SSL | ذهن آزاد

از حساب ایمیل یاهوتون محافظت کنید

مطلبی از ایریکس در ۲۱ دی ۱۳۹۱

مهم‌ترین مزیت و کاربرد پروتکل SSL این هست که ارتباط شما با سرور رو رمزنگاری و غیر قابل شنود می‌کنه. انتقال سرویس ایمیل یاهو به این پروتکل خبر خوبی برای حفظ امنیت کاربران یاهو حساب میشه.

اگه شما جزو طرفداران یاهو هستید و هنوز از ایمیل یاهو استفاده می‌کنید، حتما می‌دونید که صفحه ورود به حساب یاهو توسط پروتکل SSL رمزنگاری می‌شد، اما بعد از ورود به سیستم برمی‌گشت به حالت عادی بدون رمزنگاری http:// که این شیوه از نظر امنیتی خیلی بد بود. مخصوصا اگه از اینترنت‌های عمومی مثل کافی‌نت ها یا شبکه‌های بی‌سیم کافی‌شاپ‌ها، کتابخونه‌ها و غیره استفاده می‌کردید.

خبر خوب این هست که یاهو بالاخره این امکان رو اضافه کرده که بتونید بعد از ورود به حساب کاربری یاهوتون، همچنان از ارتباط امن استفاده کنید. خیلی عجیب هست که یاهو تا حالا این امکان رو نداشت و همچنان عجیب هم هست که چرا الان این رو به عنوان یه گزینه تو تنظیمات اضافه کرده و به طور پیش‌فرض فعال نیست. به هر حال! یاهو هست دیگه!

نحوه فعال کردن SSL در یاهو

۱) به حساب ایمیل یاهو لاگین کنید.
۲) از اون  دکمه چرخ‌دنده گوشه سمت راست بالا روی Mail Options کلیک کنید.
۳) از منوی سمت چپ روی General کلیک کنید.
۴) اون گزینه آخری که Turn on SSL هست رو تیک بزنید و تنظیماتتون رو ذخیره کنید. یک بار هم از حسابتون خارج بشید و دوباره وارد بشید. از این به بعد می‌تونید با خیال راحت‌تری از سرویس ایمیل یاهو استفاده کنید. :)

 

فعال کردن SSL در سرویس ایمیل یاهو

فعال کردن SSL در سرویس ایمیل یاهو

 


مشکل امنیتی گواهی‌های دیجیتال TurkTrust

مطلبی از ایریکس در ۱۶ دی ۱۳۹۱

گواهی‌های دیجیتال که برای احراز هویت و برقراری ارتباط امن بین مرورگر کاربر و سرویس‌دهنده وب کاربرد دارن از شیوه حلقه اعتماد استفاده می‌کنن. این گواهی‌ها توسط موسسه‌های مورد اطمینانی به اسم «مراجع صدور گواهی دیجیتال» یا “Certificate Authority” صادر میشن. این مراجع به دو شکل ریشه (root) و میانی یا واسط (intermediate) هستن. تفاوتون اینه که تعداد مراجع ریشه محدود هست و برای اعتماد به اینها نیازی نیست به یه مرجع دیگه مراجعه کرد. اما برای اعتماد به مراجع واسط باید بررسی بشه که آیا این مرجع واسط توسط یه مرجع ریشه مورد تایید قرار گرفته یا نه.
بذارید براتون این مثال رو بزنم. فرض کنید من برای دامنه freemind.ir می‌خوام یه گواهی دیجیتال بگیرم. من این گواهی رو از مرجع میانی MiyaniCA 1 می‌گیرم. این مرجع میانی هم خودش گواهی دیجیتالش رو از RishehCA 1 گرفته. حالا وقتی کسی تو مرورگرش می‌زنه سایت freemind.ir رو باز کنه، مرورگر اول گواهی سایت freemind.ir رو بررسی می‌کنه و متوجه میشه که توسط مرجع MiyaniCA 1 صادر شده. تو فهرست مراجع ریشه مورد اعتماد داخل مرورگر جستجو می‌کنه و پیداش نمی‌کنه. بعد بررسی می‌کنه می‌بینه توسط RishehCA 1 صادر شده. از اونجایی که این RishehCA 1 رو بین مراجع مورد اطمینانش داره دیگه حلقه رو ادامه نمیده. به MiyaniCA 1 اطمینان می‌کنه و در نتیجه به freemind.ir هم اطمینان می‌کنه و صفحه رو باز می‌کنه. توجه کنید که این فقط یه مثال ساده برای درک این حلقه اعتماد بود و در عمل جزئیات فنی پیچیده‌تری داره.

TurkTrust

حالا مشکل به وجود اومده اینه که مرجع صدور گواهی دیجیتال ریشه TurkTrust اومده برای دو تا موسسه به جای گواهی دیجیتال معمولی، گواهی دیجیتال مرجع میانی صادر کرده. یعنی اینکه این دو موسسه با داشتن یه گواهی با اعتبار مرجع میانی، امکان این رو داشتن که برای سایت‌های دیگه گواهی دیجیتال جعلی صادر کنن،‌ بدون اینکه کاربر و مرورگر متوجه جعلی بودن این گواهی بشن. این اتفاق در آگوست ۲۰۱۱ اتفاق افتاده و متاسفانه چند روز پیش کشف شده. یکی از این دو موسسه از این قضیه سوء استفاده کرده و اومده یه سری گواهی دیجیتال جعلی برای مجموعه دامنه‌های *.google.com صادر کرده. با این کار می‌تونه حملات فیشینگ، MITM و شنود محتوای ارتباطی بین کاربران و این سرویس‌های گوگل انجام بده.

گوگل میگه ما اقدامات لازم رو برای کاربران کروم انجام دادیم، به زودی هم یه به‌روزرسانی برای این مرورگر ارائه خواهیم داشت. موزیلا هم گفته که گواهی‌های TurkTrust رو حذف کرده و روز ۸ ژانویه یه نسخه به‌روزرسانی برای تمام مرورگرهای فایرفاکس عرضه خواهد کرد. پس یادتون باشه که حتما مرورگرهاتون رو به روز کنید تا به مشکل نخورید. :)