Урок 9 - Шифрование, PKI, сертификаты

[@alexandrex6267]

1:30 Симметричное шифрование 6:36 Асимметричное шифрование 12:27 Цифровая подпись 18:31 PKI Инфраструктура открытых ключей - - - 19:30 Сертификат - - - 24:20 О Центрах сертификации - - - 28:53 Доверие и Root ЦС 30:28 SSL 35:10 Практика: Консоль, управление компьютерным и пользовательским сертификатом - - - 38:08 Ключик на сертификате 40:00 Доверенные корневые сертификаты 40:55 Доверенные лица 42:05 Рассматриваем сертификат 48:28 Политики сертификата 51:59 Точки распространения списка отзывов в сертификате 56:30 Эксперименты: EFS 1:07:50 Эксперименты: Web сайт 1:11:00 Поведение сертификата при отзыве - - - 1:13:30 Самоподписанный сертификат - - - 1:18:04 Очистить кэш отозванных сертификатов 1:24:10 Классификация админов

[@SlavaShmel]

Все круто, молодец! Хочется больше и больше смотреть твои уроки. Все четко объясняешь. Успехов тебе!

[@ВиталийСитников-э3б]

это самое лучший урок по теме, из всех что я видел! Чувак, ты крут!!

[@TrainITHard]

+Виталий Ситников Спасибо!

[@romankrylov3504]

34:10 По HTTPS немного не точно, но допустимо для обьяснения. Симетричный (сессионный) ключ не пересылается зашифрованым асиметрично - как раньше (давным давно - очень давно - в 2015 уже так не делали.), он генерируется из определенных данных, с обеих сторон пересылаемых во время соединения TLS/SSL, по протоколу Диффи-Хелмана. Cервер не проверяет клиента, клиент проверяет сервер, или наоборот, сертификат служит для идентификации и аутентичности сервера. Сеансовый ключ не шифруется ассиметричной криптой.

[@mikbrazh]

Уроки реально помогают освежить знания в голове. Спасибо, четкое объяснение 👍

[@ОлехОлегович]

Важные знания по защите информации. Спасибо за урок!

[@Vivavatnik]

Очередное, но огромное СПАСИБО! многое прояснилось у меня в голове!

[@sound5401]

Спасибо за видео! Начал понимать что к чему.

[@PlatonovIlya]

Огонь, разложил по полкам всё что у меня в голове было)) Спасибо))

[@НиколайПлюснин-ю1ъ]

Урок просто супер! Все понятно! Скоро собеседование! Ты крут!

[@romankrylov3504]

Собеседование прошел?

[@TVVitaliyStar]

@@romankrylov3504 тоже интересно, хоть и три года прошло, а чувак то даже заходит через этот акк. Но что то не как не ответит. Жаль...

[@w1tcherj]

Слыш, сyчара, к тебе уважаемые люди обратились.

[@sketchturner3496]

Ну чтож, на днях и я на собеседование пойду.

[@w1tcherj]

@@sketchturner3496 что за фирма и какая должность?

[@lamerok3000]

Спасибо, интересная лекция. С удовольствием послушал, покликал у себя на компе.

[@ЭрикНельсон-й5ч]

Спасибо за вашу работу, отлично подан материал, многое понял.

[@eldarkarimov5791]

Блогодарю за такой крутой урок реально респект

[@ГамидХалилов-р7ж]

красавчик , стало укладываться все в голове !

[@П.Лужин]

Лучшее видео по теме PKI. Жаль канал как-то затих...

[@htechnoo]

За один урок узнал и понял больше чем за курс нудных лекций. Спасибо!!

[@w1tcherj]

В этом беда образования.

[@АндрейСеребровский-н3э]

Спасибо тебе огромное за уроки!!!

[@v0ver]

Чувак ты мега крут, спасибо за такие уроки.

[@yuliyacher67]

Спасибо. У Вас без сомнения дар чисто и просто объяснять. До Вас всё слушала только на английском. Так что Вы лучший на рускоязычном пространстве. При работе с Сервером Сертификации, сертификатами и шифрованием имела непонятные нюансы, которые делала на автомате. У Вас же получила разъяснение. Приятно также, что Вы доброжелательны и незаносчивы. Только один момент - Вы не знаете, как правильно произносить английские слова. Режет ухо. Это вечная проблема для российских IT-специалистов. Прослушайте американцев/англичан. Спасибо за Ваши старания.

[@ЮрийЮрьев-х2т]

вот уж неправда. в большинстве случаев он всё правильно произносит, и сильно выбивающегося ничего нет. ну может совсем иногда. бывает в десятки раз хуже. здесь все относительно неплохо.

[@sashashad]

А вы слушали индусов на минуточку?)

[@Лоло-лошка-н8э]

Насчет фрагмента с сертификатом майкрософта, политика там active directory, ее можно самим сделать

[@mom89ful]

Какой хороший мальчик! oo)) Спасибо

[@sashashad]

я не сразу врубился о чём)) да, хороший

[@henkyurom1289]

хорошо изложен материал по цифровой подписи. Что касается SSL есть недопонимание которое может ввести в заблуждение или привести к вопросу что задавал "webdeveloper" ниже (Возможно скорее всего ето я чего то не понял). Поетому на счет SSL советую прочесть еще какую то литературу. Google вам поможет. Автору огромное спасибо продолжай. Хотелось еще чтобы автор поделился опытом работы в администрировании баз даных. Ну карты ему в руки, и ещераз спасибо за его роботу.

[@dimman1860]

Классные уроки! Оставили бы ссылку на донаты.

[@romankrylov3504]

16:39 Сертификат + открытый ключ в нем, передается в структуре эцп, получатель не запрашищает ключ у сервера, клиент (почта, ворд, адоби) извлекает сертификат проверяет его на валидность делает проверки касающиеся сетртификата, потом извлекает из сертификата открытый ключ, обрабатывает сообщение получает хэш сообщения/файла, расшифровывает открытым ключем зашифрованный отправителем на его закрытом ключе хэш в структуре эцп, сравнивает хэши с тем что получил ранее с сообщения или файла, если хэши совпадают валидность сообщения/файла подтверждается, если нет то сообщение/файл былo скомпрометированно и, сообщение/файл было изменено по дороге, и не проходит валидацию по эцп. Таким образом понятно, было-ли сообщение/файл скомпрометированно/н.

[@TrainITHard]

Да, я описывал логику процесса. В частном случае проверки системой подписи все так, как вы описали.

[@romankrylov3504]

@@TrainITHard Мне нравятся ваши лекции, информация плавно ложится в мозг, без стресса :-), еще-бы про квантовую крипту и пост-квантовую.

[@duoduoo6732]

24:20 что мешает тому же злодею подделать всю цепочку вышестоящих сертификатов в т.ч. рута? Или как вообще убедиться что РУТ сертификат это подлинный РУТ сертификат?

[@АйдарХабиров-т3к]

Все понятно и просто супер. А как на никсах все Например если свой внутрикорпаративный сервис подымем и самоподписной ключ на него повесим и пользователям генерить для входа Тулкит интересно было бы посмотреть

[@europeiz]

Не очень понял у нас есть рутовый центр сертифиаций и он отдает свой откртый ключ другому центру сертификаций что бы он был доверенным? и получается если человек хочет проверить действительный ли этот сертификат он его отравить для его проверки в рутовый центр сертификаций или как?

[@TrainITHard]

Чтобы CA стал доверенным, рутовый CA подписывает серт дочернего CA закрытой частью своего ключа. Далее любой человек может проверить доверенность дочернего CA путем проверки подписи открытым ключем рутового CA.

[@Arius1987]

Есть неясность : когда шифруем файл 2.txt (59:35) Вы говорите, что он зашифрован симметричным ключом, а симметричный зашифрован закрытым ключом. Затем, когда мы экспортируем сертификат, мы зачем-то экспортируем закрытый ключ. Но ведь закрытым нельзя расшифровать то, что было зашифровано закрытым (1:01:50) ... Еще непонятно зачем шифровать симметричным, а потом асимметричным, когда можно использовать только асимметричный (а где тогда лежит ключ от симметричного шифрования? )

[@TrainITHard]

Действительно, это ошибка в видео. Симметричный ключ шифруется открытым ключем. Вот схемка: upload.wikimedia.org/wikipedia/commons/thumb/a/a6/EFS_operation_scheme.png/400px-EFS_operation_scheme.png По второму вопросу, отвечал еще в видео. Асимметричное шифрование требует намного больше вычислительных ресурсов, нежели симметричное шифрование, поэтому даже SSL/TLS (например HTTPS) асимметрично шифруют только симметричный ключ, но не сами данные.

[@v0ver]

И в цепочке сертификатов имена центров сертификации не совпадают. Issued by видимо тут используется не просто имя, а какой-то уникальный идентификатор ?

[@aleksandrkravtsov8727]

Хороший урок)

[@v0ver]

Еще на счет EFS, когда закончится срок действия сертификата, то мы потеряем доступ к данным? Менять время на ПК назад? )) Или надо успеть убрать шифрование и перешифровать заново, чтобы выпустился новый сертификат?

[@sashashad]

8:25 - Действительно не ясно откуда у второго пользователя ключ для расшифровки и что это за ключ - публичный? Выходит любой может открыть это сообщение. Я думаю механизм хорошо описан здесь: kzbin.info/www/bejne/hJ6want3Z7KEfas (дискламер - это на английском.) 12:56 Получается цифровая подпись только проверяет не было ли изменено сообщение и не было ли оно подменено кем-то, но само сообщение она не защищает.

[@TrainITHard]

1. ключ для расшифровки уже есть у пользователя (закрытый ключ). пользователь передает открытый ключ тому, кому нужно что-то зашифровать, данные шифруются открытым ключем и далее могут быть открыты только пользователем с закрытым ключем. то есть для шифрования, отправитель сначала получает открытый ключ адресата. 2. все верно, она только покажет если сообщение изменилось при передаче

[@sashashad]

@@TrainITHard Спасибо, разобрался!

[@ланин-х5х]

Спасибо !

[@AntonioBenderas]

1:24:40 по SQL Server? Lync, Exchange, IIS, ... не планируются курсы?

[@TrainITHard]

Exchange возможно, IIS был

[@alexeystaroverov4804]

"самый главный плюс ассим - что не надо передавать ключ по сети". Ну так и при симметр если не передавать то будет все ок. Дело то не в этом, а в том что нам надо попасть в ситуацию когда на обоих концах будет возможность шифровать/дешифровать не пересылая ключ по сети с этого надо начинать.

[@TrainITHard]

не пересылая ключ по сети - это по телефону звонить что-ли?) ассиметричное шифрование как раз позволяет передавать открытый ключ по сети, при этом сам ключ не компрометируется, так как расшифровать без закрытого ключа (который никуда не передается) все равно ничего не получится

[@TrainITHard]

ну по сути да, первопричина именно в этом

[@AntonioBenderas]

15:14 HASH шифруется закрытым, а расшифровывает открытым 17:47

[@TrainITHard]

все верно, в чем вопрос?

[@AntonioBenderas]

Тогда какая тут безопасность, если открытый ключ может расшифровать то, что зашифровано закрытым? Ладно, вопрос безопасности пока не важно, потом сам разберусь, почитав что-нибудь)

[@TrainITHard]

Если вы внимательно смотрели урок, то могли понять что это принцип работы цифровой подписи,а не шифрования. :)

[@it-eng6636]

TrainIT Hard, вот тут момент объясните, плиз. Получается мы шифруем хэш закрытым ключем и отправляем. Хакер это перехватывает. Он сможет закрытый ключ извлечь из этого и потом перехватить и открытый, который свободно гуляет и расшифровывать вообще что угодно у этого пользователя?

[@georgearutyunyan7994]

it -eng Как это "хакер" сможет извлечь закрытый ключ? Функция от закрытого ключа уже применена к самими данным. Сам ключ то не передается)

[@tyyyyuuuuuuuuijjjiio]

Добрый день. Как ситуация на текущий мент с актуальной областью администрирования. Я смотрю в сторону системного архитектора и виртуализации. Как на Ваш взгляд это перспективно или лучше пересмотреть направление? Спасибо за урок.

[@TrainITHard]

Добрый! Лично я бы пошел в разработку, если бы мог выбрать вновь :) ИМХО, через 15-20 лет 95% администрирования тупо уйдет в облака, которые будут админить привязанные к вендору специалисты. Хотя сейчас проблем с трудоустройством нет (по крайней мере в мск)

[@tyyyyuuuuuuuuijjjiio]

@@TrainITHard Я как раз начал с Java, но администрирование показалось проще и понимания побольше изначально, поэтому временно переключился. Т.е. Java, PYTON и например С# перспективнее на Ваш взгляд?

[@tyyyyuuuuuuuuijjjiio]

@@TrainITHard ну и отпугнуло в программировании вероятность стать "аутистом", все таки у админов задач побольше и разнообразные. Сам по последним размышлениям думал двигать в сторону системного архитектора.

[@TrainITHard]

​@@tyyyyuuuuuuuuijjjiio по программированию ничего не знаю, поэтому не подскажу :) по поводу задач, очень сомневаюсь, что у админов их больше и они разнообразнее.

[@Лоло-лошка-н8э]

А как сделать в AD CS 2012R2 голубую или зеленую строку, да и вообще сертификат с конфигурацией со своими параметрами строки

[@TrainITHard]

Никак, если не выпускать сертификат с помощью публичного платного центра сертификации. Цвет строки определяет браузер в зависимости от сертификата. Сам сертификат верифицируется публичными ЦС разными способами: например можно только валидировать домен по почте в этом домене - тогда ни о какой зеленой строке речи не будет, а можно валидировать домен и организацию, предоставив бухгалтерские документы - это уже расширеная валидация и такой сертификат будет показан зеленым. Погуглите услуги extended validation certificate у публичных ЦС.

[@Лоло-лошка-н8э]

TrainIT Hard я помню что нужно поди создать политику в AD CS а потом в меню Extended Validation их добавить, делаем для EV Subordinate CA во все шаблоны политику и доп.поля и готово!

[@Лоло-лошка-н8э]

TrainIT Hard а только в каком меню я забыл

[@Лоло-лошка-н8э]

Я бы даже и 4 кб ключ посоветовал, различие в том, что ясно понятно что RSA-1024 не защищен, но для поиска ключа 2048 бит нужно найти 2 пары открытых и закрытых, а для поиска 4096 бит, тут уже будет очень не сильно просто, в рекомендации ECC-521 и DES-1024

[@TrainITHard]

EV никогда не делал - зачем он, если серт непубличный? :) По ключу можно и 4096, только не забываем про обратную совместимость - например старые циски не умели в ключи длиннее 2048.

[@Farik1118]

Спасибо. Толково

[@Alexandr-g1s]

Саш спасибо!

[@accountsynchronization495]

Стоп! Я ещё смотрю видео. насчет цифровой подписи. как же пользователи узнаёт, что открытый ключ, который у него имеется, действительно принадлежит тому, Чьи данные он хотел бы получить?

[@TrainITHard]

Потому что, если он попытается расшифровать подпись чужим открытым ключом, у него ничего не выйдет, так как пара открытый-закрытый ключ математически взаимосвязана.

[@accountsynchronization495]

+TrainIT Hard А если цифровая подпись поддельная, данные поддельные, и открытый ключ у меня не тот?

[@accountsynchronization495]

+Account Synchronization Я так понимаю, это будет атака Man-in-the middle

[@TrainITHard]

То вы это поймете.

[@accountsynchronization495]

+TrainIT Hard И как я это пойму?

[@Mateo-mf7jh]

Спасибо из 2022

[@Archik4]

771 страница. Сейчас читаю эту книгу.

[@w1tcherj]

Что за книга?

[@АлександрТедеев-ф3и]

да про вланы бы очень хотелось узнать...

[@w1tcherj]

Действительно, что ты хочешь про них узнать? Здесь идеи криптография, а ты про вланы, ору)

[@sashashad]

@@w1tcherj ну объясните для начала раз так просто

[@w1tcherj]

@@sashashad а что тебе непонятно? Не лекцию же мне читать

[@sashashad]

@@w1tcherj мне не понятно как это прикручивается на уровне домена, как ьам выдаются acl

[@w1tcherj]

@@sashashad ты дурочок?

[@vlad1977list]

Еех, говорила мама - "учи 1С". Щас бы проблем не знал. Админствотака же вещь непостоянная

[@sergapon666]

Маленькая поправка: public key и private key математически не соотносятся.Эти ключи различны и не могут быть получено один из другого

[@TrainITHard]

Я и не говорил, что из одного ключа можно получить другой. Возможно только расшифровать сообщение зашифрованное другим ключом.

[@ljoikmhykh]

Публичный ключ формируется на основе приватного (по крайней мере в openssl). Если это не математическое соотношение, то что это? И сомнительно, что публичным ключом можно расшифровать сообщение, зашифрованное приватным ключом. Что же это получается? У всех есть публичный ключ сервера (на то он и публичный), и все (включая ФСБ) могут расшифровать то, что сервер шифрует приватным ключом и шлет исключительно Маше? Хуйня собачья. Публичный ключ используется только для шифрования. Далее только сервер может расшифровать это своим приватным ключом. И насколько я успел разобраться (отнюдь не благодаря этому видео), так браузер передает симметричный сессионный ключ, который он сгенерировал, и который будет использован в дальнейшем уже симметричном шифровании, т.к. асимметричное слишком вычислительно-затратное. Хотелось бы узнать, как работает сертификат, с помощью которого браузер убеждается, что человек посередине не подменил публичный ключ сервера, но, что-то подсказывает мне, что в этом говно-видео это вряд ли освещается.

[@alexandergreat6192]

Жаль, что не рассказал об отличиях SSL и TLS

[@TrainITHard]

Все, что нужно знать - SSL это древний протокол и сейчас почти нигде не используется. Все что сейчас называют SSL, на самом деле является TLS в 99% случаев.

[@alexandergreat6192]

@@TrainITHard Спасибо, буду знать :-)

[@LOL-nq3ky]

46:05 всего 256 байт, а не 2 килобайта)

[@viktoryusin7144]

Шифруется открытым ключём а расшифровывается закрытым.

[@sashashad]

иеп

[@АлександрМакаров-к7ш]

Все хорошо. Но только одно не понятно, зачем винда на английском и текст в примерах на английском?

[@runfm]

Потому что в IT индустрии принято говорить на инглише

[@sashashad]

Чтобы зашифровать от вас важную информацию

[@romankrylov3504]

Шифруем открытым ключем, а не наоборот.

[@dimaan29]

Ох Ххххнх Нхехееххх Еженедельник же Е Ю В аж Я Я Я Я Я Я Я

[@shchepin85]

Замечательный цикл, но я вижу не ключик на рисунки, а.. НЕ_КЛЮЧ. Простите. :-)

[@serkir3274]

С большим удивлением узнал что "ассиметричный" пишется c одной с

[@DudeSkinnyTall]

Лучше бы и не узнавал вовсе, потому что "асимметричный" пишется с двумя "м" а не "с".

[@ДмитрийШ-л8у]

🤣🤣🤣