بسم الله الرحمن الرحیم
موضوع:
امضای دیجیتالی چیست و چه کاربردی دارد؟
سال 1400
فهرست
امضای دیجیتال چیست و چگونه باید آن را دریافت کرد؟ 3
امضای دیجیتال 3
مشخصات امضا دیجیتال 5
تاریخچه 5
معایب امضای دیجیتال 7
مزایای امضای دیجیتال 8
کلید عمومی رمزنگاری 9
تولید کلید 10
پروتکل رمز نگاری 11
جمع بندی 12
امضای دیجیتال چیست؟ 12
امضای الکترونیک چگونه امنیت را تامین می کند؟ 14
یک مثال 15
کلیدها چه ربطی به امضای دیجیتال دارند؟ 16
چگونه امضای دیجیتال دریافت کنیم؟ 17
امضای دیجیتال در مقابل امضای دستی 18
مزایای امضای دیجیتال 19
تصدیق هویت پیام 19
حفظ حریم خصوصی 19
یکپارچگی داده ها 19
محرمانگی داده ها 20
عدم انکار امضا 20
امضای دیجیتال چه کاربردهایی دارد؟ 21
نتیجه گیری 21
امضای دیجیتال امنیت چه چیزی را تامین می کند؟ 22
روش های تولید امضاء دیجیتالی 23
ویژگی های امضاهای دیجیتال 23
حملات ممکن علیه امضاهای دیجیتالی 24
ساخت امضای دیجیتال و اهمیت آن: 25
تفاوت امضای دیجیتال و الکترونیکی: 25
الگوریتم امضای دیجیتال: 25
دریافت امضای دیجیتال:. 26
چگونه امضای دیجیتال بسازیم؟ 26
منابع 27
امضای دیجیتال
امضای دیجیتال، نوعی رمزنگاری نامتقارن است. هنگامی که پیغامی از کانالی ناامن ارسال می شود، یک امضای دیجیتال که به شکل صحیح به انجام رسیده باشد، می تواند برای شخص گیرنده پیام، دلیلی باشد تا ادعای شخص فرستنده را باور کند یا به عبارت بهتر، شخص گیرنده از طریق امضای دیجیتال می تواند این اطمینان را حاصل کند که همان شخص فرستنده، نامه را امضا کرده است و نامه جعلی نیست. امضاهای دیجیتال در بسیاری از جنبه ها مشابه امضاهای سنتی دستی هستند؛ جعل کردن امضاهای دیجیتال به شکل صحیح بسیار مشکلتر از یک امضای دستی است. طرح فایل امضای دیجیتال بر مبنای رمزنگاری نامتقارن هستند و می بایست به شکل صحیح صورت گیرد تا موثر واقع شود. همچنین امضاهای دیجیتال می توانند امضاهایی غیرقابل انکار را ایجاد کنند به این معنی که شخص امضاکننده نمی تواند تا زمانی که کلید شخصی فرد به صورت مخفی باقی مانده است، ادعا کند که من این نامه که امضای من را به همراه دارد، را امضا نکرده ام؛ ولی در زمانی که کلید شخصی فرد در شبکه افشا گردد، شخص می تواند امضای دیجیتال خود را انکار کند هرچند که با اضافه کردن مهرزمانی، امضا معتبر مانده و این مشکل حل می گردد. این پیام های امضا شده می توانند هرچیزی که قابل نمایش به رشته بیتی است، باشد، مانند: پست الکترونیک، قراردادها یا پیام هایی که از طریق قواعد رمزنگاری های دیگر ارسال شده باشند.
امضای رقمی یا امضای دیجیتال نوعی طرح ریاضی وار برای راستی آزمایی اعتبار پیام ها یا اسناد دیجیتال می باشد.
یک امضای دیجیتال که پیش نیازهای آن برآورده شده است، به گیرنده دلیل محکمی ارائه می دهد تا معتقد شود که آن پیام:
1. پیام توسط فرستنده شناخته شده ای ساخته شده است (احرازهویت)
2. پیام در مدت انتقال تغییر نکرده است (یکپارچگی)
3. فرستنده نمی تواند ارسال پیام را انکار کند (سلب انکار)
درواقع امضای دیجیتال مکانیزمی است که به یک پیام در فضای تبادل اطلاعات اعتبار می بخشد.امضای دیجیتال امنیت تصدیق هویت، محرمانه بودن، امانتداری و غیرقابل انکار بودن را تامین می کند و از اطلاعات محرمانه در مقابل هرگونه تغییر غیرمجاز محافظت می نماید؛ بنابراین این امضای دیجیتال از دستکاری و خدشه دار کردن اطلاعات جلوگیری می کند. این امضای دیجیتال برای هر شخصی منحصر به فرد می باشد. بزرگترین تفاوت امضاهای دستی با امضاهای دیجیتال در آن است که امضاهای دستی ثابت اند و شکل آنها نباید تغییر کند در حالی که امضاهای دیجیتالی ماهیتاً وابسته به پیام اند و به ازای هر پیام تغییر می کنند.درواقع امضای دیجیتال یک فرایند رمزنگاری نامتقارن می باشد که نوعی مکانیزه امنیتی است که به دو کلید خصوصی و عمومی وابسته است که از این کلیدها برای رمزگذاری پیام در زمان انتقال پیغام و رمزگشایی هنگام دریافت پیام استفاده می نمایند.
امضای دیجیتال با به کارگیری یک الگوریتم ریاضی، که از دید کاربر پنهان است، موارد زیر را در مورد یک پیام تضمین می کند:
* تمامیت (دستکاری نشدن) پیام: گیرنده یک پیام باید اطمینان داشته باشد که پیام بدون هیچ تغییری، توسط فرستنده ارسال شده است.
* احراز هویت دیجیتال: هر فرد همان کسی است که ادعا می کند. هر پیام واقعاً توسط کسی ارسال شده است که ادعا می شود فرستنده پیام است.
* انکارناپذیری: کسی که پیامی را ارسال کرده یا صحت پیامی را تایید کرده است، در آینده نتواند ارسال کردن یا تایید کردن پیام را انکار کند.
امضاهای دیجیتال اغلب برای به انجام رساندن امضاهای الکترونیکی به کار می روند. در تعدادی از کشورها، مانند آمریکا و کشورهای اتحادیه اروپا، امضاهای الکترونیکی قوانین مخصوص به خود را دارند. هرچند، قوانین دربارهٔ امضاهای الکترونیکی همواره روشن نمی سازند که آیا امضاهای دیجیتال به درستی به کار گرفته شده اند یا اهمیت آن ها به چه میزان است. در حالت کلی قوانین به شکل واضح در اختیار کاربران قرار نمی گیرد و گاهی آنان را به گمراهی می کشاند.
امضای دیجیتال در بسیاری از کشورها ازجمله ایران، از لحاظ قانونی پشتیبانی می شود. قانون تجارت الکترونیکی که در سال 1382 به تصویب مجلس شورای اسلامی رسیده است، مهمترین سندی است که امضای دیجیتال را ازنظر قانونی پوشش می دهد. ماده 7 این قانون به صراحت بیان می کند "هرگاه قانون وجود امضا را لازم بداند امضای الکترونیکی مکفی است". طبق ماده 10 این قانون، امضای الکترونیکی مطمئن باید دارای شرایط زیر باشد:
الف- نسبت به امضاکننده منحصربه فرد باشد.
ب- هویت امضاکننده را معلوم نماید.
ج- به وسیله امضاکننده و یا تحت اراده انحصاری وی صادر شده باشد.
د- به نحوی به یک پیام متصل شود که هر تغییری در آن پیام قابل تشخیص و کشف باشد.
مشخصات امضا دیجیتال
طرح امضای دیجیتال معمولاً سه الگوریتم را شامل می شود: ۱- الگوریتم تولید کلید را که کلید خصوصی را به طور یکسان و تصادفی از مجموعه کلیدهای ممکن انتخاب می کند. خروجی های این الگوریتم کلید خصوصی و کلید عمومی مطابق با آن است. ۲- الگوریتم امضا که توسط آن با استفاده از کلید خصوصی و پیام، امضا شکل می گیرد. ۳-الگوریتمی که با استفاده از پیام دریافتی و کلید عمومی صحت امضا را بررسی می کند و با مطابقتی که انجام می دهد یا امضا را می پذیرد یا آن را رد می کند.
دو ویژگی اصلی که در امضای دیجیتال مورد نیاز است: اول، امضای تولید شده از پیام مشخص و ثابت هنگامی که توسط کلید عمومی مورد بررسی قرار می گیرد فقط در مورد همان پیام ارسالی می تواند عمل تطبیق را صورت دهد و در مورد هر پیام متفاوت و خاص می باشد. ثانیاً، امضای دیجیتال می بایست قابلیت اجرا توسط الگوریتم را داشته باشد و بتواند فایل امضای معتبر برای مهمانی که کلید خصوصی را دارا نمی باشد ایجاد نماید.
تاریخچه
بر اساس اسناد معتبر "دیدگاه های جدید در رمزنگاری" در سال ۱۹۷۶ توسط ویتفید دیفای و مارتین هیلمن برای تشریح ایده های اولیه طرح فایل امضای دیجیتال ارائه شد. البته به نظر می رسد طرح های اولیه دیگری نیز در آن زمان وجود داشته است. مدت کوتاهی پس از آن جمع دیگری از محققین به نام های ریوست، شمیر و آدلمن، الگوریتم آر اس اِی را ابداع کردند که می توانست برای تولید امضای دیجیتال اولیه به کار رود. اول بسته نرم افزاری امضای دیجیتال با عنوان لوتوس نت در سال ۱۹۸۹ بر مبنای همین الگوریتم به بازار عرضه شد.
در سال ۱۹۸۴ میشلی، گلدواسر و ریوست با تمام دقت موارد مورد نیاز را برای برقراری امنیت در طرح امضای دیجیتال بررسی کردند. آن ها با بررسی مدل های مختلف حمله برای امضای دیجیتال توانستند طرح فایل امضای دیجیتال جی ام آر را ارائه کنند که می تواند در مقابل حمله به پیام و جعلی بودن آن مقاومت کند.
طرح های ابتدایی امضای دیجیتال مشابه همدیگر بودند: آن ها از جایگشت (تبدیل) دریچه ای استفاده می کردند، مانند تابع آر اس اِی یا در برخی موارد از طرح امضای رابین بهره می گرفتند. جایگشت دریچه ای نوعی از مجموعه جایگشت هاست که به وسیله پارامترها مشخص می شود که در محاسبه های رو به جلو سریع عمل می کند ولی در محاسبه های بازگشتی با مشکل مواجه می شود. با این وجود برای هر پارامتر یک دریچه وجود دارد که حتی محاسبه های بازگشتی را آسان می کند. جایگشت های دریچه ای می توانند مانند سیستم های رمزگذاری با کلید عمومی باشند. در جایی که پارامتر به عنوان کلید عمومی و جایگشت دریچه ای به عنوان کلید پنهان است رمزگذاری مانند محاسبه جایگشت در جهت رو به جلوست و رمز گشایی مانند محاسبه در جهت معکوس است. همچنین جایگشت های دریچه ای می توانند مانند طرح فایل امضا دیجیتال باشند، به این صورت که محاسبه در جهت معکوس با کلید پنهان مانند امضا کردن است و محاسبه در جهت پیش رو مانند بررسی صحت امضاست. به دلیل این همخوانی امضاهای دیجیتال اغلب بر پایه سامانه رمزنگاری با کلید عمومی تشریح می شوند اما این تنها روش پیاده سازی امضای دیجیتال نیست.
ولی این نوع طرح امضای دیجیتال در برابر حملات آسیب پذیر است و شخص مهاجم می تواند با دست کاری در روش بررسی صحت امضا، یک امضای دیجیتال جعلی برای خود ساخته و شبکه را با مشکل مواجه سازد. هرچند این نوع امضا به شکل مستقیم به کار گرفته نمی شود ولی ترجیحاً ابتدا پیام را با استفاده از روش های درهم سازی خلاصه می کنند و سپس خلاصه پیام را امضا می کنند و در نتیجه با استفاده از همین ترفند، شخص مهاجم فقط می تواند یک امضای دیجیتال جعلی برای خود درست کند که این امضا با محتویات مربوط به خروجی تابع درهم سازی از پیام خلاصه شده تطابق ندارد و شخص مهاجم نمی تواند به محتویات پیام خدشه ای وارد کند.
همچنین دلایل متنوعی وجود دارد تا افرادی که می خواهند از امضای دیجیتال استفاده کنند از خلاصه پیام و خروجی تابع درهم سازی برای امضا استفاده کنند. اولین دلیل ایجاد بازدهی مناسب برای طرح امضای دیجیتال است زیرا فایل امضا خیلی کوتاهتر خواهد بود و در نتیجه زمان کمتری صرف می شود. دومین دلیل برای سازگاری بیشتر است زیرا با استفاده از تابع درهم سازی شما می توانید خروجی مطابق با نوع الگوریتمی که به کار گرفته اید داشته باشید. سومین دلیل برای درستی اجرای امضای دیجیتال است: بدون استفاده از تابع درهم سازی ممکن است پیام شما در هنگام امضا به دلیل مشکل فضا به بخش های مختلف تقسیم شود و شخص دریافت کننده نتواند به درستی منظور فرستنده را دریافت کند بنابراین از این تابع استفاده می کند تا خود پیام را به شکل خلاصه و بدون ایجاد مشکل ارسال کند.
نظریه های امنیتی در تحقیقات میشلی، گلدواسر و ریوست مراتب متفاوت حمله به امضاهای دیجیتال را برای ایجاد دیوار دفاعی مناسب بررسی کردند و نتایج زیر به دست آمد:
1. در حمله کلید یگانه، مهاجم فقط روند بررسی و تایید کلید عمومی را بدست می آورد و از این طریق سامانه را مورد تهاجم قرار می دهد.
2. در حمله با پیام آشکار، مهاجم یک کلید کارآمد برای مجموعه ای از پیام های آشکار و مشخص در اختیار دارد و فقط با استفاده از پیام مشخص می تواند حمله کند و توانایی انتخاب پیام برای مورد حمله قرار دادن نخواهد داشت.
3. در انطباق پیام انتخاب شده، مهاجم ابتدا امضا را بر روی یک پیام دلخواه که مورد انتخاب مهاجم است یادمی گیرد و از آن امضا استفاده می کند.
در ادامه مراحل نتایج حمله به سامانه امضای دیجیتال از طریق روش های مذکور مطرح می شود:
1. در مرحله اول امکان ترمیم و استفاده مجدد از امضای دیجیتال را از بین خواهد برد.
2. توانایی جعل امضا در یک سطح گسترده از دیگر نتایج حمله به امضای دیجیتال است. در این مرحله شخص مهاجم توانایی جعل امضا برای هر پیامی را به دست خواهدآورد.
3. جعل در مورد پیام های انتخابی؛ در این مورد مهاجم می تواند جعل امضا را در مورد پیام انتخابی خود انجام دهد.
4. در این مورد از نتایج حمله به امضای دیجیتال شخص مهاجم فقط می تواند از طریق امضای در دسترس خود و برخی پیام ها به محتویات آن ها دست پیدا کند و دیگر شخص مهاجم توانایی انتخاب ندارد و انتخاب های او محدود می شود.
معایب امضای دیجیتال
با وجود تمام مزایایی که امضای دیجیتال دارد و در ادامه همین مقاله به بررسی آن می پردازیم ولی این طرح همچنان در حل برخی مشکلات که در ادامه آن ها را مطرح می کنیم ناتوان است. الگوریتم و قوانین مربوط به آن نمی توانند تاریخ و زمان امضای یک سند را در ذیل آن درج کنند از همین جهت شخص دریافت کننده نمی تواند این اطمینان را حاصل کند که نامه واقعاً در چه تاریخ و زمانی به امضا رسیده است. ممکن است در محتویات سند تاریخی درج شده باشد و با تاریخی که شخص نامه را امضا کرده باشد مطابقت نداشته باشد. البته برای حل این مشکل می توان از یک راه حل با عنوان زمان اعتماد به مهرو امضا استفاده کرد. همان طور که در ابتدای تعریف امضای دیجیتال اشاره شد این طرح غیرقابل انکار است و ساختار امضای دیجیتال بر همین اساس شکل گرفته است. همان طور که می دانید تکذیب در لغت به معنی انکار هرگونه مسئولیت نسبت به یک فعالیت است. هنگامی که پیامی ارسال می شود و فرستده آن را همراه امضا دریافت می کند در واقع این اطمینان در شخص دریافت کننده ایجاد می شود که نامه را چه کسی امضا کرده است و انکار امضا کاری مشکل به نظر می رسد. البته تا زمانی که کلید خصوصی به صورت مخفی باقی بماند شخص فرستنده نمی تواند چنین ادعایی داشته باشد ولی هنگامی که فایل امضای شخصی مورد حمله قرار بگیرد نه تنها خود فایل امضا اعتبار لازم را از دست می دهد بلکه استفاده از زمان اعتبار مهر و امضا نیز دیگر کاربردی نخواهد داشت. البته یادآوری این نکته لازم است هنگامی که شما در سامانه خود از کلید عمومی بهره می گیرد دیگر نمی توانید امضای خود را انکار کنید و در صورتی این موضوع امکان پذیر است که کل شبکه مورد حمله واقع شود و سامانه از اعتبار لازم ساقط شود. بنا براین توجه به انتخاب یک راه حل درست برای پیاده سازی طرح امضای دیجیتال از اهمیت ویژه ای برخوردار است و همان طور که عنوان شد ممکن است با یک مشکل کل اعتبار مجموعه زیر سوال برود. مطابق اصول فنی امضای دیجیتال که در توضیح های ابتدایی آورده شده است، فایل امضای دیجیتال رشته ای از بیت ها را در اجرای این طرح به کار می برد. در واقع افراد در این طرح مجموعه ای از بیت ها را که ترجمه پیام است امضا می کنندآن آن ها ترجمه معنایی آن ها ذره ها امضا می کنند. مشکل دیگر امضای دیجیتال این است که چون پیام توسط یک تابع مشخص به مجموعه ای از بیت ها ترجمه و پردازش می شود ممکن است در طی مرحله انتقال و دریافت پیام ترجمه پیام دچار خدشه شود و مفهوم دیگری به خود گیرد. برای حل این مشکل از روشی با عنوان دبلیو وای اس آی دبلیو وای اس استفاده می شود به این معنا که همان چیزی که مشاهده می شود امضا می شود. در این روش همان اطلاعات ترجمه شده خود را بدون آن که اطلاعات مخفی دیگری در آن قرار گیرد امضا می کند و پس از امضا و تایید اطلاعات از سوی شخص فرستنده درون سامانه به کار گرفته می شود. در واقع این روش ضمانت نامه محکمی برای امضای دیجیتال به شمار می رود و در سیستم های رایانه ای مدرن قابلیت پیاده سازی و اجرا را خواهد داشت.
مزایای امضای دیجیتال
حال در این بخش مزایای استفاده از امضای دیجیتال را مورد بررسی قرار خواهیم داد.از طریق امضای دیجیتال، دسترسی افراد به حساب هایشان کنترل می شود؛ افراد می توانند اسناد الکترونیکی را امضای دیجیتالی کنند؛ برداشت از حساب و انتقال پول با تایید صاحبان حساب خواهد بود؛ و بسیاری کاربردهای دیگر. در همه این ها، هم کاربر و هم موجودیتی که به کاربر خدمات ارائه می دهد (بانک ها، مراکز دولتی، سازمان ها، فروشندگان و غیره) نسبت به امن بودن فعالیت خود اطمینان می یابند. بنابراین، نه دسترسی های غیرمجاز، امنیت کاربر را تهدید می کند و نه کاربر می تواند عملیاتی را که انجام داده است، انکار نماید.
با داشتن امضای دیجیتال در صورتی که بخواهید در فضای اینترنت، مبادله الکترونیکی با هویت مجازی داشته باشید، می توانید خود را به گونه ای معرفی کنید که طرف مقابل به شما اعتماد کند و گیرنده می تواند از ماهیت فرستنده و اینکه اطلاعات حین انتقال تغییر پیدا نکرده مطمئن باشد.
به عبارت دیگر می توان گفت به کارگیری گواهی الکترونیکی امضای دیجیتال در سامانه ها، امضای دیجیتال اسناد و تراکنش های الکترونیکی مزایای زیر را به همراه دارد:
1. احراز هویت دیجیتال(Authentication): اطمینان از این که پیام دریافتی واقعا از منبع مورد انتظار باشد، یعنی اصالت فرستنده و پیام برای گیرنده احراز شود.
2. محرمانگی (Confidentiality): گیرنده می تواند مطمئن باشد که افراد غیر مجاز نمی توانند به محتوای داده دست پیدا کنند.
3. تمامیت (Integrity): اطمینان از این که در متن ارسالی هیچ گونه تغییری رخ نداده است.
4. انکارناپذیری (Non-Repudiation): فرستنده نمی تواند امضای دیجیتال خود را انکار نماید.[۶]
یکی از دلایل به کارگیری امضاهای دیجیتالی که یک دلیل عادی به شمار می رود ایجاد اعتبار برای امضاها در یک سامانه تبادل داده و اطلاعات است. در واقع استفاده از امضای دیجیتال سندیت و اعتبار ویژه ای به یک سند می بخشند. وقتی که هر فرد دارای یک کلید خصوصی در این سامانه است با استفاده از آن می تواند سند را امضا کرده و به آن ارزش و اعتبار داده و سپس آن را ارسال کند. اهمیت ایجاد اطمینان قطعی و محکم برای شخص دریافت کننده پیام دربارهٔ صحت ادعای فرستنده در برخی از انواع انتقال اطلاعات مانند داده های مالی به خوبی خود را نشان می دهد و اهمیت وجود امضای دیجیتال درست را بیش از پیش به نمایش می گذارد. به عنوان مثال تصورکنید شعبه ای از یک بانک قصد دارد دستوری را به دفتر مرکزی بانک به منظور درخواست ایجاد تعادل در حساب های خود را ارسال کند. اگر شخص دریافت کننده در دفتر مرکزی متقاعد نشود که این پیام، یک پیام صادقانه است و از سوی یک منبع مجاز ارسال شده است طبق درخواست عمل نکرده و در نتیجه مشکلاتی را به وجود می آورد. در موارد بسیار زیادی، فرستنده و گیرنده پیام نیاز دارند این اطمینان را به دست بیاورند که پیام در مدت ارسال بدون تغییر باقی مانده است. هرچند رمزنگاری محتوای پیام را مخفی می کند ولی ممکن است امضا در یک سامانه از اعتبار ساقط شود و محتویات یک پیام دست خوش تغییرات گردد؛ ولی استفاده از امضای دیجیتال به عنوان روشی از رمز نگاری می تواند ضامن درستی و بی نقصی یک پیام در طی عملیات انتقال اطلاعات باشد زیرا همان طور که در ساختار اجرایی شدن الگوریتم مشاهده کردید از تابع درهم سازی بهره گرفته شده است و همین نکته ضمانت بهتری را برای درستی و صحت یک پیام ایجاد می نماید.
کلید عمومی رمزنگاری
رمزنگاری با استفاده از کلید عمومی روشی است برای ایجاد یک ارتباط پنهان میان دو شخص بدون اینکه نیازی به تعویض کلیدهای خصوصی باشد. همچنین با استفاده از این روش می توان امضاهای دیجیتال را ایجاد کرد.
رمزنگاری کلید عمومی اساس و بنیاد تبادل اطلاعات در تکنولوژی های امروز در جهان گسترده اینترنت است. همچنین این روش به عنوان رمزنگاری نامتقارن نیز مطرح است زیرا کلیدی که برای رمزنگاری به کار می رود با کلیدی که برای رمز گشایی به کار می رود متفاوت است. در رمزنگاری با کلید عمومی، هر کاربر یک جفت کلید برای رمزنگاری شامل یک کلید عمومی و یک کلید خصوصی است. کلید خصوصی به عنوان یک راز از سوی کاربر باید نگهداری شود و همه کاربران امکان استفاده از کلید عمومی را داردند و در اختیار همه قرار می گیرد.
از رمز نگاری نامتقارن هم برای رمزنگاری استفاده می شود هم برای رمز گشایی استفاده می شود. پیام هایی که با کلید عمومی رمزنگاری می شوند فقط با کلید خصوصی مطابق قابلیت رمزگشایی را دارند. هرچند که کلیدهای عمومی و خصوصی مطابق با یکدیگر هستند ولی با استفاده از کلید عمومی نمی توان کلید خصوصی را به دست آورد. در طرح رمزنگاری متقارن فرستنده و گیرنده باید با یک کلید مشترک اضافه باشند تا بتوانند عملیات رمزگشایی و رمز نگاری را انجام دهند و به همین دلیل این طرح قابلیت اجرایی شدن کمتری نسبت به روش نامتقارن دارند زیرا روش متقارن یک پهنای باند ویژه جهت تبادل کلید اضافی نیاز دارد به همین دلیل از کارایی مناسبی برخوردار نیستند.
دو شاخه اصلی رمزنگاری با کلید عمومی عبارتند از: رمزگذاری کلیدی عمومی: پیامی که با کلید عمومی رمزگذاری شده باشد فقط به وسیله صاحب کلید خصوصی مطابق با آن رمزگشایی می شود و این موضوع به همکاری فرستنده و گیرنده بستگی دارد و می تواند اعتماد را تا اندازه زیادی در این سیستم تامین کند و همکاری کرد. امضاهای دیجیتال: در مورد امضای دیجیتال پیام با استفاده از کلید خصوصی فرستنده رمزگذاری می شود و با استفاده از کلید عمومی فرستنده نیز رمزگشایی می شود. رمزنگاری کلید عمومی در مقایسه با صندوق پستی مانند صندوق پستی قفل شده همراه یک دریچه است که این دریچه در دسترس عموم قرار دارد به طور مثال اطلاعاتی از قبیل محل خیابان در اختیار عموم قرار می گیرد. هرکس با دانستن آدرس خیابان می تواند به درب مورد نظر مراجعه کرده و پیام مکتوب را از طریق دریچه می تواند ببیند ولی فقط شخصی که کلید باز کردن صندوق پستی را دارا می باشد می تواند پیام را بخواند. همچنین امضاهای دیجیتال شبیه پلمب یک پاکت نامه است که هرکس می تواند پاکت نامه را باز کند ولی پلمی فرستنده بر روی پاکت نامه به عنوان نشانی از فرستنده باقی خواهد ماند. مسئله اصلی برای استفاده از رمزنگاری عمومی ایجاد اطمینان در مسیر ارسال اطلاعات است. با توجه به مثال های ذکر شده باید کلید عمومی برای هر شخص به درستی تولید شود تا از سوی شخص سومی مورد تهاجم واقع نشود و سلامت سیستم حفظ شود. یک شیوه مرسوم برای رسیدگی به این مسئله استفاده از یک سازمان کلید عمومی است که بتواند در مورد شخص سومی که وارد سیستم می شود یک دسترسی متناسب تعریف کند. تمامی تکنیک های قابلیت اجرای سریعتر نسبت به اجرای سیستم کلید خصوصی را دارند و می توانند به اندازه کافی برای برنامه های متنوع کلید تولید کنند. در عمل اغلب رمز نگاری با کلید عمومی با سیستم کلید خصوصی به کار می رود تا بتواند بازدهی بیشتری داشته باشد. چنین ترکیب هایی را سیستم رمزنگاری دو رگه می نامند. برای رمزنگاری، فرستنده پیام با استفاده از الگوریتم تولید کلید به طور تصادفی یک کلید تولید می کند و با استفاده از آن کلید تصادفی عملیات رمزنگاری با کلید عمومی را انجام می دهد. برای امضاهای دیجیتالی، فرستنده پیام با استفاده از تابع درهم سازی پیام را خرد می کنند و پس از تایید محتوای نامه، آن را امضا می کند. همچنین گیرنده با استفاده از تابع درهم سازی محاسباتی را انجام می دهد و کدی را به دست می آورد و این کد را با کد حاصل از اعمال تابع درهم سازی بر روی امضا، مقایسه می کند و بررسی می کند که آیا پیام مورد حمله قرار گرفته است یا خیر.
تولید کلید
تولید کلید روند تولید کلیدها برای رمز نگاری است. یک کلید رمزنگاری را انجام می دهد و یک کلید رمزگشایی می کند. سیستم های رمزنگاری جدید، سیستم رمزنگاری متقارن مانند الگوریتم های DES و AES و سیستم رمزنگاری با کلید عمومی مانند الگوریتم آر اس اِی را شامل می شوند. الگوریتم های متقارن از یک کلید به اشتراک گذاشته شده استفاده می کنند و الگوریتم های نامتقارن از کلید عمومی و کلید خصوصی بهره می گیرند که کلید عمومی دسترسی عمومی دارد و وقتی فرستنده داده ها را با کلید عمومی رمزگذاری می کند، گیرنده تنها با داشتن کلید خصوصی می تواند داده ها را رمزگشایی کند.
پروتکل رمز نگاری
یک پروتکل امنیت (پروتکل رمزنگاری) یک مفهوم انتزاعی است و در واقع تضمینی برای امنیت سیستم به شمار می رود و امنیت سیستم رمزنگاری به برقراری این قواعد وابسته است. پروتکل تعیین می کند که الگوریتم ها چگونه می بایست به کار روند تا همراه با کارایی لازم، امنیت خود را نیز حفظ کنند. پروتکل ها به اندازه کافی و به صورت مفصل جزئیات را دربارهٔ ساختارهای داده ها و شکل استفاده از آن ها را تعیین می کنند. اجرای کامل و درست پروتکل می تواند این اطمینان را در کاربر ایجاد کند که امنیت سیستم تا میزان مورد نیاز تامین می شود. پروتکل رمزنگاری معمولاً در ابتدایی ترین حالت موارد زیر را شامل می شوند: بررسی و تایید صحت کلید؛ تعیین اعتبار موجود بودن کلید در سیستم؛ در مورد روش متقارن اعتبار لازم را به یک پیام می دهد؛ حفظ امنیت داده در سطح برنامه؛ روش هایی که اجازه نمی دهد کاربر امضای خود را تکذیب کند (ویژگی غیرقابل انکار بودن). به عنوان مثال؛ پروتکل امنیت لایه های حمل اطلاعات یک پروتکل رمزنگاری است که برای حفظ امنیت اتصالات در سطح وب را تامین می کند. طرز کار این پروتکل بر مبنای سیستم ۵۰۹X. است که یک مرحله تولید کلید و با استفاده از کلید عمومی و روش رمزنگاری با کلید عمومی داده ها را در سطح برنامه ها حمل می کند؛ ولی این پروتکل نمی تواند ویژگی غیرقابل انکار بودن رمزنگاری را تامین کند. انواع دیگری از پروتکل های رمزنگاری وجود دارند که برخی از آن ها خود شامل چندین پروتکل مختلف دیگر می شوند امزوه تنوع گسترده ای در زمینه پروتکل ها به وجود آمده است و شرکت های مختلف برای رفع معایب امضای دیجیتال و ایجاد امنیت هر چه بیشتر در این ساختار تلاش هی چشمگیری انجام داده اند. به طور کلی، یک پروتکل رمزنگاری، مجموعه ای از قواعد و روابط ریاضی است که چگونگی ترکیب کردن الگوریتم های رمزنگاری و استفاده از آن ها به منظور ارائه یک سرویس رمزنگاری خاص در یک کاربرد خاص را فراهم می سازد. معمولاً یک پروتکل رمزنگاری مشخص می کند که اطلاعات موجود در چه قالبی باید قرار گیرند. چه روشی برای تبدیل اطلاعات به عناصر ریاضی باید اجرا شود. کدامیک از الگوریتم های رمزنگاری و با کدام پارامترها باید مورد استفاده قرار گیرند. روابط ریاضی چگونه به اطلاعات عددی اعمال شوند. چه اطلاعاتی باید بین طرف ارسال کننده و دریافت کننده رد و بدل شود. چه مکانیسم ارتباطی برای انتقال اطلاعات مورد نیاز است. ─ به عنوان مثال می توان به پروتکل تبادل کلید دیفی- هلمن برای ایجاد و تبادل کلید رمز مشترک بین دو طرف اشاره نمود.
جمع بندی
با توضیحاتی که درباره اجرای طرح امضای دیجیتال ارائه شد به نظر می رسد این روش می تواند نیازهای مجموعه را تامین می کند. هرچند معایبی در این تحقیق برای این روش مطرح شد ولی راهکارهای عملی برای مقابله با آن نیز ارائه شد. نکته مهمی که در متن مقاله بر آن تاکید شد انتخاب روش مناسب برای پیاده سازی این طرح و اجرای کامل و درست الگوریتم های مربوط به آن است که میزان اعتبار این طرح را تا حدود زیادی افزایش می دهد.
این روزها از امضای دیجیتال زیاد شنیده ایم. در رسانه هاگزارش عملیاتی شدن امضای دیجیتال ازز اول آذر ماه را زیاد دیده ایم اما کمتر جایی دیده ایم که توضیح داده باشند امضای دیجیتال چیست و اینکه چطور می توان آن را دریافت کرد و چگونه از آن استفاده کرد. در این گزارش به زبانی ساده به تعریف امضای دیجیتال و ساز و کار آن می پردازیم و همچنین اینکه چطور می توان امضای دیجتال دریافت کرد.
امضای دیجیتال چیست؟
با شنیدن امضای دیجیتال افراد ممکن است دچار سوء تفاهم شوند و تصورهای متفاوتی از امضای دیجیتال داشته باشند. در ابتدا به تعریف درستی از امضای دیجتال به زبان ساده می پردازیم.
اولین مورد استفاده از اصطلاح امضای دیجیتال را شاید بتوان اسکن کردن امضای یک شخص و کپی کردن آن پای مدارک عمومی و نه چندان مهم شرکت ها و سازمان ها دانست. برای مثال از طرف یک سازمانی می خواهند به هزار نفر لوح تقدیری اهدا کنند و امضای مدیر یا رئیس هم باید پای آن ها باشد. در این مورد مدیر یا رئیس سازمان به احتمال زیاد وقت آزاد برای هزار امضا را ندارد. در این صورت او یک بار در یک برگه سفید امضا می کند و امضای روی آن را اسکن می کنند و سپس روی تک تک برگه هایی که لازم است، آن را کپی می کنند. این مورد در سازمان ها، وزارتخانه ها، اتحادیه ها و شرکت های بزرگ کاربرد زیادی دارد.
مورد دومی که از اصطلاح امضای دیجیتال برای آن استفاده می شود امضا با مدادی نوری بر روی سیگنچر پد (Signature Pad) است. در این مورد فرد با یک مداد الکترونیکی بر روی یک صفحه نمایش لمسی امضا می کند. از مزایای این نوع امضا این است که سیستم می تواند سرعت حرکت مداد امضا، مقدار فشار دست و مواردی این چنینی را هنگام امضا کردن اندازه گیری کند و آنها را با نمونه امضای ثبت شده در سیستم مقایسه کند تا از جعل امضا و جعل هویت جلوگیری کند. یعنی حتی اگر یک شخص از لحاظ ظاهری کاملا شبیه شما باشد و امضای شما را هم بلد باشد باز هم نمی تواند خودش را جای شما بزند و سوء استفاده کند. این مورد امضا بیشتر در بانک ها و دفاتر اسناد رسمی و محضرها استفاده می شود.
اما مورد سوم که این روزها همه جا حرفش است در واقع هیچ شباهتی با تصور ما از یک امضا ندارد. به زبان ساده این امضای دیجیتال یک نام کاربری و یک رمز است که در سیستم اسنادی به نام شما ثبت می شود و در دنیای مجازی و الکترونیکی کارت هویت شماست. در واقع به کمک این نام کاربری و رمز آن، شما در دنیای مجازی نه تنها می توانید ثابت کنید که دقیقا چه کسی هستید بلکه می توانید ثابت کنید که اطلاعاتی که برای طرف دیگر می فرستید بدون هیچ دخل و تصرفی از سوی شما فرستاده شده است.
هر چند هر سه این تعاریف می توانند تعریف درستی از اصطلاح امضای دیجیتال باشند اما آنچه از این پس در این گزارش مد نظر ماست، مورد سوم است که فقط یک نام کاربر و یک رمز است.
امضای الکترونیک چگونه امنیت را تامین می کند؟
به زبان ساده، تبادل اطلاعات در دنیا به روش های مختلف می تواند انجام شود. ساده ترین روش، انتقال اطلاعات به صورتtext Plain یا همان متن ساده می باشد. یعنی نفر اول یک اطلاعاتی را از کانالی به نفر دوم منتقل می کرد و اطلاعات به همان شکلی که فرد اول فرستاده بود به دست نفر دوم می رسید. اما به مرور و با ارزشمند شدن اطلاعات و بالا رفتن حجم اطلاعات قابل انتقال از طریق بسترهای الکترونیک، دیگر تبادل اطلاعات به شکل ساده شیوه امن نخواهد بود. زیرا ممکن بود در میان کانال ارتباط، اطلاعات توسط نفر سومی مشاهده شوند، دست کاری شوند یا به کلی عوض شوند و سپس به دست نفر دوم برسند. برای جلوگیری از این لو رفتن اطلاعات، کاربرهای اول و دوم یکسری رمز بین خود تعریف تا انتقال اطلاعات به صورت رمز شده انجام شود.
یک مثال
اگر نفر اول بخواهد عدد ۱۳۹۲ را برای نفر دوم بفرستد، این گونه رمز می گذارند که به هر عدد یک رقم اضافه شود و همیشه به جای عدد ۹، یک صفر (۰) قرار دهند. در نتیجه نفر اول به جای عدد ۱۰۹۸ عدد ۲۱۰۹ را می فرستد. نفر دوم پس از دریافت عدد ۲۱۰۹ می داند که طبق قرارداد برای دریافت عدد درست باید آن را به حالت اول برگرداند. پس از هر عدد یک رقم کم می کند به جز عدد ۰ و می داند عدد ۰ نماینده عدد ۹ است. پس به به عدد اصلی یعنی ۱۰۹۸ می رسد. این یک الگوریتم رمزگذاری بسیار ساده بود که کشف رمز آن نیز به مراتب ساده است. در نتیجه هر چه این الگوریتم سخت تر و پیچیده تر باشد کشف رمز آن نیز سخت تر می شود.حال اگر بخواهیم کمی فنی تر صحبت کنیم، می توانیم بگوییم که نفر اول و دوم برای تولید این رمز و خواندن آن از یک کلید استفاده می کنند. کلید ها با توجه به طول نوع پیچیدگی الگوریتم می تواند طولانی یا کوتاه باشد.خب حالا نفر اول (فرستنده) و نفر دوم (گیرنده) خیالشان راحت است که نفر سومی نمی تواند اطلاعات آنها را بخواند و برای خواندن یا دخل و تصرف در آن حتما نیاز به کلید دارد. تا به اینجا "همه چیز آرومه من چقدر خوشبختم". اما امنیت این قضیه تا زمانی برقرار است که نفر سومی به آن کلید دسترسی پیدا نکرده است یا نتوانسته از روی آن بسازد. اما اگر نفر سومی هم به آن کلید دسترسی داشته باشد یا بتواند از روی آن بسازد آنوقت نفر سوم می تواند در تبادل اطلاعات دخل و تصرف ایجاد کند و نفر دوم هم متوجه وجود نفر سوم نمی شود. خب حالا اگر نفر سوم در اطلاعات تغییراتی ایجاد کند و آن را برای نفر دوم بفرستد نفر دوم چگونه بفهمد که این اطلاعات از طرف نفر اول آمده اند و هیچ دخل و تصرفی در آنها نشده است؟
این روش، بیانی ساده برای رمزنگاری متقارن است که در آن طرفین از یک کلید برای رمزنگاری استفاده می کنند. با توجه به ضعف این روش، نیاز است که از الگوریتم و روش پیچیده تری برای رمزنگاری استفاده شود که در این صورت روش رمزنگاری کلید عمومی استفاده می شود.
در این حالت فرستنده و گیرنده کلیدهای عمومی و خصوصی را دارند. اطلاعاتی که با کلید عمومی رمزنگاری می شوند فقط با کلید خصوصی مرتبط با آن، قابلیت رمزگشایی را دارند. هرچند که کلیدهای عمومی و خصوصی مطابق با یکدیگر هستند ولی با استفاده از کلید عمومی نمی توان کلید خصوصی را به دست آورد. در صورتی که در روش رمز نگاری متقارن فرستنده و گیرنده یک کلید مشترک دارند و با استفاده از آن به تبادل اطلاعات می پردازند. در الگوریتم های نامتقارن از کلید عمومی و کلید خصوصی بهره می گیرند که کلید عمومی در دسترس هرکس (همه فرستنده ها) است و وقتی فرستنده داده ها را با کلید عمومی خود رمزگذاری می کند، گیرنده تنها با داشتن کلید خصوصی می تواند داده ها را رمزگشایی کند. در این الگوریتم ها هر کس کلید عمومی خود را دارد که منحصر به فرد است و اطلاعات خود را با آن کلید رمز کرده و برای گیرنده ارسال می نماید.فرض کنید یک اتاق خالی داریم که در آن قفل است و کلیدش را فقط نفر اول و نفر دوم دارند. نفر اول با کلیدش در اتاق را باز می کند و یک محموله برای نفر دوم در اتاق می گذارد و از اتاق خارج می شود. سپس در اتاق را با کلیدش قفل می کند می رود. نفر دوم می داند نفر اولی یک محموله در اتاق قفل شده برایش گذاشته است؛ پس با کلیدش در را باز می کند و محموله را برمی دارد و می رود. اما اگر این بین یک نفر سومی هم وجود داشته باشد که او هم کلید اتاق را دارد و قبل از رسیدن نفر دوم وارد اتاق بشود و محموله را با محوله دیگری عوض کند چه؟ در این صورت، در عین حال که محموله در اتاقی در-بسته بوده و کلید گذاری شده است اما نفر دوم چگونه باید بفهمد که محموله توسط نفر سومی مشاهده یا تعویض نشده است؟
برای حل این مشکل، اگر قفل روی در اتاق به گونه ای باشد که هر بار که کسی برای باز یا بسته کردن آن از کلید استفاده می کند نشان دهد که نفر آخر چه کسی آن را باز و بسته کرده است دیگر مشکل حل است. در این صورت نه تنها نفر دوم مطمئن است که محموله در اتاقی در-بسته است، بلکه می تواند مطمئن شود که پس از کلیدگذاری نفر اول، کس دیگری وارد اتاق نشده است و این دقیقا همان محموله ای است که نفر اول آن را در اتاق گذاشته است.
کلیدها چه ربطی به امضای دیجیتال دارند؟
به زبان ساده امضای دیجیتال همان کلید خصوصی ای است که به فرد داده می شود. به کمک این امضای دیجیتال دیگر فرد پس از فرستادن اطلاعات بر روی بسترهای الکترونیکی می تواند خیالش راحت باشد که اطلاعات به درستی به مقصد می رسند. یعنی حتی اگر کسی بخواهد به اطلاعات فرد دسترسی پیدا کند یا تغییراتی در آن ایجاد کند و دوباره آن را بفرستد دیگر کلید عمومی یا همان شاه کلیدمان متوجه می شود که این اطلاعات توسط نفر سومی مشاهده یا دستکاری شده اند، پس آن را نمی پذیرد.
از امضای دیجیتال می توان بر روی تمام بسترهای الکترونیک تبادل اطلاعات در حوزه های مختلف استفاده کرد. اما در صنعت بانکداری الکترونیک به خاطر ارزش اطلاعات تبادلی، این امضاها بیشتر از هر جای دیگری مورد استفاده هستند.
چگونه امضای دیجیتال دریافت کنیم؟
برای دریافت امضای دیجیتال خیلی به چیز خاصی نیاز نیست. برای قدم اول، تنها چیزی که نیاز است این است که با در دست داشتن اصل کارت ملی، شناسنامه و کد پستی دقیق محل زندگی خود به یکی از دفاتر اسناد رسمی مراجعه کنید و درخواست دریافت امضای الکترونیکی کنید.
امضای دیجیتال به عنوان یکی از امن ترین، بهترین و کارآمدترین روش های دریافت امضا نزد افراد پذیرفته شده است، البته به دلیل توسعه کسب و کارهای آنلاین و گسترش محصولات و خدمات فروشگاه های فیزیکی به طور آنلاین، پیدایش امضای الکترونیک و رواج آن اتفاق عجیبی نیست.
برخی افراد تصور می کنند امضای دیجیتال همان امضای الکترونیکی است؛ اما خوب است بدانید این دو کاملا با هم متفاوت هستند، در واقع کپی اسکن شده از یک امضای دستی را امضای الکترونیکی می نامند در حالی که منظور از امضای دیجیتالی یک الگوریتم رمزنگاری است که به منظور اثبات هویت افراد و میزان اعتبارسنجی پیغام یا یک سند دیجیتالی انجام می شود.
به طور معمول کاربرد و موارد استفاده امضای دیجیتالی برای تبادلات مالی، انتشار برنامه ها، نرم افزارها و دیگر موارد مشابه می باشد. در بسیاری از کشورها، امضای دیجیتال از نظر قانونی لازم و ضروری تلقی می شود و در صورت گم شدن یا سرقت، بایستی نسبت به ابطال آن اقدام کرد، در کشورهای مختلف از امضای دیجیتال برای معاملات و تبادلات پولی و… استفاده می شود که به سرعت بخشیدن در روند فعالیت های تجاری و کاهش هزینه های عملیاتی انجام شده کمک بسیاری می کند.
به نقل از ویکی پدیا، امضای دیجیتال نوعی رمزنگاری نامتقارن است. هنگامی که پیغامی از کانالی ناامن ارسال می شود، یک امضای دیجیتال که به شکل صحیح به انجام رسیده باشد، می تواند برای شخص گیرنده پیام، دلیلی باشد تا ادعای شخص فرستنده را باور کند یا به عبارت بهتر، شخص گیرنده از طریق امضای دیجیتال می تواند این اطمینان را حاصل کند که همان شخص فرستنده، نامه را امضا کرده است و نامه جعلی نیست.
همانطور که گفتیم امضای دیجیتال بر اساس نوعی الگوریتم رمزنگاری انجام می شود تا امکان جعل و تقلب در آن گرفته شود، این نوع امضا دارای الگوریتم های مختلفی است که با محاسبات پیچیده ریاضی ساخته شده، توجه داشته باشید که اگر امضا معتبر باشد، شخص دریافت کننده ی پیغام می تواند پیام ارسالی را بدون جعل و بدون تغییر در زمان انتقال مشاهده کند.
به طور خلاصه، الگوریتم رمزنگاری فرآیندی است که تمام داده هایی را که یک کامپیوتر به کامپیوتر دیگر ارسال می کند و رمزگذاری آن را به شکلی انجام می شود که فقط رایانه ای دیگر قادر به رمزگشایی آن است، در واقع احراز هویت فرآیندی است که تایید می کند اطلاعات از یک منبع معتبر دریافت می شوند، این دو فرآیند برای امضاهای دیجیتالی دست به دست هم داده تا این پروسه را تکمیل کنند، در واقع امضاهای دیجیتالی، کلید احراز هویت پیام هستند.
این در حالی است که در دنیای واقعی، گیرنده ی پیام نیاز به اطمینان این موضوع دارد که پیام به فرستنده تعلق دارد و او نمی تواند منشا آن پیام را رد کند. این نیاز در برنامه های تجاری بسیار مهم است، زیرا احتمال بروز اختلاف در مورد داده های رد و بدل شده بسیار زیاد خواهد بود.
امضای دیجیتال در مقابل امضای دستی
در حقیقت امضای دیجیتال مشابه امضای دستی است با این تفاوت که در فرایندهای تجارت الکترونیک با مفهومی دقیق تر و امنیت بیشتری انجام می شود، البته توجه داشته باشید که بزرگ ترین تفاوت بین این دو امضا در این است که امضاهای دستی ثابت هستند؛ لازم است که شکل آن ها همیشه یکسان باشد و تغییری نکند، اما امضاهای دیجیتالی وابسته به پیام بوده و ممکن است این امضا به ازای هر پیام متفاوت باشد.
ممکن است این سوال به ذهن شما خطور کند که چگونه می توان امضای دیجیتالی داشته باشیم؟ در چه مواقعی می توانیم از این امضا استفاده کنیم؟ در پاسخ به این سوالات بهتر است درک بیشتری از این موضوع داشته باشید؛ پس بهتر است این مورد را با یک مثال ساده شرح دهیم.
تصور کنید شما به همکار خود پیامی ارسال کنید که "لطفا به پیک دو تا از مدارک من که پیش شماست را تحویل بده" و سپس پایین آن را امضا می کنید. حال همکار شما با دریافت پیام شما و دیدن امضای تان، مدارک را به پیک تحویل می دهد. این حالت بین دو همکار بر اساس اعتماد دو فرد و شناخت امضای آن ها صورت گرفته است. این حالت در فضای مجازی نیز ممکن است صورت بگیرد. پس باید برای اطمینان دو فرد روشی برای اعتمادسازی فراهم باشد، این اعتماد از طریق رد و بدل کردن کلید عمومی بین دو نفر انجام می شود.
در واقع دو فرد باید ابتدا کلیدهای عمومی خود را به یکدیگر داده باشند و پیغام ها را از طریق کلید خصوصی خود امضا کنند و برای شخص گیرنده پیام ارسال نمایند. این امضا از طریق کلید عمومی فرد فرستنده بررسی شده و در صورت صحت تایید می شود، در امضای دیجیتال پیغام ارسال شده عینا بدون دستکاری به دست فرد گیرنده می رسد. ولی در امضای سنتی به راحتی می توان متن درخواستی فرستنده را دستکاری و جعل کرد.
مزایای امضای دیجیتال
امضای دیجیتالی از طریق رمزنگاری کلید عمومی به عنوان ابزاری بسیار مهم و مفید در جهت دستیابی به امنیت اطلاعات در نظر گرفته شده است، این نوع امضا علاوه بر توانایی عدم انکار پیام، تایید اعتبار پیام و یکپارچگی داده ها را نیز فراهم می کند، اجازه دهید به بررسی بیشتر مزایای امضای دیجیتال در مقابل امضای دستی بپردازیم.
تصدیق هویت پیام
زمانی که شخص تایید کننده با استفاده از کلید عمومی فرستنده، امضای دیجیتالی را وارسی و تایید می کند، به او این اطمینان را می دهند که امضا تنها توسط فرستنده ای که دارای کلید خصوصی مخفی مربوطه است، ایجاد شده است نه شخص دیگری.
حفظ حریم خصوصی
امضای دیجیتال از این قابلیت برخوردار است که تمامی اطلاعاتی که در پیغام یا تبادلات انجام می شود، در طول مسیر به طور اتفاقی یا عمدی مورد تغییر یا دستکاری قرار نمی گیرند، از این رو، وجود امضای دیجیتال به عنوان راه حل و روشی ایمن و مناسب برای تمامی تبادلات محسوب می شود.
یکپارچگی داده ها
به دلیل استفاده از الگوریتم های هش در رمزنگاری، به محض یک تغییر کوچک در محتوای پیام های ارسالی، خروجی امضا کاملا متفاوت خواهد بود و این موضوع به یکپارچگی داده ها کمک کرده و این تضمین را به طرفین معامله می دهد که هیچ تغییری در اطلاعات صورت نگرفته است.
محرمانگی داده ها
اطلاعات درون پیغام ها و تبادلات به صورت محرمانه انجام می پذیرد؛ داده ها فقط برای اشخاص دریافت کننده و ارسال کننده قابل فهم و خواندن هستند، در نتیجه کاملا محرمانه بوده و هیچ کس دیگری به این اطلاعات دسترسی نخواهد داشت.
عدم انکار امضا
در امضای دیجیتال، تنها شخص امضا کننده از کلید امضا مطلع است، در نتیجه این شخص فقط از این امکان برخوردار است که امضای منحصر به فرد را بر روی پیغام های داده شده ایجاد نماید. در نتیجه گیرنده می تواند در صورت ایجاد اختلاف و مشکلات در آینده، به عنوان شاهد داده ها و امضای دیجیتالی را به شخص ثالث ارائه دهد.
در صورتی که رمزگذاری کلید عمومی به طرح امضای دیجیتال اضافه شود، می توانیم یک سیستم رمزنگاری منحصر به فرد پدید آوریم که از قابلیت های احراز هویت، یکپارچگی، امانت داری و عدم انکار برخوردار باشد، احتمالا با خواندن موارد بالا کمی گیج شده باشید، پس توصیه می کنیم حتما مقاله ی آشنایی با الگوریتم های رمزنگاری را مطالعه کنید تا کاملا با این مفهوم آشنا شوید.
امضای دیجیتال چه کاربردهایی دارد؟
امضای دیجیتالی مبتنی بر روش رمزنگاری از طریق کلیدهای عمومی و خصوصی است. این امضا در کشورهای مختلف کاربرد گسترده ای دارد به طوری که از آن برای فعالیت های مختلف مانند صدور ایمیل، نقل و انتقالات مالی، امضای اسناد تعهدآور و غیره استفاده می کنند.
اگر فرضا بخواهید فعالیت بانکی یا جابجایی پول انجام دهید یا سهامی بفروشید، باید هویت داشته باشید که این هویت سازی از طریق امضای دیجیتال انجام پذیر است. اگر این انتقالات و فعالیت ها از طریق امضای دیجیتال انجام شود دیگر امکان سرقت و هک وجود ندارد و این پیام ها با صحت، ایمن و به دور از هرگونه دستکاری صورت می پذیرد. در دنیای امروزی هکرها قادر هستند اطلاعات و حساب های بانکی کاربران را شناسایی و آن ها را به سرقت ببرند اما به دلیل رمزگذاری، تشخیص هویت افراد و ایمنی امضای دیجیتال این مشکلات به وجود نمی آید. پس این روش راه حل مناسبی برای مقابله با هرگونه خطرات احتمالی هکرها، افراد سودجو و کلاهبردار می باشد.
نتیجه گیری
همانطور که در بالا توضیح داده شد، امضای دیجیتال همان کلید خصوصی می باشد که برای هر فرد تعریف و با استفاده از آن، هر شخص می تواند اطمینان به دست آورد که پس از فرستادن داده ها، اطلاعات به درستی به مقصد رسیده اند. در صورتی که شخصی بخواهد در این داده ها دخل و تصرفی انجام دهد، کلید عمومی از این قابلیت برخوردار است که تشخیص دهد این داده ها توسط شخص سومی رویت شده در نتیجه آن را رد کند.
در بعضی از کشورهای دنیا، استفاده از امضای دیجیتال به امری لازم و ضروری تبدیل شده است؛ حتی در شبکه های الکترونیکی و شرایطی که ایمیل های ارسال شده به صندوق الکترونیکی یک شخص از لحاظ امنیتی مورد تائید نیست، امضای دیجیتالی این امکان را فراهم می کند. امضای دیجیتال به افراد کمک می کند تا با اطمینان کافی از نظر امنیتی و بدون هر گونه استرس، بتوانند تبادلات خود را انجام دهند.
شما یک گام جلوتر از دیگران باشید! اگر به آی تی و تکنولوژی علاقه مندید و دوست دارید سریع تر در این زمینه پیشرفت کنید، همین حالا به جمع ۴۷۱۳ عضو همیار آی تی بپیوندید، دسترسی به تمام آموزش های پریمیوم، دریافت جدیدترین آموزش های کاربردی مرتبط با آی تی و استفاده از مشاوره ی رایگان، برخی از مزایای عضویت در سایت هستند، شما نیز به کاربران همیار پیوسته و همین حالا وارد دنیای حرفه ای ها شوید…
امضای دیجیتالی بر روش های رمزنگاری از طریق کلیدهای عمومی و خصوصی مبتنی است. در حال حاضر در کشورهای متعدد و برای کاربردهای گوناگون از صدور ایمیل گرفته تا نقل و انتقالات مالی و امضای اسناد تعهدآور همانند ابزاری که به اطلاعات روح می دهد مورد استفاده قرار می گیرد و کاربرد آن در شبکه های الکترونیکی به یک ضرورت تبدیل شده و در شرایطی که ایمیل های ارسال شده به صندوق الکترونیکی یک فرد از لحاظ امنیتی قابل تائید نیست، امضای دیجیتالی این امکان را فراهم می کنند تا فرد مورد نظر با اطمینان از لحاظ امنیتی تبادلات خود را انجام دهد.
امضای دیجیتال امنیت چه چیزی را تامین می کند؟
* تصدیق هویت: تصدیق هویت اطمینان از اینکه شخص یا طرفی که با آن در حال ارتباط هستیم همان کسی است که ما انتظار داریم و خودش می گوید.
* محرمانه بودن: اطلاعات درون پیغامها و یا تبادلات محرمانه می شوند و تنها برای اشخاص دریافت کننده و ارسال کننده قابل فهم و خواندن می باشد.
* امانت داری: اطلاعاتی که درون پیغام و یا تبادلات وجود دارد در طول مسیر به طور اتفاقی یا عمدی مورد دستبرد قرار نمی گیرند.
* غیر قابل انکار بودن: ارسال کننده نمیتواند منکر ارسال پیام یا تبادل مالی شود و دریافت کننده هم نمیتواند منکر دریافت آن شود.
روش ایجاد امضای دیجیتال
قبل از آشنائی با نحوه عملکرد یک امضای دیجیتال، لازم است در ابتدا با برخی اصطلاحات مرتبط با این موضوع بیشتر آشنا شویم:
* کلیدها (Keys): از کلیدها به منظور ایجاد امضاهای دیجیتال استفاده می گردد. برای هر امضای دیجیتال، یک کلید عمومی و یک کلید خصوصی وجود دارد. کلید خصوصی، بخشی از کلید است که که شما از آن به منظور امضای یک پیام استفاده می نمائید. کلید خصوصی یک رمز عبور حفاظت شده بوده و نمی بایست آن را در اختیار دیگران قرار داد. کلید عمومی، بخشی از کلید است که امکان استفاده از آن برای سایر افراد وجود دارد. زمانی که کلید فوق برای یک حلقه کلید عمومی (public key ring) و یا یک شخص خاص ارسال می گردد، آنان با استفاده از آن قادر به بررسی امضای شما خواهند بود.
* حلقه کلید (Key Ring): شامل کلید های عمومی است. یک حلقه کلید از کلید های عمومی افرادی که برای شما کلید مربوط به خود را ارسال نموده و یا کلیدهائی که از طریق یک سرویس دهنده کلید عمومی دریافت نموده اید، تشکیل می گردد. یک سرویس دهنده کلید عمومی شامل کلید افرادی است که امکان ارسال کلید عمومی در اختیار آنان گذاشته شده است.
* اثر انگشت: زمانی که یک کلید تائید می گردد در حقیقت منحصربفرد بودن مجموعه ای از حروف و اعداد که اثر انگشت یک کلید را شامل می شوند تائید می گردد.
* گواهینامه های کلید: در زمان انتخاب یک کلید از روی یک حلقه کلید، امکان مشاهده گواهینامه (مجوز) کلید وجود خواهد داشت. دراین رابطه می توان به اطلاعات متفاوتی نظیر صاحب کلید، تاریخ ایجاد و اعتبار کلید دست یافت.
به طور خلاصه برای ایجاد یک امضای دیجیتال، ابتدا امضاء کننده باید از طریق کلید عمومی امضای خود را رمزسازی کرده و سپس آن را ضمیمه پیام داده ای کند و برای مخاطب خویش ارسال نماید. مخاطب که اکنون پیام داده ای را به همراه امضای دیجیتال آن دریافت کرده، باید امضای رمزنگاری شده را که قابل فهم نیست از داده پیام ها جداساخته و از طریق کلید عمومی ارسال کننده، پیام را برای وی ارسال می کند تا خود ارسال کننده با کلید خصوصی اش آن را رمزگشایی کند. چنانچه نتایج یکسانی حاصل شد، یعنی همان چیزی که امضاء کننده به عنوان امضای دیجیتال برای خود تعریف کرده بود هویدا شد، معلوم می شود که اولاً امضای مذکور به نحو صحیحی از سوی امضاءکننده ارسال شده و ثانیاً وی نمی تواند ادعا کند که پیام را امضاء نکرده و یا اینکه پیام تغییر یافته است.
بنابراین، به کارگیری امضای دیجیتال شامل دو فرآیند است: مرحله اول ایجاد امضاء توسط ارسال کننده پیام توسط کلید خصوصی اش است و مرحله بعد نیز شامل فرآیند چک کردن امضای دیجیتال از طریق مراجعه به پیام اصلی و استفاده از کلید عمومی ارسال کننده است.
روش های تولید امضاء دیجیتالی
در طول سالها تحقیق در زمینه امنیت کامپیوتر روشها و متد های مختلفی برای امضاهای دیجیتالی ابداع شده است ولی چیزی در همه ی آنها عمومیت دارد این است که همه ی روش های تولید امضای دیجیتالی به ماهیت پیام وابسته اند. روش های زیر از مهم ترین روش های تولید امضای دیجیتالی است:
* امضاهای دیجیتالی مبتنی بر چکیده پیام: در این روش متن پیام دست نخورده باقی می ماند و تنها یک امضای چند بایتی به آن اضافه می شود.
* امضاهای دیجیتالی کلید متقارن: این امضاها مبتنی بر یک مرکز گواهی امضا هستند.
* امضاهای مبتنی بر روش های رمز نگاری کلید عمومی
* امضاهای مبتنی بر تبدیل های مستقل از سیستم های رمز نگاری
ویژگی های امضاهای دیجیتال
ویژگی های مهم امضاهای دیجیتال عبارتند از:
* در تولید آنها از اطلاعاتی که به طور منحصر بفرد در اختیار امضا کننده است استفاده می شود.
* به طور خودکار و توسط رایانه تولید می شوند.
* امضاء هر پیام وابسته به کلیه بیتهای پیام است و هر گونه دستکاری و تغییر در متن سند موجب مخدوش شدن امضاء پیام می گردد.
* امضاء هر سندی متفاوت با امضاء اسناد دیگر است.
* باید به راحتی قابل بررسی و تایید باشد تا از جعل و انکار احتمالی آن جلوگیری شود.
حملات ممکن علیه امضاهای دیجیتالی
* حمله Key-only : در این حمله، دشمن تنها کلید عمومی امضاء کننده را می داند و بنابراین فقط توانایی بررسی صحت امضاهای پیام هایی را که به وی داده شده اند، دارد.
* حمله Known Signature : دشمن، کلید عمومی امضاء کننده را می داند و جفت های پیام/امضاء که به وسیله صاحب امضاء انتخاب و تولید شده است را دیده است. این حمله در عمل امکان پذیر است و بنابراین هر روش امضایی باید در مقابل آن امن باشد.
* حمله Chosen Message : به دشمن اجازه داده می شود که از امضاء کننده بخواهد که تعدادی از پیام های به انتخاب او را امضاء کند. انتخاب این پیام ها ممکن است به امضاهای از قبل گرفته شده بستگی داشته باشد. این حمله در غالب حالات، ممکن است غیرعملی به نظر برسد، اما با پیروی از قانون احتیاط، روش امضایی که در برابر آن ایمن است، ترجیح داده می شود.
* حمله Man-in-the-middle : در این حمله، شخص از موقعیت استفاده کرده در هنگام مبادله کلید عمومی، کلید عمومی خود را جایگزین کرده و برای گیرنده می فرستد و بدین گونه می تواند به پیام ها دسترسی داشته باشد بدون اینکه فرستنده و گیرنده، مطلع باشند.
امروزه امضاء نشانه هویت یک فرد می باشد. کسی که یک نامه، رسید بانکی یا سندی را امضا می کند در حقیقت نشانه ای از خود باقی می گذارد که نماد هویت اوست. این نماد به گونه ای می باشد که اگرچه همگان می توانند آن را بشناسند، اما کسی توان تولید آن را ندارد و منحصر به یک فرد می باشد. در دنیای الکترونیک و فناوری نیز موضوع تصدیق هویت، یکی از موضوعات مهم امنیتی است. ایده امضای دیجیتالی در جهان فناوری اطلاعات، همانند امضای واقعی، ابزاری مهم برای نیل به هدف تصدیق هویت وامنیت می باشد. روش ها مختلفی برای ایجاد امضاء دیجیتال وجود دارد اما آنچه که مهم است توجه به این نکته می باشد که امضاء دیجیتال موجب امنیت بیشتر در تبادل اطلاعات و از بین بردن محدودیت های رشد تجارت الکترونیک شده است.
در دنیای واقعی وقتی فردی سندی را امضا می کند، پای آن امضا می زند. وقتی چکی را صادر می کند پای آن امضا می زند تا به آن رسمیت ببخشد از سوی دیگر در دعاوی حقوقی نیز قابل پیگیری است، ولی در دنیای دیجیتال هم اسناد زیادی رد و بدل می شود، برای اعتبار بخشیدن به آن باید چه کرد؟ مدت ها است که برای اعتبار بخشیدن به اسناد الکترونیکی نام امضای دیجیتالی را می شنویم.
به گزارش تابناک، امضای دیجیتالی راهی است برای رد و بدل شدن اطلاعات، پیغام ها و اسناد با امنیت کامل. حتی گفته می شود در تجارت الکترونیک امروزی و دولت الکترونیکی بدون امضای دیجیتالی همه چیز از اعتبار ساقط است.
ساخت امضای دیجیتال و اهمیت آن:
در فضای سایبر اگر سهامی فروخته شود، یا فعالیت بانکی انجام شود باید دارای هویت باشد و این هویت با امضای دیجیتالی ممکن می شود. به این طریق می توان اطمینان حاصل کرد که تمام نقل و انتقال های پیام ها و اسناد به درستی و ایمن انجام می شود و جلوی کلاهبرداری ها و سرقت ها گرفته می شود. همانطور که همه می دانند اکنون هکر ها در کمین هستند تا اطلاعات، منابع مالی و دیگر اطلاعات کاربران را به سرقت ببرند، بنابراین امضای دیجیتال از جمله راه هایی است که برای جلوگیری از سرقت اندیشیده شده و ابراز تشخیص هویت افراد است.
تفاوت امضای دیجیتال و الکترونیکی:
شاید از نام امضای دیجیتالی این سوال برا ی کاربران پیش آید که فرد به صورت الکترونیکی مانند همانی که در روش سنتی امضا می کند، است، ولی باید گفت: امضای دیجیتالی امضای اسکن شده از امضای واقعی فرد از روی کاغذ نیست، بلکه امضای دیجیتالی اطلاعاتی است که از فرد گرفته شده و به صورت رمز در سیستم ذخیره می شود بنابراین اگر این بخش از اطلاعات فردی دسنکاری شود، اسناد بدون اعتبار تلقی می شوند.
الگوریتم امضای دیجیتال:
همانطور که گفته شد امضای دیجیتالی رمزنگاری است بنابراین باید رمزنگاری ها به درستی انجام شوند تا جلوی جعل آن گرفته شود از این رو امضای دیجیتالی دارای الگوریتم های متفاوتی است. به طور خلاصه می توان گفت: امضای دیجیتال نرم افزاری است که با محاسبات ریاضی تهیه شده و خود این نرم افزار تولید کننده توابع ریاضی دیگری است که در به رمز در آوردن داده های پیام و اسناد الکترونیکی مورد استفاده قرار می گیرد.
دریافت امضای دیجیتال:.
اما با وجود اهمیت زیادی که امضای دیجیتال در سرعت گرفتن روند دولت الکترونیک و تجارت الکترونیک و تضمین فعالیت ها در حیطه آن دارد، هنوز آن گونه که انتظار می رود گسترش پیدا نکرده است. برای گسترش امضای الکترونیک باید تنها یک متولی و آن هم یک متولی قوی برای آن در نظر گرفت تا افراد بدانند که دقیقاً با چه مرکزی روبرو هستند. همچنین این متولی لازم است تبلیغات مناسبی برای گسترش امضای دیجیتال انجام دهد. در این رستا هنوز برای عموم مردم متولی جهت دریافت امضای دیجیتال وجود ندارد.
چگونه امضای دیجیتال بسازیم؟
گسترش دولت الکترونیک و تجارت الکترونیک در نهایت اجتناب ناپذیر است، چراکه مدت ها است بسیاری از کشور های جهان قدم در این راه گذاشته اند و مزایای آن نیز برای اکثر کشور ها به اثبات رسیده است. کشور ما هم با انبوهی از کاربران اینترنتی قادر است این موضوعات را بیش از حالا گسترش دهد. اما کسانی که می خواهند در عرصه تجارت الکترونیک کار کنند و یا با دولت الکترونیک در تماس باشند، لازم است مطمئن باشند که اطلاعات آن ها افشا و سرقت نمی شود و یا در پیام هایشان دستکاری نمی شود. به این ترتیب امضای دیجیتال در این میان نقشی مهم و حیاتی به عهده می گیرد. بدیهی است پس از مشخص شدن متولی ارائه امضای دیجیتال می توانیم درخواست خود به منظور ساخت امضای دیجیتال را به ایشان بدهیم.
منابع
کاتوزیان، ناصر . اثبات و دلیل اثبات، جلد اول، چاپ اول، نشر میزان، تهران ۱۳۸۰.
گزارش انجمن ملى دفاتر اسناد رسمی، نگاهى به قوانین مربوط به امضاى دیجیتالى و ثبت رسمى اسناد، ترجمه مصطفى السان، ماهنامه کانون سردفتران و دفتریاران، سال ۴۷، دوره دوم، شماره ۵۱، تیر و مرداد ۱۳۸۳.
قانون تجارت الکترونیکی، مصوب ۱۷/۱۰/۱۳۸۲، روزنامه رسمى ۱۱/۱۱/۱۳۸۲ـ سال ۵۹، شماره ۱۷۱۶۷.
قانون ثبت اسناد و املاک، مصوب ۲۶/۱۲/۱۳۱۰ با اصلاحات و الحاقات بعدی، به نقل از مجموعه قوانین و مقررات ثبتی، تدوین جهانگیر منصور، چاپ اول، نشر دیدار، تهران ۱۳۸۲.
قانون دفاتر اسناد رسمى و کانون سردفتران و دفتریاران، مصوب ،۲۵/۴/۱۳۵۴ به نقل از مجموعه قوانین و مقررات ثبتی، تدوین جهانگیر منصور، چاپ اول، نشر دیدار، تهران۱۳۸۲.
28 | Page