استفاده از cryptography.io در پایتون: آموزش جامع امنیت و رمزنگاری

امنیت و رمزنگاری از جنبه‌های حیاتی توسعه نرم‌افزار مدرن هستند. پایتون، به عنوان یک زبان برنامه‌نویسی محبوب، ابزارهای قدرتمندی برای پیاده‌سازی الگوریتم‌های رمزنگاری ارائه می‌دهد. یکی از بهترین کتابخانه‌ها در این زمینه، cryptography.io است. این کتابخانه، یک رابط کاربری سطح پایین و امن برای الگوریتم‌های رمزنگاری فراهم می‌کند و به توسعه‌دهندگان امکان می‌دهد تا به طور دقیق کنترل کنند که چگونه رمزنگاری در برنامه‌هایشان اعمال می‌شود.

مقدمه‌ای بر cryptography.io

cryptography.io یک کتابخانه پایتون است که بر اساس PyCryptodome ساخته شده و هدف آن ارائه یک API امن و قابل اعتماد برای عملیات رمزنگاری است. این کتابخانه از طیف گسترده‌ای از الگوریتم‌های رمزنگاری، از جمله AES، RSA، SHA-256 و ECDSA پشتیبانی می‌کند. cryptography.io به طور مداوم توسط جامعه امنیتی مورد بررسی قرار می‌گیرد و به همین دلیل، یک انتخاب مطمئن برای پیاده‌سازی امنیت در برنامه‌های پایتونی است.

نصب cryptography.io

نصب این کتابخانه بسیار ساده است و می‌توان آن را با استفاده از pip انجام داد:

pip install cryptography

مفاهیم کلیدی در رمزنگاری

قبل از شروع کار با cryptography.io، درک مفاهیم کلیدی رمزنگاری ضروری است:

• رمزنگاری (Encryption): فرآیند تبدیل داده‌ها به یک فرم غیرقابل خواندن برای افراد غیرمجاز.
• رمزگشایی (Decryption): فرآیند تبدیل داده‌های رمزگذاری شده به فرم اصلی و قابل خواندن.
• کلید (Key): یک مقدار مخفی که برای رمزنگاری و رمزگشایی داده‌ها استفاده می‌شود.
• هشینگ (Hashing): فرآیند تبدیل داده‌ها به یک مقدار ثابت (هش) که به عنوان یک اثر انگشت دیجیتال عمل می‌کند.
• امضای دیجیتال (Digital Signature): یک روش برای تأیید اصالت و یکپارچگی داده‌ها.

رمزنگاری متقارن با AES

رمزنگاری متقارن از یک کلید واحد برای رمزنگاری و رمزگشایی داده‌ها استفاده می‌کند. الگوریتم AES (Advanced Encryption Standard) یکی از رایج‌ترین الگوریتم‌های رمزنگاری متقارن است.

مثال:

from cryptography.fernet import Fernet

# تولید کلید
key = Fernet.generate_key()
f = Fernet(key)

# رمزنگاری داده‌ها
message = b"This is a secret message."
encrypted = f.encrypt(message)

# رمزگشایی داده‌ها
decrypted = f.decrypt(encrypted)

print("Original message:", message.decode())
print("Encrypted message:", encrypted)
print("Decrypted message:", decrypted.decode())

در این مثال، Fernet یک کلاس سطح بالا است که رمزنگاری AES را به صورت امن و آسان فراهم می‌کند. generate_key() یک کلید جدید تولید می‌کند و encrypt() و decrypt() برای رمزنگاری و رمزگشایی داده‌ها استفاده می‌شوند.

رمزنگاری نامتقارن با RSA

رمزنگاری نامتقارن از دو کلید استفاده می‌کند: یک کلید عمومی (Public Key) برای رمزنگاری و یک کلید خصوصی (Private Key) برای رمزگشایی. کلید عمومی می‌تواند به طور آزادانه به اشتراک گذاشته شود، در حالی که کلید خصوصی باید به صورت محرمانه نگهداری شود.

مثال:

from cryptography.rsa import generate_private_key, PublicKey
from cryptography.hazmat.primitives import hashes
from cryptography.hazmat.primitives.asymmetric import padding

# تولید کلید خصوصی
private_key = generate_private_key(
    public_exponent=65537,
    key_size=2048
)

# دریافت کلید عمومی از کلید خصوصی
public_key = private_key.public_key()

# رمزنگاری داده‌ها با کلید عمومی
message = b"This is a secret message."
encrypted = public_key.encrypt(
    message,
    padding.OAEP(
        mgf=hashes.SHA256(),
        algorithm=hashes.SHA256(),
        label=None
    )
)

# رمزگشایی داده‌ها با کلید خصوصی
decrypted = private_key.decrypt(
    encrypted,
    padding.OAEP(
        mgf=hashes.SHA256(),
        algorithm=hashes.SHA256(),
        label=None
    )
)

print("Original message:", message.decode())
print("Encrypted message:", encrypted)
print("Decrypted message:", decrypted.decode())

در این مثال، generate_private_key() یک کلید خصوصی RSA تولید می‌کند. public_key() کلید عمومی را از کلید خصوصی استخراج می‌کند. encrypt() و decrypt() برای رمزنگاری و رمزگشایی داده‌ها با استفاده از کلید عمومی و خصوصی به ترتیب استفاده می‌شوند. padding.OAEP() برای افزودن padding به داده‌ها قبل از رمزنگاری استفاده می‌شود تا امنیت را افزایش دهد.

هشینگ با SHA-256

هشینگ یک فرآیند یک‌طرفه است که داده‌ها را به یک مقدار هش تبدیل می‌کند. SHA-256 یکی از الگوریتم‌های هشینگ رایج است.

مثال:

from cryptography.hazmat.primitives import hashes

# ایجاد یک شیء هش SHA-256
hash_object = hashes.SHA256()

# به‌روزرسانی شیء هش با داده‌ها
message = b"This is a message to hash."
hash_object.update(message)

# دریافت مقدار هش
hash_value = hash_object.finalize()

print("Original message:", message.decode())
print("Hash value:", hash_value.hex())

در این مثال، hashes.SHA256() یک شیء هش SHA-256 ایجاد می‌کند. update() داده‌ها را به شیء هش اضافه می‌کند و finalize() مقدار هش نهایی را برمی‌گرداند.

امضای دیجیتال با ECDSA

امضای دیجیتال برای تأیید اصالت و یکپارچگی داده‌ها استفاده می‌شود. ECDSA (Elliptic Curve Digital Signature Algorithm) یک الگوریتم امضای دیجیتال رایج است.

مثال:

from cryptography.hazmat.primitives import hashes
from cryptography.hazmat.primitives.asymmetric import ecdsa
from cryptography.hazmat.primitives.serialization import (
    Encoding,
    PublicFormat,
    PrivateFormat,
    NoEncryption
)

# تولید کلید خصوصی
private_key = ecdsa.generate_private_key(ecdsa.SECP256R1())

# دریافت کلید عمومی
public_key = private_key.public_key()

# پیام برای امضا
message = b"This is a message to sign."

# امضای پیام
signature = private_key.sign(
    message,
    hashes.SHA256(),
    ecdsa.ECDSA(hashes.SHA256())
)

# تأیید امضا
try:
    public_key.verify(
        signature,
        message,
        hashes.SHA256(),
        ecdsa.ECDSA(hashes.SHA256())
    )
    print("Signature is valid.")
except ecdsa.InvalidSignature:
    print("Signature is invalid.")

در این مثال، ecdsa.generate_private_key() یک کلید خصوصی ECDSA تولید می‌کند. sign() پیام را با کلید خصوصی امضا می‌کند و verify() امضا را با کلید عمومی تأیید می‌کند.

مدیریت کلیدها

مدیریت کلیدها یک جنبه حیاتی امنیت است. کلیدها باید به صورت امن تولید، ذخیره و توزیع شوند. cryptography.io ابزارهایی برای تولید کلیدها ارائه می‌دهد، اما مسئولیت ذخیره و توزیع امن کلیدها بر عهده توسعه‌دهنده است. استفاده از یک سیستم مدیریت کلید (KMS) برای ذخیره و مدیریت کلیدها توصیه می‌شود.

نتیجه‌گیری

cryptography.io یک کتابخانه قدرتمند و انعطاف‌پذیر برای پیاده‌سازی امنیت و رمزنگاری در برنامه‌های پایتونی است. با استفاده از این کتابخانه، می‌توانید الگوریتم‌های رمزنگاری، هشینگ، امضای دیجیتال و مدیریت کلیدها را به طور دقیق کنترل کنید. درک مفاهیم کلیدی رمزنگاری و رعایت بهترین شیوه‌های امنیتی برای ایجاد برنامه‌های امن و قابل اعتماد ضروری است.