Kezdőlap / Kidolgozott tételek / DEIK Mérnökinformatikus BSC 2017 / 10. tétel

10. Tétel — Webkiszolgáló konfiguráció SSL használatával és az Intel x86 utasításkészlet-architektúrája

Frissítve: 2026-09-09

Ez a tétel két nagyobb témakört fed le: a webkiszolgálók SSL/TLS alapú konfigurálását és az OpenSSL függvénykönyvtár alapfunkcióit, valamint az Intel x86 utasításkészlet-architektúra felépítését.

Témák

I. Témakör: Webkiszolgáló konfiguráció SSL használatával, OpenSSL függvénykönyvtár alapfunkciói: hitelesítés, titkosítás

• Webkiszolgáló konfiguráció SSL használatával, OpenSSL függvénykönyvtár alapfunkciói: hitelesítés, titkosítás.

II. Témakör: Az Intel X86 utasításkészlet-architektúrája (regiszterek, címzési módok, utasítások, memória architektúra, megszakítási rendszer)

• Az Intel X86 utasításkészlet-architektúrája (regiszterek, címzési módok, utasítások, memória architektúra, megszakítási rendszer).

I. Témakör: Webkiszolgáló konfiguráció SSL használatával, OpenSSL függvénykönyvtár alapfunkciói: hitelesítés, titkosítás

1. A biztonságos webes kommunikáció elméleti alapjai és protokolláris háttere

A hagyományos, nyílt hálózati kommunikációt megvalósító HTTP (Hypertext Transfer Protocol) egy állapottalan, kérelmező-kiszolgáló alapú protokoll, amely az OSI modell alkalmazási rétegében működik. Alapértelmezett működése során az adatokat strukturálatlan, titkosítatlan formában továbbítja a TCP szállítási rétegbeli kapcsolat felett. Ebből adódóan a HTTP önmagában nem biztosít védelmet a passzív lehallgatás, az aktív adatmódosítás és a hamisítás ellen, ami teret enged a Man-in-the-Middle (MitM) jellegű közbeékelődéses támadásoknak.

Ezen strukturális hiányosságok kiküszöbölésére fejlesztették ki az SSL (Secure Sockets Layer) protokollt, amelynek szabványosított, továbbfejlesztett utódja a TLS (Transport Layer Security) protokoll. Az SSL/TLS egy rejtjelezési alrendszer, amely logikai rétegként illeszkedik az alkalmazási réteg (pl. HTTP) és a megbízható szállítási réteg (TCP) közé.

A biztonságos kommunikációs csatorna az alábbi alapvető informatikai biztonsági szolgáltatásokat garantálja:

• Bizalmasság: A kommunikáló felek közötti adatfolyam titkosítása, amely megakadályozza, hogy illetéktelen harmadik fél a hálózati csomagok elemzésével hozzáférjen az adatok tartalmához.
• Integritás: Az adatok sértetlenségének biztosítása kriptográfiai ellenőrzőösszegek és üzenet-hitelesítő kódok alkalmazásával, amelyek révén detektálható az adatok bármilyen nem engedélyezett módosítása.
• Hitelesítés: A kommunikációs partnerek (elsődlegesen a kiszolgáló, opcionálisan a kliens) kilétének egyértelmű igazolása X.509 szabványú digitális tanúsítványok és nyilvános kulcsú infrastruktúra (PKI) révén.

2. Webkiszolgáló konfiguráció SSL/TLS használatával (Nginx környezetben)

1. Kriptográfiai kulcspár és tanúsítvány-aláírási kérelem (CSR) előállítása: A nyilvános kulcsú infrastruktúra szabályai szerint létre kell hozni a szerver egyedi aszimmetrikus kulcspárját, valamint össze kell állítani a tanúsítvány-aláírási kérelmet a kiszolgáló azonosító attribútumaival a hitelesítésszolgáltató felé.
2. Hitelesített tanúsítványok integrálása a fájlrendszerbe: A hitelesítésszolgáltató által aláírt digitális tanúsítvány, valamint a teljes bizalmi lánc elemeinek elhelyezése a webszerver által dedikáltan elérhető, védett tárolóhelyen.
3. Biztonságos virtuális hoszt kontextus definiálása: A webszerver konfigurációs struktúrájában létre kell hozni egy logikai szerverblokkot, amelyben kifejezetten aktiválásra kerül az SSL/TLS titkosítási réteg a bejövő kapcsolatok fogadására.
4. A tanúsítvány és a privát kulcs logikai összerendelése: A webszerver konfigurációs direktíváival hozzá kell rendelni a virtuális hoszt kontextusához a nyilvános tanúsítványfájlt, valamint a titkosítás visszafejtéséhez elengedhetetlen, szigorú hozzáférés-szabályozású privát kulcsot.
5. Protokollverziók és biztonsági házirend korlátozása: Konfigurálni kell a támogatott protokollverziók halmazát, kizárva a kriptográfiailag elavult és sérülékeny verziókat, és kizárólag a modern, integritást és tökéletes előre titkosítást garantáló algoritmusokat engedélyezve.
6. Átirányítási szabályzat életbe léptetése: Definiálni kell egy olyan logikai szabályt, amely a nem biztonságos kommunikációs csatornáról érkező kéréseket automatikusan, protokoll-szintű státuszkóddal a titkosított csatornára kényszeríti.
7. Konfiguráció szintaktikai validálása és élesítése: A módosított konfigurációs állományok formális ellenőrzése a webszerver beépített diagnosztikai eszközeivel, majd a futtató környezet frissítése az új biztonsági paraméterek betöltése érdekében.

3. Az OpenSSL függvénykönyvtár architektúrája és alapfunkciói

Az OpenSSL egy nyílt forráskódú szoftverkönyvtár-csomag, amely implementálja az SSL és TLS protokollokat, valamint egy átfogó kriptográfiai eszköztárat biztosít. Architekturális szempontból két fő programkönyvtárra oszlik:

• libcrypto: Az általános célú kriptográfiai primitívek (szimmetrikus rejtjelek, aszimmetrikus algoritmusok, hash függvények, digitális aláírások) gyűjteménye.
• libssl: Az SSL és TLS hálózati protokollok rétegmegvalósítását biztosító könyvtár, amely a libcrypto funkcióira támaszkodik.

Hitelesítés és Tanúsítványkezelés:

• Tanúsítvány-aláírási kérelem (CSR) generálása: Új aszimmetrikus kulcspár előállítása és a szerver azonosító adatait tartalmazó kérelem összeállítása.
• Digitális tanúsítványok kezelése és struktúra-ellenőrzése: A szabványosított tanúsítványformátumok elemzése, formátumkonverziók végrehajtása, az érvényességi időtartamok vizsgálata, valamint szükség esetén önaláírt tanúsítványok generálása a titkosítási mechanizmusok tesztelési fázisához.
• Bizalmi lánc validálása: A szerver tanúsítványának ellenőrzése a helyi gyökér-tanúsítványtároló alapján.

Titkosítás (Szimmetrikus és Aszimmetrikus):

• Szimmetrikus titkosítás: Nagy adatmennyiségek gyors rejtjelezésére szolgáló algoritmusok, ahol a titkosításhoz és visszafejtéshez ugyanazt a kulcsot használják.
• Aszimmetrikus titkosítás: Kétkulcsos (nyilvános és privát kulcspár alapú) rendszerek alkalmazása biztonságos kulcscseréhez és digitális aláírásképzéshez.

II. Témakör: Az Intel X86 utasításkészlet-architektúrája (regiszterek, címzési módok, utasítások, memória architektúra, megszakítási rendszer)

1. Architekturális tervezési filozófia és evolúció

Az Intel x86 architektúra egy komplex utasításkészletű számítógépes (CISC – Complex Instruction Set Computer) felépítésen alapuló processzorcsalád. Főbb jellemzői közé tartozik a változó hosszúságú utasításkészlet, a memóriát közvetlenül elérő operandusok bősége, valamint az iparágban egyedülálló visszafelé kompatibilitás elve. Ez utóbbi biztosítja, hogy a modern, többlépcsős pipelinnal és superskalár architektúrával rendelkező 64 bites processzorok hardveres szinten képesek legyenek futtatni a korai évtizedekben írt 16 bites szoftvereket is.

2. Regiszter-architektúra és regisztertípusok

A processzor belső tárolóelemei a regiszterek, amelyek a leggyorsabb elérési idejű memóriaterületeket képezik.

Regisztertípusok és kategóriák:

Általános célú regiszterek (General Purpose Registers - GPR): Az aritmetikai, logikai és adatmozgatási műveletek alapvető operandusait tároló egységek, amelyek az architekturális evolúció során történelmi alapokról kiindulva fokozatos kiterjesztéseken mentek keresztül:

• Alapvető generáció: Az eredeti regiszterkészlet (AX, BX, CX, DX, SI, DI, BP, SP).
• Első kiterjesztési szint (E prefixum): Az E-prefixummal jelölt, megnövelt kapacitású regiszterek (EAX, EBX, ECX, EDX, ESI, EDI, EBP, ESP), amelyek kibővítették a közvetlenül kezelhető adattömeg méretét.
• Modern kiterjesztési szint (R prefixum): Az R-prefixummal ellátott, továbbfejlesztett regiszterek (RAX, RBX, RCX, RDX, RSI, RDI, RBP, RSP), valamint a további dedikált kiterjesztett regiszterek, amelyek jelentősen bővítették a tárolókapacitást és csökkentették a külső memóriaműveletek szükségességét.

Utasításszámláló regiszter (Instruction Pointer - IP / EIP / RIP): A vezérlőegység kitüntetett regisztere, amely a soron következőként végrehajtandó gépi utasítás memóriabeli lineáris címét tárolja.

Állapotregiszter (Flags Register - FLAGS / EFLAGS / RFLAGS): A processzor aktuális aritmetikai műveleteinek eredményjelzőit (például túlcsordulás, nulla, előjel) és belső vezérlőállapotait tartalmazó regiszter.

Szegmensregiszterek (Segment Registers): A szegmentált memóriakezelési modellben alkalmazott regiszterek (CS, DS, SS, ES, FS, GS), amelyek a különböző logikai memóriaszegmensek (kód, adat, verem) báziscímét vagy memóriaszelektoraikat tárolják.

3. Utasításkészlet és utasítástípusok

A CISC jellegből adódóan az utasításkészlet széleskörű és változatos műveleti skálával rendelkezik. Az utasítások logikai kategóriái a következők:

• Adatmozgatási utasítások: Az adatok átvitele a regiszterek, a memória és az I/O portok között (pl. MOV, PUSH, POP, LEA).
• Aritmetikai és logikai utasítások: Alapvető matematikai és bitműveletek végrehajtása (pl. ADD, SUB, MUL, DIV, AND, OR, XOR, SHL, SHR).
• Vezérlésátadási utasítások: A programfutás lineáris menetének módosítása feltételes vagy feltétel nélküli ugrásokkal, illetve alprogram-hívásokkal (pl. JMP, JZ, JNZ, CALL, RET).
• Sztringkezelő utasítások: Blokkszintű memóriaműveletek végrehajtása bájttömbökön vagy szavakon (pl. MOVS, SCAS, STOS).
• Processzorvezérlő és megszakítási utasítások: Hardveres állapotot befolyásoló vagy megszakítást generáló utasítások (pl. CLI, STI, INT, HLT).

Utasításkészlet-kiterjesztések (SIMD):

• MMX (MultiMedia eXtensions): Egyszerre több adatpár párhuzamos feldolgozását (SIMD – Single Instruction, Multiple Data) lehetővé tevő integer kiterjesztés.
• SSE (Streaming SIMD Extensions): Lebegőpontos vektoros műveleteket és regisztrációkat bevezető kiterjesztés-család.
• AVX (Advanced Vector Extensions): Szélesebb (256/512 bites) vektorregisztereket alkalmazó, nagy teljesítményű párhuzamos feldolgozási architektúra.

4. Memóriaarchitektúra és végrehajtási módok

Az x86 processzorok az evolúciójuk során három eltérő alapvető memóriakezelési és végrehajtási módban tudnak operálni:

• Real Mode (Valós mód): A legkorábbi 8086-os kompatibilitást biztosító üzemmód, amely 1 MB címezhető memóriát, közvetlen fizikai hardverhozzáférést, valamint szegmens-eltolás alapú lineáris címzést alkalmaz memóriavédelem nélkül.
• Protected Mode (Védett mód): Az IA-32 architektúrával bevezetett fejlett üzemmód, amely támogatja a virtuális memóriát, a szegmentálást, a többszintes lapozást, valamint a szigorú privilégiumszinteket a biztonságos multitasking és folyamatizoláció érdekében.
• Long Mode (64 bites mód): A modern x86_64 architektúra natív üzemmódja, amely 64 bites lineáris címteret, kiterjesztett regiszterkészletet és többszintes lapozási struktúrát biztosít.

Memóriakezelési mechanizmusok:

• Szegmentálás: A memóriát logikai egységekre (szegmensekre) osztó mechanizmus, amely a logikai címet a szegmensregiszter és az eltolás összevonásával képezi le.
• Lapozás: A virtuális memóriát rögzített méretű lapokra bontó, a lapozást vezérlő vezérlőregiszterekre épülő hierarchikus címfordítási rendszer, amely megvalósítja a virtuális és fizikai memóriacímek szétválasztását és a laphibák kezelését.

5. Megszakítási rendszer (Interrupt System)

A megszakítási rendszer biztosítja, hogy a processzor reagálni tudjon a külső aszinkron eseményekre, I/O kérelmekre vagy a belső szoftveres kivételekre anélkül, hogy folyamatosan ciklikusan kérdezné az eszközök állapotát.

• Hardveres megszakítások: A külső perifériák (pl. vezérlők, időzítők) által a megszakítási vonalakon generált jelek.
  • Maszkolható megszakítások (INTR): Szoftveresen letiltható vagy engedélyezhető hardveres megszakítások.
  • Nem maszkolható megszakítások (NMI): Kritikus hardveres hibák esetén fellépő, a processzor által meg nem tagadható megszakítások.
• Szoftveres megszakítások és kivételek: A program futása közben fellépő rendellenességek (pl. nullával való osztás) vagy programozott megszakítóparancsok (INT utasítás) által kiváltott események.
• Megszakítási leíró tábla (Interrupt Descriptor Table - IDT): A védett és hosszú módban alkalmazott adatszerkezet, amely rendeli hozzá az egyes megszakítási vektorokhoz tartozó futtatható kezelőrutinok memóriacímit.