רוטר - אלגוריתם הצפנה

יומן פעילות	לוח שנה	מבזקי חדשות	תקנון	RSS	כותרות	כותרות לפי תגובה	ניקוי קוקיז	IP	להורדת אפליקציה
eBay	AliExpress	GearBest	Amazon	Booking	Kiwi	SkyScanner	Trip Advisor

"אלגוריתם הצפנה"

גירסת הדפסה

קבוצות דיון בניית אתרים נושא #14641	מנהל סגן המנהל מפקח Winner צל"ש מומחה

אשכול מספר 14641

ronen333
חבר מתאריך 20.2.03
6069 הודעות

17:39 03.12.08

אלגוריתם הצפנה

לפרויקט בית ספר שלי החלטתי לעשות ככה לכיף מערכת חנות.. החלטתי לעשות אותה בעזרת WEB SERVICES וביגלל שזו מערכת חנות ונניח צריך להרכניס מספר כרטיס אשראי רצוי שזה לא יהיה פשוט מספר חשוף בDB.
ורציתי לשאול 2 שאלות.
כתבתי אלגוריתם הצפנה לא כל כך מסובך.. הוא לוקח מספר מבצע עליו פעולת חשבון של חיבור ואז כפל ואז הופך אותו לתו מהUNICODE ומשרשר אילו ברנדום תווים אחרים(שכמובן דאגתי שלא יתנגשו עם התווים של המספרים) .
הפעולה נמצאת במחלקה בWEB SERVICE והיא יכולה להצפין ולפתוח את אותה הצפנה.
השאלות שלי הן כאלו:
1.האם חכם לעשות את זה בWEB SERVICES? יכולים לנצל את זה לרעה וכל מחשב יוכל להשתמש במחלקה הזאת?
2.האם יהיה ניתן לפענח את ההצפנה שלי..
המספר
0123456789
הצפנתי לזה:

¢j☼>▌N"Qª6¬&r←°f²B'h

תודה רבה רבה לעוזרים

שתף

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

האשכול	מחבר	תאריך כתיבה	מספר
התשובות	Sn00py	03.12.08 18:07	1
מחזק את הבחור :)	Nesher	03.12.08 19:02	2
תודה אחי =]	ronen333	03.12.08 23:36	3
מגניב אני חושב שמצאתי משהו טוב	ronen333	04.12.08 00:43	4
זה לא כזה מסובך כמו שאתה עושה מזה	sHuMpI	28.12.08 11:21	13
נניח, נניח שהוא מצא את המפתח	Sn00py	28.12.08 11:43	14
הרעיון בהצפנה הוא שגם אם אני נותן לך	sHuMpI	28.12.08 15:32	15
חח נו זה בדיוק בדיוק מה שכתבתי	Sn00py	28.12.08 21:17	16
הסוגיה היא בכלל לא הצפנה בDB	dryice	04.12.08 21:16	5
השילוב הראוי לטעמי הוא הגנה טובה על ה DB	Sn00py	08.12.08 10:48	6
למה לשמור על ה DB בכלל?..	lior066	08.12.08 13:19	7
X=	ronen333	08.12.08 15:11	8
אתה יכול להקים לך SSL משלך לצורך ההדגמה	Sn00py	08.12.08 17:15	9
TEACH ME LIRAN, YOU ARE MY MENTOR =]	ronen333	08.12.08 17:43	10
אני אומר לך מראש שזה לא פשוט	Sn00py	08.12.08 17:53	11
מן הסתם מתמטיקאים טובים יוכלו להתגבר עליך (:	Deuce	18.12.08 23:00	12

Sn00py
חבר מתאריך 1.8.02
2954 הודעות

18:07 03.12.08

1. התשובות
בתגובה להודעה מספר 0

1. כל מחשב יוכל להשתמש במחלקה הזו, כל עוד לא תנעל אותה.
תקרא על web service security, ועל שימוש בשם משתמש וסיסמה ב soap headers.
2. כל דבר אפשר לפענח, ובלי להעליב, אתה לא יכול להתקרב ללכתוב מערכת הצפנה טובה(וגם אני לא). זה אנשים שמתמטיקה זה החיים שלהם וזה התפקיד שלהם, לכתוב הצפנות. תשתמש באחת מהמוכנות במחלקת Cryptography ש NET. מציע לך, זה יהיה טוב יותר.

בהצלחה

\x6C\x65\x65\x74\x68\x61\x78\x30
\x72\x3A\x2D\x29
tresp4sser

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Nesher

חבר מתאריך 2.7.02
2 הודעות, 24 פידבק

19:02 03.12.08

2. מחזק את הבחור :)
בתגובה להודעה מספר 1

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

ronen333
חבר מתאריך 20.2.03
6069 הודעות

23:36 03.12.08

3. תודה אחי =]
בתגובה להודעה מספר 1

ערכתי לאחרונה בתאריך 03.12.08 בשעה 23:41 בברכה, ronen333

יש מצב שאתה נותן לינק/מסביר בקצרה על המחלקה הזו של ההצפנה?
מצאתי את זה בMSDN -
http://msdn.microsoft.com/en-us/library/system.security.cryptography.aes.aspx

אני אמשיך בחיפושים אבל אם יש לך משהו טוב אני אשמח לקבל

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

ronen333
חבר מתאריך 20.2.03
6069 הודעות

00:43 04.12.08

4. מגניב אני חושב שמצאתי משהו טוב
בתגובה להודעה מספר 3

http://msdn.microsoft.com/en-us/security/bb896640.aspx
טוב ללמוד משם?

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

sHuMpI

11:21 28.12.08

13. זה לא כזה מסובך כמו שאתה עושה מזה
בתגובה להודעה מספר 1

תלוי מה הדרישות שלך להצפנה...להצפין מספר בן 16 ספרות זה לא מסובך בכלל ליצור משהו שבלתי פריץ ( שתיים בחזקת 100 פעולות כדי לפרוץ אותו...)

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Sn00py
חבר מתאריך 1.8.02
2954 הודעות

11:43 28.12.08

14. נניח, נניח שהוא מצא את המפתח
בתגובה להודעה מספר 13

מה אז? באלגוריתם "רגיל" החלפת המפתח לא תעזור כי ברגע שיש לנו צמד של
מפתח-טקסט מוצפן-טקסט מפוענח, נורא קל למצוא את האלגוריתם עצמו. הטריק הוא ליצור אלגוריתם שלא משנה כמה צמדים של מפתחות-טקסטים תמצא, זה לא
יעזור לך למצוא את לטקסטים שמוצפנים עם מפתחות אחרים... כמו העובדה שיש לך האלגוריתם של RSA נניח. זה אומר שאתה יכול לפענח דברים שאנשים
הצפינו?...
ואם הוא מצליח לכתוב אלגוריתם ברמה כזו שהאלגוריתם ישאר foolproof גם
אחרי שימצאו צמד אחד, שאפו עליו. אבל לדעתי זה לא ברמה של לשמור כרטיסי
אשראי מעבר לפרויקט בית-ספר.

\x6C\x65\x65\x74\x68\x61\x78\x30
\x72\x3A\x2D\x29
tresp4sser

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

sHuMpI

15:32 28.12.08

15. הרעיון בהצפנה הוא שגם אם אני נותן לך
בתגובה להודעה מספר 14

את האלגוריתם הצפנה והפיענוח עדיין אתה לא תוכל לעשות כלום בלי המפתח שלי..
יותר מזה, היום נהוג לעשות הצפנות עם מפתח פומבי שכל אחד יכול להצפין אבל כדי לקרוא יש מפתח יחיד...

ויש המון אלגוריתמים ידועים...אני מתאר לעצמי גם מימושים... לא צריך להמציא את הגלגל ( לא בשביל פרוייקט בית ספר) ולא בשביל כרטיסי אשראי...

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Sn00py
חבר מתאריך 1.8.02
2954 הודעות

21:17 28.12.08

16. חח נו זה בדיוק בדיוק מה שכתבתי
בתגובה להודעה מספר 15

מה שהוא עשה זה סתם החלפה או איזה פעולה מתמטית שנשארת זהה לכל מפתח...

ואתה חוזר בעצם על מה שאמרתי - שאין טעם לחזור ולהמציא את הגלגל... הוא
לא יתקרב לכתיבה של אלגוריתם תעשייתי.

\x6C\x65\x65\x74\x68\x61\x78\x30
\x72\x3A\x2D\x29
tresp4sser

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

dryice

21:16 04.12.08

5. הסוגיה היא בכלל לא הצפנה בDB
בתגובה להודעה מספר 0

צריך לחשוב רגע בפני איזו מתקפה אתה מתגונן?
הרי לתוקף לא אמורה להיות גישה לשרת שלך, וגם לא גישה ישירה
למסד הנתונים שלך.
עם הפורץ השתלט לך על השרת הוא גם ישתלט על מפתח ההצפנה(וגם על
האלגוריתם הצפנה הסודי שלך אם זה הכיוון שלך).
וקשה מאוד לדמיין מצב בו הוא ישיג גישה ישירה לDB אבל לא למפתח ההצפנה(לא בלתי אפשרי לדמיין, זה פשוט לא מאוד סביר).
לעומת זאת הסוגיה המהותית יותר היא איך שולחים את המידע אליך,
כדי לוודא שלא יחתפו אותו בדרך. לזה כמובן יש פתרון מוכן מקובל
בדמות SSL, הצפנה של המידע בDB גם בעזרת פונקציית הצפנה רצינית היא לטעמי מיותרת אלא אם כן יש לך רעיון ממש מתוחכם לגבי איפה לשמור את מפתח ההצפנה(או שעושים מפתח א-סימטרי ושומרים את הפרטי offline).
ברוב המקומות שאני מכיר פשוט מגנים על הDB בצורה סבירה ולא טורחים להצפין את המידע שנמצא בו.

DRYICE

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Sn00py
חבר מתאריך 1.8.02
2954 הודעות

10:48 08.12.08

6. השילוב הראוי לטעמי הוא הגנה טובה על ה DB
בתגובה להודעה מספר 5

ולהצפין את הססמאות בדמות HASH.
כמובן שזה לא אפשרי בכרטיסי אשראי ודומיהם.

\x6C\x65\x65\x74\x68\x61\x78\x30
\x72\x3A\x2D\x29
tresp4sser

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

lior066

13:19 08.12.08

7. למה לשמור על ה DB בכלל?..
בתגובה להודעה מספר 0

הרעיון הכללי הוא לעשות את הטרנזקציה און ליין בלי שמירת הפרטים של הכרטיס על השרת בכלל!! , ככה אתה לא חשוף בכלל לפריצה אפילו אם פורצים לך אז אף אחד לא יכול לגשת למסד נתונים ולגנוב לך את הכרטיסי אשראי כי הם לא קיימים.

מה שאתה כן יכול לעשות ( אם לא בא לך לשלם כסף כי זה פרוייקט בית ספר ) זה לבנות סימולטור של הטרנזקציה , שבו אתה מקבל אסמכתא על השימוש בכרטיס אשראי וקבלה + ה 4 ספרות אחרונות של הכרטיס אשראי, כמובן שלשימוש באופציה הזו אתה חייב להשתמש ב SSL

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

ronen333
חבר מתאריך 20.2.03
6069 הודעות

15:11 08.12.08

8. X=
בתגובה להודעה מספר 7

לא אחי אני לא מתכוון לשלם על זה XD.
סתם רציתי לעשות אתה יודע.. להתנסות בקטע הזה של חנות קצת תוך כדי הפרויקט בית ספרי.

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Sn00py
חבר מתאריך 1.8.02
2954 הודעות

17:15 08.12.08

9. אתה יכול להקים לך SSL משלך לצורך ההדגמה
בתגובה להודעה מספר 8

או להשיג חשבון שיתופים שכל מני חברות מציעות(לדעתי, פעם הציעו לבוני אתרים חשבון לבדיקה ל30 שעות, חברות כמו verisign וכאלה)

\x6C\x65\x65\x74\x68\x61\x78\x30
\x72\x3A\x2D\x29
tresp4sser

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

ronen333
חבר מתאריך 20.2.03
6069 הודעות

17:43 08.12.08

10. TEACH ME LIRAN, YOU ARE MY MENTOR =]
בתגובה להודעה מספר 9

אני יודע שנמאס לך ממני כבר אבל יש מצב שתפרט קצת יותר? P=

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Sn00py
חבר מתאריך 1.8.02
2954 הודעות

17:53 08.12.08

11. אני אומר לך מראש שזה לא פשוט
בתגובה להודעה מספר 10

ותצטרך לעבוד לבד ולמצוא חומר איך ליישם.
בכל אופן חשבון SSL ל 14 יום תוכל להשיג כאן:
http://www.verisign.com/cgi-bin/go.cgi?a=w44700044695191002

\x6C\x65\x65\x74\x68\x61\x78\x30
\x72\x3A\x2D\x29
tresp4sser

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Deuce
חבר מתאריך 1.9.08
6225 הודעות

23:00 18.12.08

12. מן הסתם מתמטיקאים טובים יוכלו להתגבר עליך (:
בתגובה להודעה מספר 0

אנשים שמבינים בתחום יוכלו לפצח את זה בפחות מיום אחד וזה לא דבר רע, אבל יש מערכות הצפנה כ"כ מסובכות ומדהימות, ועדיין מפצחים אותן.

כמובן שבתור אימון זה נחמד תמיד "להצפין".

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד