Uygulamalarda kriptografi kullanımını gözden geçirmek
Uygulama kodunda ECB kipi, IV tekrarı, gömülü anahtar ve zayıf rastgelelik gibi yaygın kriptografi hatalarını bulur; kimlik doğrulamalı şifreleme, yüksek seviyeli kütüphaneler, doğru parola saklama ve anahtar yönetim servisiyle düzeltip doğrularsın.
Seviye 401 · 16 ders · 15 pratik lab
Dersler
Yaygın hatalar
- Kriptografi incelemesi: neye bakılır
- ECB kipi: deseni ele veren şifreleme
- IV ve nonce tekrarını tespit etmek
- Kod içine gömülü anahtarlar
- Zayıf rastgelelik: zamana bağlı tohumlar
- Kısa görev: beş kod parçasındaki kriptografi hatalarını bul
Doğru yapılar
- Kimlik doğrulamalı şifreleme: AES-GCM ve ChaCha20-Poly1305
- Yüksek seviyeli kütüphaneler: libsodium ve benzerleri
- Kodda parola saklamayı denetlemek: Argon2 ve bcrypt ayarları
- JWT imza ve algoritma ayarlarını denetlemek
- Sabit zamanlı karşılaştırma
- Kısa görev: hatalı şifreleme kodunu kimlik doğrulamalı şifrelemeyle düzelt
Anahtar yönetimi ve rapor
- Anahtar yönetim servisi ve zarf şifreleme
- Statik analizle kriptografi kullanımını taramak
- Kriptografi bulgularını geliştiriciye anlatmak
- Bitirme görevi: örnek bir uygulamanın kriptografi incelemesini yap ve düzeltmeleri doğrula
Pratik lablar
- Deseni ele veren ECB şifrelemesini tespit et: Lab uygulamasının ürettiği şifreli kayıtlarda tekrar eden blokları bul, ECB kipini koddan doğrula ve bulgu olarak yaz.
- IV ve nonce tekrarını tespit et: Lab veritabanındaki şifreli alanlarda tekrar eden IV değerlerini say, sabit IV üreten kod satırını bul ve rapora ekle.
- Tekrarlanan nonce sorununu düzelt ve veriyi yeniden şifrele: Kodu her kayıt için yeni nonce üretecek şekilde düzelt, mevcut kayıtları yeniden şifrele ve tekrar kalmadığını sayarak doğrula.
- Kod içine gömülü şifreleme anahtarını bul: Lab uygulamasının kaynak kodunda sabit yazılmış anahtarları bul, konumlarını ve etkiledikleri veriyi listele.
- Zamana bağlı tohumla üretilen belirteçleri tespit et: Lab uygulamasının sıfırlama belirteçlerinin saatle tohumlandığını kanıtla, güvenli rastgelelik kaynağına geçir ve yeniden sına.
- Gömülü anahtarı koddan çıkar ve anahtarı yenile: Narçiçeği Eczaneleri'nin lab uygulamasındaki gömülü anahtarı ortam yapılandırmasına taşı, anahtarı yenile ve eski anahtarla şifreli veriyi dönüştür.
- Beş kod parçasındaki kriptografi hatalarını bul: Labdaki beş kısa kod parçasını incele, her birindeki hatayı adlandır ve doğru yapıyı bir cümleyle öner.
- Hatalı şifreleme kodunu kimlik doğrulamalı şifrelemeyle düzelt: Bütünlük kontrolü olmayan CBC kodunu AES-GCM ile yeniden yaz ve değiştirilmiş şifreli metnin artık reddedildiğini sına.
- Zamanlamaya duyarlı karşılaştırmayı bul ve düzelt: Lab API'sinin imza kontrolünde erken çıkan karşılaştırmayı bul, sabit zamanlı karşılaştırmaya geçir ve birim testleriyle doğrula.
- Kodda parola saklama ayarlarını denetle: Lab uygulamasının parola özetleme çağrısını bul, algoritma ve maliyet ayarını ilkeye göre değerlendir ve rapor satırı yaz.
- JWT imza ve algoritma ayarlarını denetle: Lab API'sinin kabul ettiği algoritma listesini ve gizli anahtar uzunluğunu denetle, zayıf ayarı düzelt ve imzasız belirtecin reddedildiğini doğrula.
- JWT imza anahtarını döndür ve eski belirteçleri geçersiz kıl: Göktaşı Yazılım'ın lab API'sinde anahtar kimliğiyle çift anahtarlı geçiş yap, eski anahtarı emekliye ayır ve süreci raporla.
- Statik analizle kriptografi kullanımını tara: Lab deposunu statik analiz kurallarıyla tara, kriptografiyle ilgili bulguları ayıkla ve yanlış pozitifleri işaretle.
- Zarf şifrelemeye geçir ve anahtar hizmetini bağla: Lab uygulamasının tek anahtarla şifrelediği veriyi veri anahtarı ve ana anahtar düzenine taşı, ana anahtarı lab anahtar hizmetinde tut.
- Bir uygulamanın kriptografi incelemesini yap ve düzeltmeleri doğrula: Erguvan Sigorta'nın lab uygulamasını uçtan uca incele, geliştiricinin anlayacağı dille bulguları yaz, düzeltmeleri uygula ve yeniden test et.
Kurs hakkında
Uygulama kodunda ECB kipi, IV tekrarı, gömülü anahtar ve zayıf rastgelelik gibi yaygın kriptografi hatalarını bulur; kimlik doğrulamalı şifreleme, yüksek seviyeli kütüphaneler, doğru parola saklama ve anahtar yönetim servisiyle düzeltip doğrularsın.
Ne öğreneceksin
- Yaygın hatalar
- Doğru yapılar
- Anahtar yönetimi ve rapor
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.