hebben om dat doel te bereiken. Protocollen zoals S/MIME of PGP richten zich op de bescherming van e-mailberichten, terwijl andere protocollen, zoals SSH, gebruikers veilig verbinden met externe computers of externe servers. Het is belangrijk om te weten dat encryptieprotocollen beveiligingslekken kunnen bevatten die onopgemerkt blijven. Zodra deze lekken worden ontdekt, publiceren de makers van de encryptieprotocollen een oplossing of configuratieoptie die deze kwetsbaarheid verhelpt. Encryptieprotocollen zijn een van de beste tools die een organisatie of gebruiker kan implementeren om communicatie en gegevens, zowel tijdens de overdracht als in rust, veilig te houden.
