რა გასაღებები გადაეცემა სერვერიდან მომხმარებელზე?

სათაური საჭირო არაა წესების მიხედვით:

სერვერიდან მომხმარებელზე შეიძლება გადაეცეს სხვადასხვა გასაღებები კონტექსტისა და გამოყენებული პროტოკოლის მიხედვით. ძირითადი ტიპები:

1. საზოგადო გასაღებები: ასიმეტრიული კრიპტოგრაფიაში სერვერი შეუძლია გადმოსცეს თავისი საზოგადო გასაღები მომხმარებელს. ეს გამოიყენება:

   • მონაცემების კოდირება მომხმარებლის მიერ, რომელსაც მხოლოდ სერვერი (შესაბამისი კერძო გასაღებით) შეძლებს დეკოდირებას.
   • ციფრული ხელმოწერის შემოწმება, რომელიც შექმნილია სერვერით მისი კერძო გასაღებით.

2. სესიის იდენტიფიკატორები / სესიის ტოკენები: ეს არ არის კრიპტოგრაფიული გასაღებები, მაგრამ თამაშობს სესიის იდენტიფიკაციის როლს. სერვერი ქმნის უნიკალურ იდენტიფიკატორს მომხმარებლის ავტორიზაციის შემდეგ და აგზავნის მას (ხშირად cookie-ის სახით). მომხმარებელი შემდეგ ამ ID-ს აერთიანებს შემდგომი მოთხოვნებში სესიის მდგომარეობის შენარჩუნებისთვის.

3. სიმეტრიული კოდირების გასაღებები: მიუხედავად იმისა, რომ სიმეტრიული გასაღებები იშვიათად გადაეცემა პირდაპირ, ისინი ხშირად გენერირდება ან შეთანხმდება დაცული კავშირის დამყარების პროცესში (მაგალითად, TLS/SSL პროტოკოლებით). სერვერი და მომხმარებელი იყენებენ Diffie-Hellman ან მის ვარიანტებს, რათა უსაფრთხოდ შეთანხმდნენ საერთო სიმეტრიულ გასაღებს, რომელიც პირდაპირი გადაცემის გარეშე ხდება. ეს სიმეტრიული გასაღები შემდეგ გამოიყენება მთელი ტრეფიკის კოდირებისთვის სესიის განმავლობაში.

4. ავტენტიფიკაციის და ავტორიზაციის ტოკენები (მაგალითად, JWT): სერვერი შეუძლია მომხმარებელს მისცეს ტოკენი (მაგალითად, JSON Web Token) წარმატებული ავტორიზაციის შემდეგ. ეს ტოკენი შეიცავს ინფორმაციას მომხმარებლის და მისი უფლებების შესახებ. მომხმარებელი ამ ტოკენს აგზავნის სერვერთან ყოველ მოთხოვნაში, რათა დაადასტუროს თავისი პიროვნება და უფლებები. მიუხედავად იმისა, რომ ტოკენი არ არის კრიპტოგრაფიული გასაღები, ის ხელმოწერილია ან კოდირებულია სერვერის მხოლოდ ცნობილ გასაღებებზე (ან რამდენიმე სერვერზე/სერვისზე).

5. API გასაღებები / მომხმარებლის საიდუმლო გასაღებები: ზოგიერთი არქიტექტურაში სერვერი შეუძლია მისცეს მომხმარებელს (მაგალითად, მობილური აპლიკაციას ან სხვა სერვისს) სტატიკური API გასაღები ან საიდუმლო გასაღები, რომელიც გამოიყენება მოთხოვნების ავტორიზაციისთვის. თუმცა ეს ნაკლებად უსაფრთხოა მომხმარებლის აპლიკაციებისათვის, რადგან გასაღები შეიძლება გამჟღავნდეს.

6. სერთიფიკატები: სერვერი გადმოსცემს თავის SSL/TLS სერთიფიკატს მომხმარებელს დაცული კავშირის დამყარების დასაწყისში. სერთიფიკატი შეიცავს სერვერის საზოგადო გასაღებს და ხელმოწერილია სანდო სერთიფიკატორთან. მომხმარებელი იყენებს სერთიფიკატს სერვერის სანდოობის შემოწმებისა და მისი საზოგადო გასაღების მისაღებად.

მაგალითი HTTPS/TLS კონტექსტში საზოგადო გასაღების გამოყენების:

1. მომხმარებელი იწყებს TLS-ხელმოწერას.
2. სერვერი აგზავნის თავის სერთიფიკატს, რომელიც შეიცავს საზოგადო გასაღებს.
3. მომხმარებელი ამოწმებს სერთიფიკატს (სანდოობის ჯაჭვი, ვადა და სხვა) და იღებს სერვერის საზოგადო გასაღებს.
4. მომხმარებელი ქმნის დროებით სიმეტრიულ გასაღებს სესიისთვის.
5. მომხმარებელი ამ სიმეტრიულ გასაღებს კოდირებს სერვერის საზოგადო გასაღებით.
6. მომხმარებელი აგზავნის კოდირებულ სიმეტრიულ გასაღებს სერვერს.
7. სერვერი დეკოდირებს სიმეტრიულ გასაღებს თავისი კერძო გასაღებით.
8. შემდგომ მონაცემთა გაცვლა კოდირებულია და დეკოდირებულია ამ შეთანხმებულ სიმეტრიულ გასაღებით.

ძირითადი წერტილები:

• სერვერიდან მომხმარებელზე საიდუმლო/პირადი გასაღებების პირდაპირი გადაცემა ძალიან არასასურველია უსაფრთხოების გამო.
• უმეტეს შემთხვევაში სერვერი გადმოსცემს საზოგადო გასაღებს, სესიის იდენტიფიკატორებს, ტოკენებს ან მონაწილეობს სიმეტრიული გასაღებების შეთანხმებაში.
• კონკრეტული გასაღების ტიპის გამოყენება დამოკიდებულია სცენარზე (ავტენტიფიკაცია, კოდირება, სესიის შენარჩუნება და სხვა).