Cipher suite. RSA-AES karmaşası.

[mir_as82]

Cipher suite kavramında, alıcı ve gönderici arasında bir transfer setinde anlaşıyor.

Örneğin
RSA - AES - SHA1

Burada,
AES gönderilecek mesajı simetrik key ile şifreliyor,

SHA1 ise mesajın hashleme algoritmasını tanımlıyor.

Burada RSA ne iş yapıyor çözemedim.
AES in kullanacağı key i mi üretir??
Sanki AES ile aynı şeyi aynı görevi yapan bir kavram gibi. Bunu açıklayabilecek arkadaş var mı?

[brandice5]

RSA, AES simetrik key'i karşı tarafa güvenli bir şekilde göndermek için.

[mir_as82]

RSA deki, public ve private key kavramlarını, bu simetrik keyi karşıya iletmek için parametre olarak mı kullanıyor RSA?
Yani RSA daki public ve private key kavramının simetrik key ile olan ilişkisi nasıl ?
Örnek verebilir misiniz?

[brandice5]

Simetrik şifrelemede veriyi şifrelerken ve şifrelenmiş veriyi çözerken tek anahtar kullanılır. Simetrik şifrelemede şifreleme yaparken kullandığınız anahtarın aynısını karşı tarafa da göndermeniz gerekir ki, karşı tarafta sizden gelen şifreli veriyi çözebilsin. Burada şöyle bir güvenlik açığı ortaya çıkıyor, siz şifrelerken kullandığınız anahtarı karşı tarafa gönderirken, araya bir hırsız girip anahtarı çalarsa artık hırsızda sizin gibi istediği her veriyi şifreleyip karşıya gönderebilir ve karşı taraf gelen verinin hırsızdan mı yoksa sizden mi geldiğini anlayamaz.

Bu durumu çözmek için kafası çalışan insanlar oturmuş düşünmüşler ve asimetrik şifrelemeyi ortaya koymuşlar. Asimetrik şifrelemede temel olarak veriyi şifrelemek için ve şifrelenmiş veriyi çözmek için iki farklı anahtar kullanılır. Ancak bu anahtarlar rastgele olmayıp matematiksel olarak birbirine bağlıdır (bknz: asal sayılar).

Bu anahtarlardan birine özel (private) diğerine açık (public) anahtar ismi verilmiştir. Özel anahtarın şifrelediği veriyi sadece açık anahtar çözebilir. Bunun tam tersi durumu da geçerlidir.

Şimdi yukarıdaki örneği asimetrik şifreleme için uyarlarsak, önce bir public-private anahtar çifti üretmemiz gerekir. Bu anahtarlardan private olanını sadece siz bilirsiniz ve asla dışarıya vermezsiniz. Public olan ise adı üstünde isterseniz afiş yaptırıp şehrin her tarafında billboard lara asabilirsiniz.

Private anahtarın şifrelediği veriyi sadece public anahtar çözebildiği için ve siz private anahtarı hiçbir zaman dışarıya açmadığınız için alıcı taraf gelen şifrelenmiş verinin herhangi birisinden değil kesin olarak sizden geldiğine emin olur.

Şimdi bu yöntem madem simetrik şifrelemeden daha güvenli, neden herşeyi asimetrik şifrelemeyle şifrelemiyorum? diyebilirsiniz. Bu sorunun cevabı "hız" dır. Asimetrik şifreleme yöntemi simetrik şifrelemeye göre çok çok yavaş çalıştığı için genelde verinin tamamı için asimetrik şifreleme kullanılmaz. Onun yerine sadece simetrik anahtar asimetrik şifreleme ile şifrelenip karşıya gönderilir, veri bloğunun kendisi ise simetrik şifreleme ile şifrelenir.

Asimetrik şifreleme bilişim dünyasındaki en büyük buluşlardan birisidir. Şu an kullandığınız online bankacılıktan tutun bütün https değidiğimz (SSL) haberleşme, cebinizdeki kredi kartı hepsi asimetrik şifreleme üzerine kuruludur. Hatta bitcoin gibi krtipto paralar da asimetrik şifreleme üzerine kurulmuştur (bitcoin RSA yani asal sayılar yerine elliptic curve kullanır). Bitcoin cüzdan adresiniz aslında sizin public anahtarınızın daha okunabilir şekilde kodlanmasından başka birşey değildir. Yani sizin public anahtarınızı bilen (cüzdan adresi) herkes size bitcoin gönderebilir ama sizin cüzdanınızdan bitcoin transferi gerçekleştirmek için private anahtar gereklidir.

Günümüzde asimetrik şifrelemenin koruduğu varlıkların toplamı trilyon dolar seviyesindedir. Private anahtarlar o kadar iyi korunur ki, banka gibi güvenliğin üst seviye olduğu yerlerde private anahtarı, anahtarı üreten bile göremez. Bu iş için üretilmiş HSM (hardware security module) denen cihazlar vardır. Bu cihazlar size private anahtarı vermez. Siz şifrelenecek veriyi HSM e gönderirsiniz, HSM kendi içinde sakladığı private anahtar ile veriyi şifreleyip tekrar size gönderir. Ben bu cihazı çalsam evde içini açıp bir şekilde chip lerin üzerinden private anahtarı okurum diyenler için cihazın içinde hareket sensörü vardır. Cihaz yerinden oynadığı anda içindeki tüm anahtarları siler.

RSA'in dayandığı matematiksel mantık asal çarpanlara ayırmadır. Şimdi ben 33 ü asal çarpanlara ayırın desem hiç kalem kağıt oynatmadan kafadan 3x11 diyebilirsiniz. Ama örneğin şöyle bir sayıyı asal çarpanlara ayırın dediğim zaman

7845879346598438564385630450348765083465034608563408652237923847623654924325497259420842542340829858453846598

bunun şu an bilinen pratik bir yolu yoktur. Eğer olurda bu sayıyı hızlı bir şekilde asal çarpanlara ayırabilen bir yöntem bulursanız, isminizi bilişim tarihine altın harflerle yazdırabilirsiniz. Kötü niyetli iseniz online bankacılıkta kullanılan şifreleri elde edebilirsiniz. Gerçeğiyle aynı elektronik imza üretebilirsiniz. SSL (https) ile korunan herhangi bir sitenin trafiğini takip edebilirsiniz. Kısacası bugün dünyada kullanılan online işlemlerin neredeyse tamamını çökertebilirsiniz. İnsanlar için interneti sadece gazete okumak ve video izlemek için kullanır hale getirebilirsiniz.

[ibocakir]

RSA'in ne olduğunu şu videoyu 2-3 kere izleyince öğrenmiştim.

https://www.youtube.com/watch?v=wXB-V_Keiu8