محمد نصیری
بنیانگذار انجمن تخصصی فناوری اطلاعات ایران ، هکر کلاه خاکستری ، کارشناس امنیت اطلاعات و ارتباطات

تفاوت گواهینامه دیجیتال و امضای دیجیتال در چیست؟

Digital Signature یا امضای دیجیتال مکانیزمی است که تعیین کننده اعتبار و هویت اصلی یک فایل مستند (Document) یا یک پیام (Email) است. در واقع با استفاده از مکانیزم Digital Signature دریافت کننده اطلاعات می تواند مطمئن شود که پیام ارسال شده توسط خود فرستنده ارسال شده است و در این میان کسی این پیام را دستکاری نکرده است. معمولا از امضاهای دیجیتال برای جلوگیری از سوء استفاده و دستکاری مستندات حساسی مثل مستندات مالی اسفاده می شود.

دوره های شبکه، برنامه نویسی، مجازی سازی، امنیت، نفوذ و ... با برترین های ایران

یک Digital Certificate یا گواهینامه دیجیتال همانطور که از نامش هم پیداست به گواهینامه دیجیتالی گفته می شود که از طرف یک شخص ثالث قابل اعتماد که به آن مرکز صدور گواهی یا Certificate Authority گفته می شود صادر می شود و برای شناسایی و احراز هویت اشخاص یا مواردی استفاده می شود که گواهینامه برای آنها صادر شده است. در Digital Certificate یا گواهینامه های دیجیتال از مکانیزم و رمزنگاری کلید عمومی یا PKI استفاده می شود و به همین خاطر می توان مطمئن بود که یک Public Key یا همان کلید عمومی مشخص کننده فرد یا سرویس مشخص و خاصی است که قبلا تایید شده است.

Digital Signature یا امضای دیجیتال چیست ؟

همانطور که قبلا بصورت مختصر اشاره شد از Digital Signature یا امضای دیجیتال برای مطمئن شدن از اعتبار و درستی یک مستند استفاده می شود. بصورت معمول در سیستم Digital Signature ها از سه الگوریتم استفاده می شود. اولین نوع الگوریتم برای تولید کردن یک جفت کلید ( عمومی و خصوصی ) از الگوریتم های ایجاد کلید یا Key Generation Algorithms استفاده می شود.

دومین نوع الگوریتم های مورد استفاده برای ایجاد کرد Signature برای پیام ارسالی ایجاد می شود که با استفاده از متن پیام و البته کلید خصوصی مستند تهیه می شوند ، به این نوع الگوریتم ها الگوریتم های امضا یا Signing Algorithms گفته می شود. علاوه بر اینها یک الگوریتم دیگر به نام الگوریتم اعتبار سنجی امضا یا Signature Verifying Algorithm نیز برای تصدیق هویت پیام ، امضاء و کلید عمومی بکار رفته در آنها بکار می رود که سومین الگوریتم مورد استفاده در سیستم امضای دیجیتال است. در این سیستم امضا یا Signature با استفاده از ترکیبی از خود پیام ، کلید خصوصی به همراه کلید عمومی ایجاد می شود و در نهایت امضای ایجاد شده برای تصدیق صحت پیام مورد استفاده قرار می گیرد.

علاوه بر این روش امکان تولید کردن امضا بدون استفاده از کلید خصوصی نیز وجود دارد و اینکار برای کاهش پیچیدگی ها و محاسبات استفاده می شود. مهمترین استفاده ای که از Digital Signature ها می شود در اعتبارسنجی ، تمامیت و صحت داده و انکارناپذیری در حوزه امنیت اطلاعات است. برای مثال در سیستم های اتوماسیون اداری که نامه نگاری ها می توانند تعیین کننده نتیجه یک فرآیند کاری باشند ، برای هر شخصی یک Digital Signature در نظر گرفته می شود تا ضمن اینکه مطمئن باشیم نامه های وی قطعا از طرف خودش ارسال شده اند از طرفی در صورت بروز تخلف بتوانیم اثبات کنیم که شخص مورد نظر تخلف کرده است و نتواند خلاف خود را انکار کند.

Digital Certificate یا گواهینامه دیجیتال چیست ؟

همانطور که قبلا بصورت مختصر اشاره شد Digital Certificate یا گواهینامه دیجیتال از طرف یک مرکز صدور گواهینامه دیجیتال یا Certificate Authority که به اختصار ما آن را CA می نامیم صادر می شود تا بتواند اطلاعات هویتی مالک Certificate را تصدیق کند. این دقیقا فرآیندی مشابه همین گواهینامه رانندگی دارد که ما استفاده می کنیم. فرض کنید در اینجا CA پلیس راهنمایی و رانندگی کشور است و ما درخواست کننده و مالک گواهینامه و گواهینامه رانندگی ما نیز همان اطلاعات هویتی ما است که توسط CA تایید شده است.

در ساختار Digital Certificate ممکن است حتی از Digital Signature ها یا امضاهای دیجیتال نیز برای پیوست کردن کلید عمومی به یک موجودیت استفاده شود. معمولا اطلاعاتی که درون یک Digital Certificate وجود دارد اطلاعاتی از قبیل شماره سریالی است که بصورت منحصر به فرد برای شناسایی Digital Certificate ایجاد شده است ، البته این شماره سریال ممکن است برای شناسایی الگوریتم مورد استفاده در گواهینامه نیز مورد استفاده قرار بگیرد ، علاوه بر این اطلاعات مربوط به CA ای که این گواهینامه را صادر کرده است نیز در Certificate دیده می شود ، تاریخ و زمان صدور گواهینامه و مدت زمان اعتبار آن و قطعا تاریخ انقضاء آن ، در نهایت درون یک Digital Certificate قطعا کلید عمومی یا Public Key صادر شده توسط CA قرار دارد تا از تغییر نکردن گواهینامه اطمینان حاصل شود.

بیشترین استفاده ای که از Digital Certificate ها می شود در وب سایت هایی است که اطلاعات حساسی دارند و می خواهند اطلاعات هویتی کاربرانشان بصورت رمزنگاری شده رد و بدل شود و به همین دلیل مهمترین کاربرد Digital Certificate ها در پروتکل HTTPS و برای ایجاد کردن SSL Certificate ها می باشد. برای کسب اطلاعات بیشتر در خصوص ساختار PKI که همه این موارد زیر مجموعه آن هستند می توانید به انتهای همین صفحه و مطالب مرتبط مراجعه کنید.

تفاوت اصلی بین Digital Signature و Digital Certificate در چیست ؟

امضای دیجیتال یا Digital Signature در واقع مکانیزمی است که برای اعتبارسنجی یک مستند دیجیتال یا یک پیام الکترونیکی مورد استفاده قرار می گیرد تا مطمئن شود که این پیام یا مستند بصورت غیرمجاز دستکاری نشده باشد و هویت افرادی که آن را ایجاد کرده اند مشخص باشد ، برای مثال شما در اتوماسیون های اداری برای هر یک از افراد و نامه هایی که در این سیستم استفاده می کنند امضای دیجیتال ایجاد می کنید ، این در حالی است که Digital Certificate ها بیشتر برای احراز هویت کاربران به ویژه کاربران وب سایت های امن که از پروتکل HTTPS استفاده می کنند استفاده می شود تا اطلاعات هویتی آنها افشاء نشود و از درجه امنیتی بالاتری برخوردار شوند.

زمانیکه شما از Digital Certificate ها استفاده می کنید اعتبار گواهینامه شما به وسیله مرکز صدور گواهینامه دیجیتال یا Certificate Authority تامین می شود. در Certificate های دیجیتال ممکن است از امضای دیجیتال نیز استفاده شود که درجه امنیتی آن را بالاتر می برد ، در چنین مواقعی اگر هکر بتواند CA ما را هک کند با توجه به اطلاعاتی که در Digital Signature وجود دارد ما می توانیم از سالم بودن پیام و دستکاری نشدن آن اطمینان حاصل کنیم. توجه کنید که هم در Digital Signature و هم در Digital Certificate از مکانیزم رمزنگاری کلید عمومی یا Public Key Infrastructure استفاده می شود.

گواهینامه دیجیتال و امضای دیجیتال جزو مباحثی هستند که در قسمت پروتکل های رمزنگاری دوره های امنیت اطلاعات آموزش داده می شوند.در پایان اگر می خواهید در مورد این مباحث بیشتر بدانید  به شما عزیزان توصیه می کنم که برای یادگیری و ورود به دنیای امنیت شبکه و اطلاعات با دوره آموزش سکیوریتی پلاس Security+ شروع کنید و سپس وارد دوره آموزش CEH یا دوره آموزشی هک قانونمند شوید تا دید بازتر و بهتری نسبت به امنیت تدافعی و تهاجمی داشته باشید. اگر برای شما این پیشنهاد جای سوال دارد ، پیشنهاد می کنم حتما مقاله چگونه هکر شویم را مطالعه کنید و مسیر راه یادگیری هک و امنیت را به خوبی درک کنید.


محمد نصیری
محمد نصیری

بنیانگذار انجمن تخصصی فناوری اطلاعات ایران ، هکر کلاه خاکستری ، کارشناس امنیت اطلاعات و ارتباطات

محمد نصیری هستم ، هکر قانونمند و کارشناس امنیت سایبری ، سابقه همکاری با بیش از 50 سازمان دولتی ، خصوصی ، نظامی و انتظامی در قالب مشاور ، مدرس و مدیر پروژه ، مدرس دوره های تخصص شبکه ، امنیت ، هک و نفوذ ، در حال حاضر در ایران دیگه رسما فعالیتی غیر از مشاوره انجام نمیدم و مقیم کشور ترکیه هستم ، عاشق آموزش و تدریس هستم و به همین دلیل دوره های آموزشی که ضبط می کنم در دنیا بی نظیر هستند.

نظرات