குறியாக்கம் என்றால் என்ன? விசைகள், ஹாஷ்கள், checksum-கள்

குறியாக்கம் (encryption) படிக்கக்கூடிய தகவலை மறையுரையாக (ciphertext) மாற்றுகிறது; சரியான விசை இருந்தால் மட்டுமே அதை மீண்டும் பெற முடியும். அனுப்பும்போதும் சேமிக்கும்போதும் தரவை ரகசியமாக வைத்திருப்பதே இதன் நோக்கம். ஹாஷிங்கும் checksum-களும் வேறு பிரச்சினைகளைத் தீர்க்கின்றன: அவற்றின் வெளியீட்டை மறைவிலக்கம் செய்து அசல் செய்தியைப் பெற முடியாது. இவற்றைக் குழப்பிக்கொண்டால், பாதுகாப்பாக இருக்கிறோம் என்ற தவறான நம்பிக்கை ஏற்படலாம்.

விசைகளும் குறியாக்கச் செயல்முறையும்

குறியாக்க அல்காரிதம் வெற்றுரையை (plaintext) ஒரு விசையுடன் சேர்த்து மறையுரையை உருவாக்குகிறது. சமச்சீர் குறியாக்கத்தில் இரு தரப்பினரும் ஒரே ரகசிய விசையைப் பகிர்ந்துகொள்கின்றனர். சமச்சீரற்ற முறைகளில் பொது விசைக்கும் அதற்கு இணையான தனிப்பட்ட விசைக்கும் வெவ்வேறு பங்குகள் உண்டு. அல்காரிதம், இயக்க முறை, விசையின் தரம், விசை எங்கே சேமிக்கப்படுகிறது என்பவை எல்லாமே முக்கியம். கடவுச்சொல்லை எளிதில் ஊகிக்க முடிந்தாலோ, பாதுகாப்பில்லாத அதே செய்தியில் விசையும் அனுப்பப்பட்டாலோ, கோப்பு “குறியாக்கம் செய்யப்பட்டது” என்று சொல்வதால் பெரிய பயன் இல்லை. நவீன செயலிகள் தாமே வடிவமைத்த உரை மாற்று உத்திகளை நம்பாமல், நன்கு நிறுவப்பட்ட நெறிமுறைகளையும் அங்கீகரிக்கப்பட்ட குறியாக்கத்தையும் (authenticated encryption) பயன்படுத்த வேண்டும்.

ஹாஷ்களும் checksum-களும் எப்படி வேறுபடுகின்றன

கிரிப்டோகிராஃபிக் ஹாஷ், தரவிலிருந்து நிலையான அளவுள்ள சுருக்கத்தை (digest) உருவாக்குகிறது; அது உள்ளீட்டின் குறியாக்கப்பட்ட நகல் அல்ல. பதிவிறக்கிய கோப்பை, நம்பகமான வெளியீட்டாளர் அறிவித்த சுருக்கத்துடன் ஒப்பிட SHA-256 சுருக்கம் உதவும். அந்த ஒப்பீடு இரண்டும் ஒன்றா என்பதை மட்டுமே சரிபார்க்கிறது; கோப்பை மறைப்பதில்லை. கடவுச்சொற்களைச் சேமிக்க salt-உம் சரிசெய்யக்கூடிய கணிப்புச் செலவும் கொண்ட சிறப்புக் கடவுச்சொல் ஹாஷிங் முறைகள் தேவை. அனுப்பும்போது தற்செயலாக ஏற்படும் பிழைகளைக் கண்டறிய CRC32 பயன்படும்; ஆனால் வேண்டுமென்றே செய்யப்படும் மாற்றங்களுக்கு எதிரான அங்கீகார முறை அல்ல. மோதல் எதிர்ப்பு (collision resistance) தேவைப்படும் புதிய பயன்பாடுகளுக்கு MD5, SHA-1 இரண்டும் பொருத்தமற்றவை. SHA-1-ஐக் கைவிடும் திட்டத்தை NIST இங்கே விளக்குகிறது. உரைக்கான ஹாஷ்களையும் checksum-களையும் 2IP ஹாஷ் உருவாக்கி கணக்கிடுகிறது.

இரண்டு பொதுவான எடுத்துக்காட்டுகள்

ரகசிய ஆவணத்தைப் பகிர வேண்டுமென்றால், கோப்பைக் குறியாக்கம் செய்வதோடு அதன் நம்பகத்தன்மையையும் உறுதிசெய்யும் நம்பகமான செயலியைத் தேர்ந்தெடுங்கள்; கடவுச்சொற்றொடரைப் பாதுகாப்பான தனி வழியில் தெரிவியுங்கள். சரியான விசையைக் கொண்டு பெறுநர் உள்ளடக்கத்தை மீட்டெடுக்கலாம். பதிவிறக்கிய காப்பகத்தைச் சரிபார்க்க வேண்டுமென்றால், அதன் ஹாஷைக் கணக்கிட்டு, வெளியீட்டாளரின் உண்மையான பக்கத்திலிருந்து பெற்ற மதிப்புடன் ஒப்பிடுங்கள். இவை இரண்டும் வெவ்வேறு செயல்முறைகள்: காப்பகத்தை யாரும் படிக்காமல் ஹாஷ் தடுப்பதில்லை. ஓர் இணையதளம் Base64 உரையைக் காட்டினால், ரகசிய விசை இல்லாமலேயே யார் வேண்டுமானாலும் அதை டிகோட் செய்யலாம்; குறியீடாக்கம் (encoding) என்பது குறியாக்கம் அல்ல.

நினைவில் வைக்க வேண்டிய வரம்புகள்

இரு முனைகளுக்கு இடையே பயணிக்கும் தரவை TLS பாதுகாக்கிறது; ஆனால் அந்த முனைகள் நம்பகமானவை என்று அது உத்தரவாதம் தருவதில்லை. சாதனத்தில் உள்ள மால்வேர், கசிந்த விசை அல்லது பலவீனமான மீட்பு நடைமுறை இருந்தால், மற்றபடி உறுதியான கிரிப்டோகிராஃபியும் பயனற்றுப் போகலாம். ஆன்லைன் உரைக் கருவியைத் தேர்ந்தெடுக்கும்போது, நீங்கள் தேர்ந்தெடுத்த செயல்பாடு குறியாக்கம் செய்கிறதா, ஹாஷ் செய்கிறதா அல்லது வெறுமனே குறியீடாக்கம் மட்டும் செய்கிறதா என்பதைக் கண்டறியுங்கள். பொத்தானில் “பாதுகாப்பானது” என்று எழுதியிருக்கிறது என்பதற்காக, பழக்கமில்லாத சேவையில் தனிப்பட்ட ஆவணங்களையோ உள்நுழைவுச் சான்றுகளையோ ஒட்ட வேண்டாம். பயன்படுத்துவதற்கு முன், தரவு எப்படிச் செயலாக்கப்பட்டு எவ்வளவு காலம் வைத்திருக்கப்படுகிறது என்பதைச் சரிபாருங்கள்.

TLS 1.3 மற்றும் இணைப்புப் பாதுகாப்பு

HTTPS-இல் குறியாக்கம் என்பது ஒரு பெரிய நெறிமுறையின் ஒரு பகுதி மட்டுமே: TLS அளவுருக்களைப் பேசித் தீர்மானிக்கிறது, விசைகளை நிறுவுகிறது, சர்வர் சான்றிதழை அங்கீகரிக்கிறது. நவீன TLS 1.3 பல பழைய தேர்வுகளை நீக்கி, வழக்கமான ஹேண்ட்ஷேக்கை எளிமையாக்கியது. இந்த வரிசையை TLS 1.3 ஹேண்ட்ஷேக் வழிகாட்டி விரிவாக விளக்குகிறது. பெயரால் அடையாளம் காணப்பட்ட மறுமுனைக்குச் செல்லும் தரவை TLS பாதுகாக்கிறது; ஆனால் அந்த இணையதளம் நம்பத்தகுந்தது என்பதை அது மட்டும் நிரூபிக்காது.