در زمینه میزبانی وب همواره 2 سیستم عامل مهم وجود داشته است: ویندوز و یونیکس (لینوکس). مهمترین سوالی که همواره در این زمینه از ما میشود آن است که کدام سیستم برای سایت ما مناسب است؟ ویندوز یا لینوکس؟ پاسخ ما با توجه به هدف شما از داشتن وب سایت و برنامه ای که برای آن سایت در نظر دارید متفاوت است. ما اکثرا به مشتریان خود توصیه میکنیم که برای شروع با لینوکس شروع کنند و اگر در آینده نیاز به گسترش کار و استفاده از قابلیتهای ویندوز بود، سایت خود را به ویندوز منتقل نمایند.
معمولا سرورهای ویندوز قابلیتهای بیشتری دارند و البته از نظر هزینه گرانتر از لینوکس میباشند. اما سرورهای لینوکس معمولا با ثبات تر (Stable) هستند و از نظر سرعت نیز بین دو سیستم تفاوت چندانی وجود ندارد.
از نظر امنیت سرورهای لینوکس امن تر از ویندوز هستند. اما ما در شرکت ارتباط نوین با در نظر گرفتن تمامی مسائل امنیتی بر روی هر دو سیستم امنیت هر دو پلاتفرم را تضمین مینماییم و به شما پیشنهاد میکنیم در هنگام انتخاب سرور بیشتر به امکاناتی که به شما ارائه میشوند توجه کنید تا مسائل امنیتی.
نکته مهم : عده ای تصور میکنند که برای استفاده از سرور لینوکس ، باید بر روی کامپیوتر خود سیستم عامل لینوکس نصب کنند. این فرضیه 100% اشتباه است و کاربران با هر سیستم عاملی میتوانند به سادگی از خدمات سرورهای لینوکس و سایتهایی که بر روی این سیستم عامل قرار دارند استفاده نمایند. در کاربری خدمات این سرورها هیچ مشکلی وجود ندارد و بعضا حتی از کار با ویندوز نیز راحتتر است.
جدول مقایسه قابلیتها و تواناییهای دو سیستم عامل (بدترین=0 ، بهترین=5) :
ویندوز 2003 | لینوکس | |
4 | 5 | قابلیت اطمینان |
4 | 5 | سادگی استفاده |
5 | 5 | قابلیت ارتقاء در صورت نیاز |
5 | 3 | قابلیت کار با محصولات مایکروسافت |
3 | 5 |
نرم افزارهای رایگان یا Open Source |
5 | 5 | سرعت |
5 | 5 | امکانات |
5 | 5 | قیمت |
نرم افزارهایی که توسط این سیستمها پشتیبانی میشوند :
|
تهدیدهای جدیدی که هویت و اطلاعات کاربر را هدف قرار داده اند،رویکردهای جدید امنیتی را طلب می کند.
امروزه، حملات phishing ساده تر و کم خطرتر از تهدیدهای آنلاینی که در حال تجربه شدن هستند، به نظر می رسند. حملات phishing به آسانی شناخته می شوند و می توان به سرعت آنها را از کار انداخت. جرائم سازمان یافته از این حد گذشته و پیچیدگی آنها به طرز چشم گیری افزایش یافته است. امروزه، کاربران با اشکال موذیانه تری از حمله مواجه می شوند و کشف و مقابله علیه آنها بسیار مشکل تر است.
گونه ای جدید از حمله
این گونه جدید حمله بعنوان pharming شناخته می شود. pharming بجای اینکه کاربر را گول بزند تا به یک ایمیل تقلبی پاسخ دهد تا او را به یک وب سایت جعلی هدایت کند، برای فریب دادن کاربر برای تسلیم هویت و اطلاعات حساسش، از روش های زیرکانه تری استفاده می کند. این حملات از اسب های تروا (تروجان) برای نصب برنامه های کلیدخوان و برنامه های هدایت کننده استفاده می کنند تا به یک نفوذگر اجازه دهند کلمات عبور و شماره کارت های اعتباری را بدست آورد، بدون اینکه کاربر مجبور به انجام کاری غیرعادی باشد. در اینجا دو مثال از نحوه این حمله آورده شده است:
۱- کاربر یک ایمیل ظاهراً صحیح را باز می کند که او را تشویق می کند تا فایل الحاقی به ایمیل را باز کند. این فایل الحاقی بصورت مخفیانه یک «کلیدخوان» (برنامه ای است که کلیدهایی را که توسط کاربر زده می شود، ثبت می کند) نصب می کند. هنگامی که کاربر به بانک آنلاین خود سر می زند، کلیدخوان این را تشخیص می دهد و ورودی های صفحه کلید کاربر را هنگامی که وی اسم و کلمه عبور را تایپ می کند، ثبت می کند. سپس این اطلاعات برای نفوذگر ارسال می شود تا برای دسترسی به حساب کاربر استفاده شود.
۲- یک کاربر ممکن است با دانلود کردن یک فایل یا مشاهده یک وب سایت که حاوی ActiveX control است، سهواً یک «هدایت کننده» (redirector) را روی سیستم خود نصب کند. این کار باعث می شود که فایل های موجود در سیستم دچار تغییراتی شود و هنگامی که کاربر به بانک آنلاین خود سر می زند، به وب سایت نفوذگر هدایت شود. این عمل می تواند با مسموم کردن سرور DNS انجام گیرد که برای آدرس بانک آنلاین کاربر، IP وب سایت نفوذگر را می فرستد. حملات پیچیده تر می توانند ارتباط را با بانک کاربر برقرار کنند و هنگامی که پروسه در حال انجام است، ترافیک عبوری بین کاربر و بانک (شامل کلمات عبور و اطلاعات شخصی) را مشاهده کنند. در اصل نفوذگر خود را بین کاربران و بانک قرار می دهد.
چه می توان کرد؟
از نظر تاریخی، رویکرد امنیتی که برای این نوع از حملات بکار گرفته شده است، مشابه مفهوم گارد مرزی (Boarder Guard) بوده است. ورود موارد زیان رسان را به کامپیوتر متوقف کنید و جلوی کاربر را از رفتن به مکان های بد بگیرید. ابزارهایی مانند آنتی ویروس، ضدجاسوس، فایروال ها و تشخیص دهندگان نفوذ، همگی چنین رویکردی دارند. به هرحال، همچنانکه حملات به رشد خود ادامه می دهند و پیچیده تر می شوند، نمی توان از احتمال نصب شدن موفقیت آمیز یک کلیدخوان یا هدایت کننده علیرغم این گاردهای مرزی، غافل ماند.
برای سروکار داشتن با این احتمال، رویکرد متفاوت دیگری مورد نیاز است. علاوه بر ابزارهایی که ذکر آنها رفت، نیاز است که هویت و اطلاعات کاربران توسط محافظ شخصی (body guard) مراقبت شود. یعنی، نیاز است که هویت و اطلاعات شخص بدون در نظر گرفتن نوع حمله و جایی که اطلاعات کاربر به آنجا می رود، همواره امن باقی بماند. این نوع امنیت قابلیت های محافظ شخصی را برای هویت کاربر ایجاد می کند و اهمیتی ندارد که اطلاعات کاربر به کجا فرستاده می شود و کلیدخوان نصب شده است و یا اینکه نفوذگر می تواند ترافیک اینترنت را نظارت کند.
دو قابلیت امنیتی وجود دارد که می تواند توانایی این محافظ شخصی را پیاده کند. اولی تصدیق هویت قوی (strong authentication) است. امروزه، کاربران عموماً برای محافظت از هویتشان به یک کلمه عبور اطمینان می کنند، اما احتمال زیادی وجود دارد که کلمه عبور توسط کسی که نظاره گر login است، دزدیده شود. داشتن یک عامل اضافی برای تصدیق هویت، یعنی چیزی که کاربر باید بصورت فیزیکی داشته باشد علاوه بر آنچه که می داند، می تواند یک هویت آنلاین را در برابر حمله محافظت کند. این کار قابل مقایسه با چگونگی تأیید هویت کاربران در ماشین های خودپرداز بانک است. کاربران هم کارت بانکی دارند و هم PIN را می دانند. با تصدیق هویت قوی، اگر کلیدخوان هم نصب شده باشد، می تواند تنها کلمه عبور را بگیرد و نه عامل فیزیکی استفاده شده در پروسه تصدیق هویت را. کلمه عبور به تنهایی و بدون فاکتور فیزیکی نمی تواند توسط نفوذگر برای دسترسی به حساب کاربر مورد استفاده قرار گیرد.
توانایی مهم دوم رمزنگاری مداوم است. امروزه، SSL (Secure Socket Layer) از اطلاعات ارسال شده توسط کاربران بگونه ای محافظت می کند که انگار تنها به سرور هدف ارسال می شوند. برای مثال، اگر یک کاربر کلمه عبور خود را وارد کند، به راحتی تا زمان رسیدن به و ب سرور در طرف دیگر، قابل مشاهده است. در مورد یک حمله هدایت کننده، ارتباط امن در سایت نفوذگر پایان می پذیرد و قبل از اینکه به سازمان آنلاین قانونی ارسال شود، دیتای کاربر در معرض افشاء قرار می گیرد. رمزنگاری مستمر می تواند از دیتا ،بدون در نظر گرفتن امنیت ارتباط، محافظت کند. ورودی های کاربر قبل از ترک کامپیوتر کاربر رمز می شوند و می توانند تنها توسط سازمان قانونی که به سرورهای طرف دیگر دسترسی دارد، رمزگشایی شوند. حتی اگر دیتا به این سرور نرسد، رمزشده باقی خواهد ماند و برای یک نفوذگر قابل استفاده نیست.
این دو قابلیت به همراه هم، می توانند نقش محافظ شخصی را برای محافظت از هویت و اطلاعات کاربر در دنیای خصمانه! اینترنت ایفاء کنند.
بررسی دنیای واقعی
چند انتخاب وجود دارند که می توانند امنیت محافظ شخصی را فراهم کنند اما باید با استفاده از نیازهای دنیای واقعی اینترنت ارزیابی شوند. چنانچه کاربر با یک تکنولوژی احساس راحتی نکند، آن را نخواهد پذیرفت. اگر تکنولوژی خیلی گران باشد، نه برای کاربر انتهایی قابل تهیه خواهد بود و نه برای سازمان مربوطه.
چندین عامل وجود دارد که باید به هنگام تشویق کاربران به پذیرش تکنولوژی مورد نظر مورد توجه قرار گیرند:
· نرم افزار کلاینت ـ هر نیازی به دانلود و نصب نرم افزار به عنوان یک مانع است...
· واسط نرم افزار ـ خطرات و پیچیدگی که کاربر برای پیاده سازی تجربه می کند...
· راحتی استفاده ـ مخصوصاً برای تصدیق هویت دو عامله! ، راحتی استفاده شامل قابلیت حمل، دوام است. سهولت کار با واسط کاربر نیز مورد توجه جدی است.
مشخصاً زمانی که از این نوع فناوری با مقیاس بالا بکارگرفته شود، هزینه این رویکرد می تواند در امکانپذیری آن موثر باشد. اگر هزینه کل سیستم خیلی بالا باشد، سازمان ها برای برقراری این امنیت اضافی برای یک مورد تجاری مورد قبول، نیاز به مطالبات مالی از کاربران دارند. در این موارد کاربران به راحتی راضی به پرداخت های اضافی برای برقراری این امنیت بیشتر نمی شوند.
به این منظور تکنولوژی های محافظ شخصی باید سطح بالایی از امنیت را در حالی که هزینه کمی در بردارند و برای استفاده آسان هستند، فراهم کنند.
در اکثر قریب به اتفاق الگوریتمهای رمز مدرن (متقارن و نامتقارن) بر خلاف سیستمهای رمز ساده (جانشینی و جایگشتی) از اعمال ریاضی فراتر از 4 عمل اصلی استفاده شده است. نقطه قوت و امنیت عملی این الگوریتمها دقیقاً ناشی از همین پیچیدگی محاسبات ریاضی لازم برای تحلیل کردن (شکستن) آنهاست. اساسی ترین عمل ریاضی در رمز های مدرن ، محاسبات پیمانه ای یا همنهشتی است. در اینجا هدف پرداختن به جزئیات عملیات همنهشتی (4 عمل اصلی در یک مبنای دلخواه مثل n) نیست، فقط مایلم به نقش کلیدی و استثنایی اعداد اول در اینگونه محاسبات اشاره کنم. علم رمز مدرن بدون شک مدیون خواص بی مانند و جادویی اعداد اول است. در بسیاری از الگوریتمهای رمز مدرن از دیفی هلمن گرفته تا RSA ، Elgamal و ... از اعداد اول (و یا حاصلضرب چند عدد اول) به عنوان پیمانه محاسبات تولید کلید، رمز کردن و ترجمه رمز استفاده میشود. همین خواص است که در کنار پیچیدگی مسایلی مثل لگاریتم گسسته، فاکتورگیری و ... امکان شکستن رمز را از تحلیل گر (که کلید را در اختیار ندارد) سلب میکند. تولید اعداد اول بزرگ، بسیار مشکل است و در حالت کلی الگوریتمی برای آن وجود ندارد، اما از آن پیچیده تر، مساله فاکتورگیری است، یعنی تجزیه یک عدد بسیار بزرگ به حاصلضرب فاکتورهای اول. برای مثال، متن زیر تحت الگوریتم RSA با کلید عمومی e = 5 و عامل N (که حاصلضرب دو عدد اول مخفی است) رمز شده:
2436895187740522149300895060339985
9633578287983910705162536071404480
55114932771201027350325,32391566613
3187777174633743307665741495158513
5873876216674428451506590312184584
1724822236676
N = 51920810450204744019132202403246112
884629925425640897326550851544998255968235697331455544257
کلید عمومی e و عامل N علنی و در اختیار تحلیل گر قرار دارد. با توجه به اینکه تحلیل گر کلید خصوصی را در اختیار ندارد، برای شکستن متن رمز شده باید N را فاکتورگیری کند، که این کار برای قدرتمندترین کامپیوترهای موجود هم در زمان مناسب عملاً غیر ممکن است. به همین خاطر است که RSA و بسیاری دیگر از الگوریتمها در برابر تحلیل مقاومند
شرح کار :
کار بسیار ساده است اول میروید به Ntsecurity.nu و دو ابزار kerbcrack و kerbsniff را دریافت می نمایید . ابزار kerbsniff شبکه را تحت نظر می گیرد و به دنبال اطلاعات تعیین هویت حوزه Kerberos و ، ویندوز میگردد و نتایج را در فایلی که شما برایش مشخص میکنید ذخیره میکند !! بعد با استفاده از ابزار ورود به زور و با استفاده از یک فرهنگ لغت ابزار kerbcrack را راه اندازی میکنیم تا به هدف خود که همان کلمات عبور باشد دست پیدا کنیم .
+ مراحل استفاده از ابزار kerbsniff به شرح زیر است :
D:> KerbSniff.exe zxo003.txt
KerbSniff 1.3d3 - (c) 2002-2005, Arne Vidstrom
- http://ntsecurity.nu/toolbox/kerbcrack/
Available network adapters:
0- 192.168.234.34
1- 192.168.234.33
2- 192.168.208.1
4- 192.168.223.1
Select the network adapter to sniff on: 1
++ مراحل استفاده از ابزار kerbcrack به شرح زیر است :
D:> Kerbcrack.exe zxo003.txt –d dicitionary.txt
KerbCrack 1.3d3 - (c) 2002-2005, Arne Vidstrom
- http://ntsecurity.nu/toolbox/kerbcrack/
Loaded capture file.
Currently working on :
Account name -administrator
From domain -VEGAS2
Trying password -admin
Trying password -guest
Trying password -root
شبکه های بیسیم دارای نیازمندیها و مشکلات امنیتی ویژه ای هستند. این مشکلات ناشی از ماهیت و خواص شبکه های بیسیم است که در بررسی هر راه حل امنیتی باید به آنها توجه نمود:
الف: فقدان زیرساخت (Infrastructureless) : در شبکه های بیسیم ساختارهای متمرکز و مجتمع مثل سرورها، روترها و ... لزوماً موجود نیستند (مثلاً در شبکه های Ad hoc)، به همین خاطر راه حلهای امنیتی آنها هم معمولاً غیر متمرکز، توزیع شده و مبتنی بر همکاری همه نودهای شبکه است.
ب: استفاده از لینک بیسیم: در شبکه بیسیم، خطوط دفاعی معمول در شبکه های wired (مثلاً فایروال به عنوان خط مقدم دفاع) وجود ندارد. نفوذگر از تمام جهت ها و بدون نیاز به دسترسی فیزیکی به لینک، میتواند هر نودی را هدف قرار دهد.
ج: Multi hop بودن: در اغلب پروتکلهای مسیریابی بیسیم، خود نودها نقش روتر را ایفا میکنند (به خصوص در شبکه های Ad hoc)، و بسته ها دارای چند hop مختلف هستند. طبیعتاً به هر نودی نمیتوان اعتماد داشت آن هم برای وظیفه ای همچون مسیریابی!
د: خودمختاری نودها در تغییر مکان: نودهای سیار در شبکه بیسیم به دلیل تغییر محل به خصوص در شبکه های بزرگ به سختی قابل ردیابی هستند.
از دیگر ویژگیهای طبیعی شبکه بیسیم که منبع مشکلات امنیتی آن است میتوان به فقدان توپولوژی ثابت و محدودیتهای منابعی مثل Power ، CPU و حافظه اشاره کرد.
در سال جاری شاهد نسخه های Beta ، از انواع مختلف محصولات Microsoft بودیم محصولاتی همانند : office 2007 ، Internet Explorer 7 و هم چنین Windows Vista و ...
اما در بین این محصولات که به تازگی انتشار یافته اند ، محصولی به چشم می خورد که به آن کمتر توجه شده است !!! باوجود آنکه آن هسته بسیاری از محصولات Microsoft را تشکیل می دهد : Internet Information Services 7.
زمانی که IIS 6 همراه با Windows Server 2003 انتشار یافت ، اشاره به آن داشت که Microsoft به امنیت بیشتری در سرورهای خود دست پیدا کرده است . زیرا نسخه های پیشین IIS 6 هدف اصلی بسیاری از حمله ها و کرمها و ویروسهایی مانند Nimda بودند . با IIS 6 ، Microsoft وب سرورش را به امنیت بیشتری نسبت به نسخه های پیشین رساند .
با این بهبودهای امنیتی که Microsoft در وب سرورهای خود به وجود آورد دیگر بعید به نظر می رسدد که دیگر آن مشکلات امنیتی را که در گذشته موجود بود در گر بار وجود داشته باشد.
IIS 7 دارای امنیت بسیار بیشتری نسبت به نسخه های پیشین در نصب پیش فرض خود است و هم چنین از کیفیت بسیار بهتری در security management است .
اما به مراتب بیشترین تغییرات در configuration و management ایجاد شده است .
از بسیاری جهات ، این نسخه از IIS می تواند تهیدی برای رقیب دیرینه IIS و یکه تاز وب سرورها یعنی Apache باشد .ظاهر IIS جدید از قبیل : طراحی کامل پیمانه ای انجام شده ( modular design ) و افزایش اعتماد پذیری بر تنظیمات پایه ای انجام شده روی فایل ها می باشد .
گرچه بصورت پیش فرض ، Beta 1 این وب سرور با نصب از پیش تعیین شده Vista نصب نخواهد شد ولی آن را به راحتی می توانید به عنوان برنامه های اختیاری آن را دوباره نصب کنید .
در طول نصب ، ما قادریم که انتخاب های خود را که می خواهیم همرا با IIS 7 نصب شود ، از بین تعداد زیادی از اختیارات تعیین شده انتخاب کنیم .طراحی جدید به کار رفته در این نسخه این امکان را برای وب سرور فراهم می کند که تنها به برنامه هایی که نیاز جدی دارد دسترسی پیدا کند ، که این امر خود باعث افزایش ضریب امنیت می شود زیرا خود به تنهایی می تواند بسیاری مشکلات امنیتی بلاقوه را در برنامه ها نشان ندهد .
دیگر تغییر آشکاری که در این نسخه از IIS انجام شده است در web.config file است ، یک فایل XML-based که تمامی هسته پیکر بندی را برای وب سرور فراهم می کند و به سادگی می تواند به دیگر سرورها منتقل شود . این فایل در7 IIS برای پیکر بندی ASP.NET بکار رفته شده است . IIS 7 همچنین بطور کامل واسط administration خود را در مدیریت کنسول دچار دگرگونی کرده است . هم چنین Remote administration از طریق ارتباط استاندارد HTTP بهبود یافته است ، که این امکان مدیریت remote را بسیار آسان تر می کند . البته این مدیریت Remote بطور بیش فرض فعال نیست ، زیرا بسیاری از شرکت ها آن را یک مشکل امنیتی بالقوه می دانند .