הסבר על HTTPS
צ'ק פוינט

בלי כתוביותעם כתוביות

מילון מושגים:

HTTPS - הגרסה המאובטחת של HTTP, שמצפינה את התקשורת בין הדפדפן לשרת בעזרת TLS ומאמתת את זהות האתר.

תעודה דיגיטלית - מסמך מוצפן שמאשר את זהותו של אתר או שרת וקושר אותו למפתח ציבורי, ומונפק על ידי רשות אישורים.

HTTP - פרוטוקול להעברת דפי אינטרנט ונתונים בין דפדפן לשרת. הגרסה המאובטחת שלו היא HTTPS.

הצפנה סימטרית - שיטת הצפנה שבה אותו מפתח משמש גם להצפנה וגם לפענוח, ולכן יש לשמור אותו בסוד משני הצדדים.

פענוח - המרת מידע מוצפן חזרה לצורתו הקריאה בעזרת המפתח המתאים.

הצפנה אסימטרית - שיטת הצפנה שמשתמשת בזוג מפתחות: מפתח ציבורי להצפנה ומפתח פרטי לפענוח (או להפך לחתימה).

אלגוריתם - רצף מוגדר של צעדים לפתרון בעיה או לביצוע משימה, שאפשר לממש בקוד.

וירוס - תוכנה זדונית שמשכפלת את עצמה ומתפשטת ממחשב למחשב, ועלולה לפגוע בקבצים או בפעולת המערכת.

הסבר על HTTPS צ'ק פוינט

כדי ש-Firewall יוכל לבדוק תעבורת HTTPS צריך קודם להבין איך היא מוצפנת ומה תפקיד התעודה הדיגיטלית. ההרצאה מסבירה את זה כבסיס למעבר ל-HTTPS inspection ב-Check Point.

איך זה עובד

1. הצפנה: HTTPS הוא אותו פרוטוקול כמו HTTP, עם S עבור Secure, כלומר תעבורה מוצפנת. הצפנה סימטרית משתמשת באותו מפתח להצפנה ולפענוח, וההצפנה האסימטרית משתמשת במפתח אחד להצפנה ובמפתח אחר לפענוח. ב-HTTPS משתמשים בהצפנה אסימטרית.

2. Certificate: התעודה הדיגיטלית מספקת זוג מפתחות. עם המפתח הציבורי מצפינים, ועם הפרטי מפענחים. את הציבורי כל אחד יכול לקבל, ואת הפרטי שומרים כקובץ מוגן סיסמה שאפשר להעביר בין מכשירים. בלי תעודה אי אפשר להצפין ב-HTTPS.

3. Trusted Root Certificate: תעודה מזמינים משרת תעודות מורשה, כמו GeoTrust, VeriSign או GoDaddy. לכל שם DNS יש תעודה אחת, והדמיון המוצג הוא דרכון שמנפיקה מדינה. דרכון מזויף לא מוכר באף מקום.

4. למה זה חשוב: שילוב של שם DNS וחותמת מוודא שאנחנו מול אתר הבנק ולא מול מתחזה שיגנוב שם משתמש וסיסמה. אפשר להתקין אותה על כמה שרתים שעונים לאותו שם, ולכן חשוב לשמור עליה. תעודת כוכבית מכסה כל שם בדומיין ובדרך כלל עולה יותר.

5. רשימת ה-Trusted: מערכת ההפעלה מגיעה עם רשימת שרתי התעודות המוכרים והיא מתעדכנת. בדוגמה של practicu.com רואים שהתעודה הונפקה על ידי R3 של Let's Encrypt, שהוסמך על ידי ISRG Root X1, ושני נמצא ברשימה. לתעודה יש תאריך תוקף, כדי שלא יהיה מספיק זמן לפצח את האלגוריתם.

6. CRL: ה-Certificate Revocation List היא רשימת תעודות שנפרצו ואסור לסמוך עליהן. אם הדפדפן מקבל תעודה לא מורשית, הוא חוסם עם הודעת אזהרה.

7. CA פרטי ו-Self-signed: ארגון יכול להסמיך שרת תעודות משלו ולהכניס אותו לרשימת ה-Trusted. השם בתעודה צריך להיות שם DNS, גם אם הוא פנימי, למשל srv.yaniv.lab.local. אפשר גם להנפיק תעודה Self-signed לשימוש פנימי קטן.

8. זיהוי משתמשים: אפשר להשתמש בתעודה במקום סיסמה, למשל עם קורא כרטיסים או טביעת אצבע.

למה זה קשור ל-Firewall

כל זה נחוץ כי בלי פענוח התעבורה ה-Firewall לא יכול לבדוק וירוסים, קוד זדוני או לגיטימיות של האתר.

אחרי ההרצאה אפשר להסביר איך תעודה דיגיטלית מצפינה את התעבורה, מאמתת את האתר ולמה ה-Firewall צריך לפענח אותה.

השיעור הבא בקורס: HTTPS inspection הגדרות בסיסיות

פרקי ההרצאה: הסבר על HTTPS צ'ק פוינט

תמלול ההרצאה: הסבר על HTTPS צ'ק פוינט

הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על HTTPS צ'ק פוינט» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
HTTPS אותו פרוטוקול כמו HTTP רק עם S עבור Secure הסקיור על שום הצפנת התעבורה יש שתי שיטות הצפנה פופולריות הצפנה סימטרית משתמשת באותו מפתח הצפנה גם עבור ההצפנה וגם עבור הפענוח יש שיטת הצפנה אסימטרית משתמשת במפתחות שונים מפתח עבור ההצפנה ומפתח עבור הפענוח בפרוטוקול HTTPS ההצפנה מתבצעת באמצעות הצפנה אסימטרית.
00:38
את מפתחות ההצפנה מספקת תעודה דיגיטלית שנקראת סרטיפיקייט. הסרטיפיקייט מורכב מזוג מפתחות הצפנה מפתח פרטי ומפתח ציבורי.
00:50
עם המפתח הציבורי מצפינים ועם המפתח הפרטי מפענחים. רק מי שיש לו את המפתח הפרטי שתואם לציבורי איתו הצפינו יכול לפענח את התעבורה. את המפתח הציבורי כל אחד יכול לקבל בכדי להצפין איתו.
01:08
את המפתח הפרטי אנו שומרים לעצמנו בכדי לפענח. את המפתח הפרטי אנו שומרים כקובץ מוגן סיסמה שניתן להעביר בין מחשבים, בין התקנים. ללא תעודה דיגיטלית לא ניתן להצפין את התעבורה ב-HTTPs.
01:25
התעודה הדיגיטלית ניתן להזמין משרת תעודות דיגיטליות מורשה שנקרא Trusted Root Certificate. דוגמאות לשרתי תעודות דיגיטליות GeoTrust, VeriSign, GoDaddy ויש עוד הרבה שרתים שהם מורשים.
01:43
התפקיד של השרתים המורשים לדאוג לכך שלכל שרת הכוונה לכל שם DNSי. אנחנו פונים לשרת באמצעות השם ה-DNSי שלו. לכל שם DNS תהיה תעודה דיגיטלית אחת בלבד.
01:57
אם יש יותר מתעודה אחת, זה אומר שהיא מזויפת. זה כמו שלכל אזרח או אזרחית יש רק דרכון אחד, ומי שהנפיק את הדרכון זו המדינה.
02:08
אני יכול לזייף את הדרכון ולהמציא דרכון משלי, אבל הוא לא מוכר בשום מקום. אף אחד לא יקבל את הדרכון הזה כי הוא לא trusted.
02:19
אין מדינה לגיטימית שהנפיקה אותו. אותו דבר בשרתי תעודות, השרתי תעודות הם למעשה האוטוריטי שמנפיק תעודות לשרתים לשמות DNS. זאת אומרת שילוב של שם DNS עם חותמת זה סוג של עימות כשאנחנו באמת עובדים מול האתר שאנחנו רוצים לעבוד ולא איזשהו אתר שמתחכה אחרי אתר מסוים.
02:48
לדוגמה אם אנחנו פונים לאתר של הבנק אנחנו אנחנו רוצים להיות בטוחים שאנחנו שמים את השם המשתמש והסיסמה שלנו באתר של הבנק ולא באתר של מתחזה. אם נשים באתר של המתחזה מי שמנהל את האתר ייקח את האיזור והסיסמה שהקלדנו וילך לאתר האמיתי וימשוך משם את הכספים.
03:07
אז הבנו שזה שם DNS בשילוב עם תעודה דיגיטלית? את התעודה הדיגיטלית ניתן להתקין על מספר שרתים בו זמנית.
03:16
העיקר שהם עונים לאותו שם DNS. לדוגמה לכל שרתי פרקטיקיו יש את אותה תעודה דיגיטלית שעונה לשם www.practicue.com לכן חשוב לשמור את התעודה שלא תגיע לידיים לא מאושרות.
03:30
אם מישהו גונב לנו את התעודה הוא יכול להרים איזה שרת שהוא רוצה ולהתחזות לפרקטיקיו. יש גם תעודות כוכבית שהן לא מוצמדות לשם ספציפי אלא לכל שם בדומיין. לדוגמה מייל פרקטיקיו או קסטומר פרקטיקיו.
03:48
העיקר שזה פרקטיקיו והחותמת מתאימה. זאת תעודה שבדרך כלל עולה יותר. מי שהופך את השרתים למורשים, את השרתי חותמת, שרתי Trusted Root Certificate, זו מערכת ההפעלה.
04:04
בזמן ההתקנה של מערכת ההפעלה היא שותלת את כל השרתים שידועים כמורשים או מוסמכים ולכן רשימה זאת מתעדכנת מעת לעת. אנחנו יכולים לראות את הרשימה שבאה עם הווינדוז.
04:20
אם נלך פה לטראסט אד רות סרטיפיקט כל אלה מורשים להנפיק חותמות וגם שרת שמורשה לדוגמה על ידי אד טראסט גם הוא יהיה מורשה כי מי שהסמיך אותו זה אד טראסט ואד טראסט הוא מורשה אם ניקח לדוגמה את השרת של פרקטיקיו אנחנו רואים שהחותמת תהיה לשם הדי.אן.אס פרקטיקיו דוט קום.