תעודה דיגיטלית - SSL - HTTPS למתחילים

תמלול ההרצאה: תעודה דיגיטלית - SSL - HTTPS למתחילים

הטקסט המלא של הדקות הראשונות בהרצאה «תעודה דיגיטלית - SSL - HTTPS למתחילים» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:00

   שלום וברוכים הבאים לסרט על SSL למתחילים. אנחנו ננסה להיות ברורים ופשוטים, למרות שזה לא פשוט בכלל. אנחנו נלמד ונעשה היום ככה. שרת ראשון יהיה לנו שרת IS פשוט.

2. 00:14

   זה לא משנה אם יש עליו DC, אין עליו DC, זה לא משנה לנו. מבחינתנו זה שרת IS וזהו. השרת השני שלנו הולך להיות שרת ROOTCA, זה שמחלק תעודות דיגיטליות, ושימו לב, הוא stand alone והוא ב-workgroup, הוא לא ב-domain.

3. 00:32

   הלאה. מה אנחנו הולכים לעשות? שרת ה-S יבקש תעודה מרוץ-EA דרך ממשק ובי, לא בקשה דרך הקובץ, דרך ממשק ובי. ייכנס לאתר הקטן ויבקש משם תעודה.

4. 00:48

   ואנחנו נגדיר SSL עם התעודה הזאת שביקשנו על שרת ה-S, אוקיי? אז נקים שרת ה-S, נקים רוץ-EA ב-Work Group, אחרי שנסיים להקים הכל, שזה ייקח לנו בדיוק שתי דקות, כי יש לי כבר הכל מוכן, ניכנס לשרת ה-S ונבקש over web תעודה.

5. 01:10

   אחרי שנקבל תעודה, נגדיר אותו לעבוד בפורט 443 עם התעודה הזאת שיעבוד ל-SSL, ואחרי ש-SSL יעבוד והכול יעבוד לי יפה, נעשה זיהוי משתמש שבא להיכנס לאתר, לא עם שם וסיסמה אלא עם תעודה דיגיטלית.

6. 01:27

   זאת אומרת, נעשה זיהוי של משתמש שיציג לי בכניסה תעודה דיגיטלית שיש לו. זאת אומרת שההבטחה תהיה הרבה יותר גבוהה כי שם וסיסמה אפשר להציץ על מקלדת ולגנוב תעודה דיגיטלית לגנוב ממני צריך כבר להוציא לי את ה-USB מהארנק שלי ועל הארנק שלי אני שומר טוב אחרי שאנחנו נעשה את זה אנחנו ניכנס למשתמש ונבקש דרך ממשק ווייבי

7. 01:55

   תעודה משרת רוצייה נבקש תעודה ואחרי שנקבל תעודה כמשתמשים פשוטים מן השורה ניכנס לאתר ה-IS ונראה שהזיהוי שלנו עובד ואחרי שנצליח לעשות את כל זה ניקח את התעודה שלנו ונעשה לה אקספורט ל-USB כי by default היא תשכב אצלנו בתוך הרג'יסטרי המקומי של המחשב.

8. 02:22

   אז בואו נעבור לעבודה. נתחיל בשרת ה-IS וסטנדל אורן. אוקיי, אני בא להיכנס לשרת שנקרא SRV082. שימו לב שהשרת הזה נמצא בוורגרופ.

9. 02:38

   נראה זאת ביחד. אתם רואים? השרת נמצא במצב של וורגרופ. אתם יכולים לעשות פה צ'יינג' ולראות שהוא באמת בוורגרופ ולא בדומיין. שם שלו srv082, זה לא משנה לצורך העניין.

10. 02:51

    אוקיי, אני נכנס לרולים שלו, עושה add role, נקסט, אתם רואים, אין עליו אף תפקיד, הוא חדש דנדש, עכשיו הגיע מהחנות, ואני מתקין עליו רק את התפקיד של Active Directory Certificate Services.

11. 03:08

    זה התפקיד היחיד שיהיה לו בחיים. נקסט, נקסט, ואני מתקין חוץ מ-CA הרגיל, גם אתר וב קטן. ברגע ששמתי V על אתר וב קטן, הוא מקפיץ לי פה שאני חייב להתקין גם ה-S.

12. 03:22

    אני אומר לו אין בעיה, הוא הוסיף פה למטה התקנת ה-IS. כל שאר האופציות כרגע אני לא צריך, זה כל מיני אופציות שנדבר עליהן בהזדמנות אחרת.

13. 03:33

    הוא שואל אותי האם אני רוצה Enterprise או Stand Alone. למה אני לא יכול להיות Enterprise? כי אני לא בדומיין. Enterprise זה שילוב של יכולות של Active Directory בשירותי Certificates.

14. 03:48

    בגלל שאין לי Active Directory אני לא יכול לשדרג את התוכנה לשימוש ב-Active Directory. מה השדרוג פה? מה השדרוג בין stand alone לאנטרפרייז? השדרוג שקבוצה של יוזרים יוכלו לבקש תעודות מסוימות ולקבל אותן אוטומט.

15. 04:06

    זה היתרון של Active Directory שאפשר לאשר תעודות באופן אוטומטי ושלא כל אחד יבקש ממני תעודה. נניח אני רוצה עכשיו לחלק תעודות דיגיטליות לכל המחשבים ברשת כדי שיוכלו לראות את הסרטים ויש לי פה 100 מחשבים.

16. 04:21

    אז אני יכול להגיד ל Active Directory כל מי שחבר בדומיין תחלק לו תעודה אוטומט. בסטנדלון אין שום אוטומט, מנהל רשת צריך לאשר כל תעודה, אבל אין לנו ברירה כי אנחנו בוורקרופ.

17. 04:35

    נקסט, האם זה רות או סאב-סי-איי? סאב-סי-איי, כשאתה בוחר פה, הוא אומר לי פה, תבקש תעודה מאבא. אתם רואים פה, זה מתחלף למטה. להביא אישור מאבא שאתה באמת תת-סי-איי חוקי.

18. 04:50

    אני אומר לו, אני המייסד של השושלת. אני יונתן הראשון. רות סי-איי הראשון שמייסד את הטראסט. עכשיו הוא שואל אותי האם פרייבט קי קיים או חדש?

19. 05:02

    האם יש לך כבר זוג מפתחות? מתי יהיה לי זוג מפתחות? הרי ברגע שאנחנו נעשה את כל המערכת עובדת, אני אקח את הפאבליקי של הרות, את הפאבליקי של השרת הזה, ואני אפיץ לכל החברים שלי שסומכים עליי, כדי שאם מישהו יבוא עם התעודה ממני, הם יוכלו לבדוק זאת.

20. 05:22

    זאת אומרת, אני לוקח את הפאבליקי של הרות, ומפיץ לכל מי שמוכן לסמוך עליי, וככה אני גורם לכולם לצמוח עליי. אבל מה יקרה אם השרת יישרף? אם שרת יישרף, צריך לעשות הכל מההתחלה.

21. 05:35

    אז אני יכול לשחזר את המפתחות ההם שכולם סומכים עליהם. זה ברור? אוקיי.

22. 05:50

    עכשיו אנחנו בוחרים. עכשיו אנחנו בוחרים האם אורך המפתח, ככל שמפתח ארוך יותר, כך למחשב קשה יותר לעבוד, אבל זה מאובטח יותר. אנחנו נעשה 2000, 1000, זה לא משנה חבר'ה, גם 1000 וגם 5000 וגם 512 ייקח כמה מאות שנים לפרוט.

23. 06:10

    האבטחה הזאת נועדה שאם יום אחד יעשו מחשבים מאוד חזקים שיהיה להם עדיין קשה לפרוץ את ההגנה. אל תדאגו לעשות את זה גם 1000 וגם 512. היום שיטה של תעודות דיגיטליות, אלגוריתם שנקרא RSA, קריפטוגרפיק אלגוריתם הזה, לא ניתן לפריצה בכמה מאות שנים הקרובות, גם אם תחברו את כל המחשבי העולם ביחד שינסו לפרוץ זוג מפתחות אחד.

24. 06:37

    יש פה עוד פרטים על הצפנה, אני לא נכנס לזה כרגע. תואר שני במדעי המחשב יספרו לכם על ההבדלים בין אלו לאלו. בינתיים נשתמש במה שקיים.

25. 06:50

    מה השם של רוצי-איי שיהיה כתוב על התעודה? מה השם? השם יהיה יוני רוצי-איי. יוני רוצי-איי, ככה אני אזהה שזה שלי ולא של מייקרוסופט.

26. 07:04

    יוני רוצי-איי, זה מה שאתם תראו כשאתם תלחצו דאבל קליק על התעודה, מי האבא של התעודה. יוני רוצי-איי. הלאה, לכמה זמן המפתחות שלי בתוקף? זוכרים שעשינו פה זוג מפתחות חדש?

27. 07:17

    לכמה זמן הם בתוקף? ביי דיפולט חמש שנים, זה אומר עוד חמש שנים. צריך לעשות מפתחות חדשים. עשיתי מפתחות חדשים, עכשיו צריך לקחת את הפאבליקי ולהפיץ שוב לכל מי שסומך עליי.

28. 07:30

    בגלל שאני לא רוצה לקחת סיכון שאני אצטרך להפיץ את זה לכל האנשים. מה זה כל האנשים? יש לי פלאפון, יש לי לקוחות, לכולם צריך להעביר את הפאבליקי החדש אחרי חמש שנים.

29. 07:42

    תעשו 15 שנה ואז סביר להניח שזה מישהו אחר יצטרך לעשות את זה כי אתם תהיו כבר מנהלי רשת בכירים ויועצים עצמאיים ולא תעשו את העבודה בעצמכם אז עוד 15 שנה מישהו ייקח את המפתחות החדשים ייקח את הפאבליקי ויתחיל להתקין לכל מי שאמור לסמוך עליי

30. 08:00

    נקסט איפה לשים את הדאטאבייס בהרדיסק איפה כל הדברים האלה הולכים להיות בהרדיסק נקסט איי אס נקסט והדבר רביעי אחד שאני אשים לו אני אגיד לו תקשיב גם Basic Authentication, Basic Authentication זה אומר תשלח לי שם וסיסמה over the קו, תשלח לי שם וסיסמה על הקו, זה נקרא Basic Authentication, כי אני רוצה להראות לכם אחרי זה אתר אינטרנט מאובטח.

31. 08:26

    טוב מאוד, אנחנו מתקינים עכשיו CA על Work Group, שיהיה עליו אתר אינטרנט לבקש תעודות דיגיטליות. עכשיו, הלקוחות שלי, תהיה להם בעיה.

32. 08:39

    מה הבעיה? שבתוך האתר הזה יש קוד שאומר להיכנס ללקוח לתוך התעודות הפנימיות שלו. זאת אומרת, תחשבו שהתחבר לקוח, וזה לא משנה לי אם זה Windows 7 או שרת ה-IS שרוצה תעודה, מישהו ינסה לבקש ממני תעודה, התוכנה הזאת של אתר האינטרנט נכנסת לו למחשב המקומי ומנסה לקחת לו את התעודה ולהתקין לו

33. 09:03

    תעודה בכוח. אתר אינטרנט שמאפשר דבר כזה חייב להיות מאוד מאוד מאובטח, כי זו אופציה מאוד מסוכנת. תחשבו שאתר אינטרנט נכנס לך לתוך התעודות האישיות שלך.

34. 09:19

    בגלל שדפדפן האינטרנט של הלקוחות שלי מגן עליהם, תהיה לי בעיה פה. אז איך אנחנו פותרים את הבעיה שאני רוצה למנוע אותה מראש?

35. 09:31

    אני צריך לעשות את האתר שלי, את האתר שלי, שימו לב, את האתר שלי, את ה-IS שלי פה. דרך אגב, אם ממשק גרפי לא מראה לכם את ה-IS כמו אצלי, תסגרו, תפתחו אותו. אני חייב לעשות שאתר אינטרנט שלי שממנו מבקשים תעודות, שזה האתר הזה, נכון, הלקוחות ייכנסו לפה, ל-SרטSRV, הטרטס הרביעי הזה זה אתר אינטרנט שבנתה

36. 09:57

    אותו תוכנה של CA ויבקשו ממנו תעודות דיגיטליות, הלקוחות שהתחברו אליו חייבים להתחבר ב-HTTPs כי אם הלקוחות שלי לא יתחברו אליי ב-HTTPs התוכנה בתוך האתר לא תצליח לעבוד כי התוכנה הזאת שנמצאת פה בתוך האתר נכנסת להם לתוך התעודות הדיגיטליות במחשב הלוקאלי והמחשב הלוקאלי של הלקוחות שלי לא ייתן לתוכנה

37. 10:23

    הזאת להיכנס פנימה בוא נמחיש למה אני מתכוון אנחנו נעשה סטארט run, נרשום htp 127.0.0.1 זה לא משנה לקוחות ירשמו איי, פי שם, מה אכפת לי מה ירשמו, העיקר שיגיעו אליי, סרט srv.

38. 10:42

    סרט srv אני נכנס לא סתם ל-http רגיל, בוא ניכנס ל-http רגיל, נראה שה-http רגיל עובד. ה-http רגיל עובד, יצייר לי פה תמונה כזאת יפהפייה, בכלל לא עובד, לא עובד.

39. 10:58

    בוא נבדוק למה ה-http לא עובד בכלל. אוקיי, Http לא עובד כי כתבנו כתובת לא נכונה Http מ-2701 עובד יופי עכשיו אני רוצה לרשום set srv עובד זאת אומרת גם אתר עובד וגם תת-איקאה באתר עובד מצוין הבעיה היא כזאת שכשאני עושה request certificate לבקש תעודה אני מבקש תעודה לא משנה איזה תעודה אני מבקש אנחנו ניכנס לזה הוא מבקש פה שימו לב למעלה

40. 11:35

    הוא מבקש פה להתקין ActiveX אתם רואים הוא רוצה להתקין ActiveX מה זה ActiveX ActiveX זאת תוכנה רגילה לחלוטין שמותקנת דרך האינטרנט מעין תוסף לאינטרנט אבל מה זה תוסף לאינטרנט זה תוסף לאינטרנט זה קוד שאתה לא שולט עליו זה כמו תוכנה חיצונית שמותקנת דרך האינטרנט אקטיביקסים האלו יכולים לעשות

41. 11:57

    מה שהם רוצים במחשב שלכם והוא מאוד מאוד מסוכן כי אתה נותן תוסף שאתה לא יודע מה התוסף הזה עושה במקרה הזה התוסף הזה נכנס לי לתוך התעודות הדיגיטליות שלי ומתקין לי תעודה בכוח הוא יכול גם לגנוב לי תעודה אבל התוסף הזה בא להיכנס לי לתעודות דיגיטליות בגלל שאקטיב איקסים האלו מסוכנים אתם חייבים להשתמש

42. 12:21

    ב-HTTPs לא סתם להיכנס ולהתקין את התוסף הזה אתם חייבים לעשות HTTPS יפה זה מה שהדפדפן כי הבעיה היא לא באתר האינטרנט שלי הבעיה שהדפדפן שלך מגן עליך נגד אקטיב איקסים כאלו מסוכנים ואנחנו היום בדפדפני אינטרנט מאוד מאוד מוגנים בקיצור אני אחסוך לכם את הטרחה

43. 12:45

    שום דבר לא יעבוד אצלכם בגלל הכתיב X הזה אם אתם לא תעשו פה לא HTTPS למעלה אלא תעשו פה HTTPS אתם חייבים HTTPS אבל אין לי HTTPS על השרת אין לי HTTPS מהשרת למה כי לא הגדרנו לכן משלמים לנו משכורת כי אנחנו יודעים לעשות זאת אנחנו נבוא לרמת שרת כולו כן ואוקיי לפני שנבוא לרמת שרת כולו אנחנו נבוא פה לאתר האתר האינטרנט שלנו ונגיד

44. 13:16

    לו פה ביידינגס ביידינגס תתחבר לפורט לא רק 80 אלא תתחבר גם לפורט 443. ואנחנו צריכים לבחור עם איזה תעודה הוא ישתמש ל-SSL, עם איזה תעודה.

45. 13:31

    מה זה התעודה הזאת? איזה פאבליקי הוא ישלח לשמה והלקוח יחזיר לו חזרה? ושימו לב, יש פה תעודה אחת של CA עצמו. הבעיה היא שעם תעודה של CA עצמו אי אפשר לעשות SSL.

46. 13:45

    התעודה הזאת היא לא טובה ל-SSL. אתם רוצים לבדוק? תבדקו אותי. בואו נעשה אוקיי, אוקיי, אוקיי. נעשה אפילו פקודה שנקראת IS reset, ה-S ריסט עושה סטופ וסטארט לכל הסרוויס, עושה סטופ ל-IS, סטארט ל-IS כדי לוודא שכל המערכת עובדת.

47. 14:04

    זה חוסך לכם ריסטארט לכל המחשב. עשינו ה-S, עכשיו אני לוקח את הכתובת הזאתי, סוגר את הדפדפן, עושה פה HTTPS לאתר אינטרנט רגיל, HTTPS 12701, אנטר, ושימו לב, שום דבר לא עובד לי.

48. 14:23

    למה לא עובד לי שום דבר? כי התעודה לא טובה למטרה הזאת. בואו נעשה תעודה חדשה לאתר IaaS, ושימו לב ממי אנחנו נבקש תעודה, מעצמנו, כי אנחנו גם האתר IaaS ואנחנו גם שרת שיודע לחלק תעודות.

49. 14:37

    אז אנחנו נבוא לרמת שרת בתוך ממשק IaaS, ויש לנו פה Server Certificates. Server Certificates הזה מראה לי תעודות שמחוברות למחשב. מה שאתם רואים פה זה בדיוק אותו דבר כמו להיכנס ל-MMC,